Apache jest jednym z najpopularniejszych serwerów, właściwe jego zabezpieczenie może być wyzwaniem nie tylko dla początkujących administratorów ale także dla tych bardziej zaawansowanych. Można się o tym przekonać przeglądając niemal codziennie pojawiające się wiadomości na temat podmienienia witryny czy też przeprowadzenia udanego ataku na jakiś serwis. Ryan C. Burnett w swojej książce "Apache. Zabezpieczenia aplikacji i serwerów WWW" postawił sobie niełatwy cel, jakim jest opisanie procesu zabezpieczenia serwera oraz takiej nim administracji, która zminimalizuje ryzyko udanego włamania.
Książka w pierwszym rozdziale przestawia ogólne czynniki mające wpływ na bezpieczeństwo sieci i ukazuje istotną rolę systemu operacyjnego oraz aplikacji w dziedzinie zabezpieczeń. Kolejne rozdziały koncentrują się już na bezpieczeństwie serwera Apache. Tak więc mamy tu opis instalacji (wraz z przykładami poprawnej konfiguracji), przy czym zostały pokazane dwie możliwe drogi: jedna polega na instalacji serwera z pakietów binarnych, druga -- preferowana przez autora -- to samodzielna kompilacja z plików źródłowych.
Kontynuując lekturę, dowiadujemy się o sposobach wykrywania i reagowania na włamania do systemu, metodach testowania zabezpieczeń serwera za pomocą odpowiednich narzędzi, a także poznajemy opis najważniejszych modułów
przeznaczonych do zabezpieczenia aplikacji oraz samego serwera. Gdy już zapoznamy się z tymi rozdziałami, przyjdzie nam sprawdzić nowo nabyte umiejętności. Rozdział ósmy służy właśnie temu celowi i może zapewnić niezłą zabawę, spełniając przy tym swój podstawowy cel -- czyli nauczenie administratora Apache myśleć tak, jak włamywacz (przynajmniej takie jest założenie), dzięki czemu będzie mógł przewidywać ewentualne drogi ataku i zapobiegać im skuteczniej.
Następnie będziemy mieli okazję zapoznać się z otwartym serwerem proxy skonfigurowanym jako system-pułapka oraz olbrzymią ilością danych o atakach, zgromadzonych przez ten serwer. Ma to istotny związek z problematyką wykorzystania serwera Apache w zabezpieczaniu sieci oraz pomaga zaprezentować opisane wcześniej metody ochrony. Całość zamyka podsumowanie przedstawionych w książce rozwiązań.
Książka zawiera naprawdę solidną porcję wiedzy wzbogaconą licznymi przykładami, dzięki czemu czyta się ją lekko i przyjemnie. Myślę, że można ją polecić każdemu użytkownikowi serwera Apache, a szczególnie tym, którzy są zainteresowani jak najlepszym jego zabezpieczeniem przed intruzami.
Hakin9 Mariusz Świercz; 07/2007
Apache stanowi podstawę funkcjonowania większości serwerów WWW. Ze względu na swoją popularność jest szczególnie narażony na ataki hakerów. Sięgając po prezentowaną publikację administratorzy mogą uzyskać szereg cennych informacji związanych ze zwiększaniem poziomu bezpieczeństwa zarządzanych przez nich serwerów.
Autor rozpoczyna rozważania od omówienia czynników wpływających negatywnie na bezpieczeństwo sieci. Wyjaśnia jakie znaczenie ma prawidłowa instalacja i konfiguracja Apache’a. Dokonuje przeglądu najważniejszych modułów zabezpieczających. Pokazuje również w jaki sposób testować określoną konfigurację w oparciu o narzędzie CIS Apache Benchmarking Scoring Tool. Warto zwrócić uwagę na rozdział poświęcony klasyfikacji zagrożeń sieciowych, który przybliża techniki stosowane przez hakerów. Godny odnotowania jest też materiał ilustrujący proces zabezpieczania przykładowej aplikacji. W trakcie lektury dowiemy się ponadto dlaczego zapory ogniowe nie zapewniają wystarczającego poziomu ochrony serwerów.
Magazyn INTERNET KK; 07/2007
Serwer Apache to jedno z najważniejszych narzędzi współczesnych administratorów, a często również webmasterów i programistów. Książka "Apache. Zabezpieczenia aplikacji i serwerów WWW" została napisana przez Ryana C. Barnetta, szefa działu zabezpieczeń w firmie EDS, a także kierownika zespołu zabezpieczania operacji i reagowania kryzysowego w biurze rządowym w Waszyngtonie. Oprócz tego Barnett jest członkiem instytutu SANS, w którym prowadzi zajęcia z zakresu bezpieczeństwa serwerów Apache.
