¿Se debe negar el acceso público a nombres y tipos de archivos específicos de manera preventiva?

  

¿Es una buena idea desactivar (público) el acceso preventivo a ciertos tipos de archivos (por extensión) y / o por nombres de archivos?

¡Absolutamente! De hecho, todo acceso debe ser denegado y solo permitir buenas solicitudes conocidas. Esto también se conoce como "Denegación predeterminada" o "Lista blanca".

Marcus Ranum tiene algunos puntos importantes en The Six Dumbest Ideas in Computer Security . Aunque estrechamente relacionados, los dos primeros se aplican directamente a su pregunta.

• 1) Permiso predeterminado: este es su enfoque actual, ya que todas las solicitudes están permitidas, excepto los pocos nombres de archivo / extensiones / etc que se deniegan explícitamente. Es mucho más fácil y más seguro bloquear todo y solo permitir las solicitudes válidas conocidas. Hay muchas arañas de sitios web disponibles que rastrearán todos los enlaces disponibles. Una vez que se produce una lista de URL, puede revisarla y seleccionar aquellas a las que solo deben acceder los usuarios finales. Esta también es una oportunidad para garantizar que el sitio web no publique inadvertidamente páginas restringidas (es decir, solo administrador).

• 2) Enumeración de errores: es mucho más fácil implementar una "Denegación predeterminada" y solo se permiten las solicitudes que se encuentran en buen estado para tener reglas para cada posible solicitud incorrecta. Si su sitio web ejecuta PHP, no desea administrar reglas para bloquear solicitudes de Ruby, Java, ASP, etc. No solo es un trabajo innecesario, administrar una lista tan grande es propensa a errores de configuración, especialmente errores tipográficos.

Un efecto secundario positivo es que probablemente verás un aumento en el rendimiento, ya que solo las solicitudes de bienes conocidos podrán atravesar toda la pila.

En los servidores web que ejecuto, niego el acceso a cualquier tipo de archivos de registro del servidor y archivos confidenciales que contengan detalles de configuración de la aplicación web como archivo wp-config.php de WordPress

Sin embargo, si está ejecutando un sitio web, negar el acceso a PHP, HTML, CSS, además de algunos otros tipos de archivos, dejaría su sitio web inutilizable, ya que los navegadores necesitan acceder a esos archivos para mostrar su sitio web correctamente.

Además, vería configurar correctamente los permisos de archivo para sus archivos para garantizar que solo los usuarios adecuados tengan acceso para ver , edítalos y muévelos.

Finalmente, recomendaría tipos de archivo de listas blancas en lugar de incluirlos en la lista negra porque, en general, habrá menos margen de error y no ocupará mucho espacio en su archivo .htaccess o bloques de servidores.

Tipos de archivos de la lista blanca en Apache

Tipos de archivos de la lista blanca en Nginx

Suponiendo que está utilizando un lenguaje decente & En el marco, las únicas URL accesibles son las rutas que definió. Todo lo demás debería obtener 404d de forma predeterminada, excepto quizás archivos estáticos no sensibles en un directorio específico.

Cualquier cosa sensible debe estar fuera del alcance del servidor web de todos modos y solo debe ser sustituida por la aplicación si así lo decide.