آپاچی؛ شب ۴۷: CIS Apache؛ نسخه، دامنه و baseline
فهرست نوشته
CIS Benchmark مجموعهٔ توصیه‌های پیکربندی است، نه گواهی امن بودن یک سرویس. امشب مرجع ممیزی، دامنهٔ سرویس و استثناها را قبل از اجرای اصلاحات مشخص می‌کنیم.
این جلسه بخشی از دورهٔ آپاچی در ۵۰ شب است. قرارداد نام‌ها، مسیرها و روش اعمال تغییر را در راهنمای دوره بخوان.
محیط: نسخهٔ واقعی Apache و توزیع ثبت شده؛ PDF رسمی Benchmark را با شرایط استفادهٔ ناشر دریافت کن. متن کامل Benchmark در این دوره بازنشر نمی‌شود.
نسخهٔ محصول با نسخهٔ سند فرق دارد#
در بررسی منابع این دوره، صفحهٔ رسمی CIS برای Apache HTTP Server 2.4 نسخهٔ Benchmark برابر 2.4.0 را فهرست می‌کند. این شماره، نسخهٔ سند است؛ نسخهٔ Apache ممکن است مثلاً 2.4.x با revision بستهٔ توزیع باشد. در شروع ممیزی دوباره مرجع را بررسی و نسخهٔ انتخاب‌شده را ثابت ثبت کن.
دامنهٔ ممیزی را در دفترچه بنویس:
product: Apache HTTP Server 2.4
benchmark_version: 2.4.0
benchmark_source: https://www.cisecurity.org/benchmark/apache_http_server
profile: REPLACE_WITH_PROFILE_FROM_SELECTED_PDF
hosts: [debian-web, ubuntu-web, alma-web, rocky-web]
roles: [static, reverse-proxy, wordpress-fpm]
profile را از همان PDF انتخاب کن؛ شماره و نام کنترل‌ها را از نسخه‌های دیگر مخلوط نکن. benchmark سیستم‌عامل، PHP، دیتابیس و WordPress دامنه‌های مستقل دارند؛ انطباق Apache همهٔ این لایه‌ها را پوشش نمی‌دهد.
baseline قابل بازبینی#
| موضوع | شاهد لازم |
|---|---|
| نسخه و اصلاحات | بستهٔ توزیع، revision و advisory مرتبط |
| هویت اجرا | کاربر کارگرها و مالکیت کد/config |
| ماژول و handler | فهرست فعال، نیاز هر نقش و مسیر CGI/FPM |
| فایل و مسیر | DocumentRoot، Alias، upload و secretها |
| شبکه و TLS | listener، proxy trust، protocol و گواهی |
| ثبت رخداد و محدودیت | log، rotation، timeout و بودجهٔ منابع |
این جدول برنامهٔ جمع‌آوری شاهد است؛ جای فهرست رسمی کنترل‌ها و شماره‌های آن نیست. از PDF برای هر کنترل، applicability، روش Audit و اثر Remediation را وارد worksheet خودت کن.
استثنا به معنی قبولی نیست#
اگر یک توصیه با نیاز HTTP/2، WebSocket، proxy یا مانیتورینگ ناسازگار بود، آن را بی‌صدا skip نکن. دلیل، کنترل جبرانی، مالک، تاریخ بازبینی و روش آزمون را ثبت کن. نتیجه می‌تواند «نیازمند اصلاح»، «دارای استثنا»، «نامربوط» یا «هنوز ارزیابی‌نشده» باشد؛ فقط با شاهد معتبر «قبول» بنویس.
تمرین: دامنهٔ یک سایت ثابت را با WordPress مقایسه کن. چرا مجوز نوشتن upload برای یکی لازم و برای دیگری نامربوط است؟ backup baseline را پیش از تغییر بعدی نگه دار؛ این دوره ادعای تأیید رسمی CIS یا انطباق کامل بدون ممیزی ندارد.
منبع: صفحهٔ رسمی CIS Apache HTTP Server ، معرفی CIS Benchmarks .