Jego licząca ponad 500 stron publikacja jest kompleksowym przewodnikiem opisującym kwestie mające wpływ na bezpieczeństwo serwera WWW i to począwszy od tych najbardziej elementarnych, jak bezpieczeństwo samego systemu operacyjnego.
Autor w pierwszym rozdziale dokładnie omawia, jakie czynniki obniżają bezpieczeństwo serwerów. Wymienia m.in. brak świadomości kadry zarządzającej, procedury wiążące ręce administratorom, niedopasowanie środowiska projektowego do środowiska pracy, a także typowe błędy techniczne oraz błędy popełnione na etapie projektowania sieci.
W dalszych częściach opisuje problemy wynikające nie tylko z konkretnych błędów, ale również ze złej konfiguracji serwera. Z przytaczanych przykładów można wywnioskować, że błędy tej drugiej kategorii są bardziej powszechne i łatwiejsze do popełnienia. Jeden z przykładów zaczerpniętych z życia, to opis włamania na witrynę http://www.apache.org, gdzie istotę problemu stanowiła zła konfiguracja usługi mysqld.
W kolejnych rozdziałach przeczytasz o konfiguracji pliku httpd.conf, jednego z najważniejszych elementów serwera Apache oraz o najważniejszych modułach zabezpieczeń. Będziesz mógł się również zapoznać z listą typowych ataków na strony WWW oraz metodami przeciwdziałania im na poziomie samego serwera. Interesującym rozdziałem jest analiza aplikacji testowej Buggy Bank napisanej tylko i wyłącznie w celu unaocznienia błędów bezpieczeństwa.
Na sam koniec autor pozostawił opis tworzenia systemu-pułapki służącego do wykrywania prób włamań, który udaje otwarty serwer proxy.
Podsumowując, nie ulega wątpliwości, że książka jest najwyższej jakości. Przedstawia fachową wiedzę teoretyczną oraz praktyczną i zdecydowanie powinna być lekturą obowiązkową dla wszystkich osób mających do czynienia z serwerem Apache.
Internet Maker 06/2007
Apache jest podstawowym elementem struktury sieciowej Internetu, bowiem niemal 70% wszystkich serwerów WWW stanowią serwery Apache. Warstwa sieciowa jest obecnie nieźle zabezpieczona, natomiast brakuje bariery między hakerem a serwerem WWW, aplikacją WWW i bazą danych. Autor wskazuje na czynniki obniżające bezpieczeństwo, w tym rolę systemu operacyjnego w aspekcie całościowego zabezpieczenia serwera, wpływu poprawnej instalacji i konfiguracji Apache z punktu widzenia bezpieczeństwa i sposobu użycia narzędzi testujących konfigurację. Przedstawia informacje jak chronić aplikacje WWW, ilustrując problematykę przykładową aplikacją, prezentuje różne koncepcje systemów wykrywania włamań i ochrony przed włamaniami, radzi jak wykorzystać serwer Apache jako system pułapkę. Książka uczy administratorów sieci sposobów ograniczenia skutków włamań przez dobranie odpowiednich technik zabezpieczeń.
NetWorld Piotr Kociatkiewicz; 05/2007
Znakomita większość witryn internetowych działa w oparciu o serwer Apache.
Jest to oprogramowanie w szczególności narażone na wyrafinowane i zmasowane
ataki. Przypomina to trochę strzelanie z najróżniejszej broni do stada kaczek, które
nie może uciec ani się schować. W sieci funkcjonuje 49 milionów jednostek
pracujących pod kontrolą serwera Apache.
Książka "Apache. Zabezpieczenia aplikacji i serwerów WWW" powinna znaleźć się
na biurku każdego administratora tego systemu. W szczególności polecam ją osobą
zarządzającym wielowarstwowymi aplikacjami WWW, narażonymi -- ze względów
strategicznych -- na nieuniknione ataki (np. handel elektroniczny).
Książka nie zawiera prozy, dlatego też do jej właściwej interpretacji niezbędna jest
wiedza z zakresu sieci (protokołów). Dopiero spełniając ten warunek, można w pełni
docenić wartość tej pozycji.
Jest to jedna z najlepszych książek, jakie miałem okazję mieć w ręku, na temat
serwera Apache i jego bezpieczeństwa. Chciałbym napisać coś więcej na temat tej
pozycji, ale nie mogę. Po prostu warto ją posiadać!
Gazeta IT Rafał Pawlak; 04/2007
