Apacheのバージョン情報を非表示にする

以下、作業用メモです。

Apacheのバージョン情報を非表示にすることは、セキュリティ対策の一環となる。これにより、攻撃者が特定のバージョンの脆弱性を利用することを防ぐことができる。

具体的な手順は以下の通り:

  1. まず、Apacheの設定ファイルhttpd.confを開く。このファイルは通常/etc/httpd/conf/ディレクトリにある。
    bash $ sudo vi /etc/httpd/conf/httpd.conf
  2. 次に、設定ファイルの最後に以下の2行を追加。
    bash ServerTokens ProductOnly
    ServerSignature off

    ServerTokens ProductOnlyは、Apacheのバージョン情報だけを表示し、OSや他のモジュールの情報は表示しないようにする。ServerSignature offは、エラーページやサーバー生成ページ(mod_infoやmod_statusなど)のフッターにサーバーのバージョン情報が表示されないようにする。
  3. 設定を保存してから、Apacheを再起動。
    bash $ sudo systemctl restart httpd
    以上で、Apacheのバージョン情報が非表示になる。ただし、これはあくまで一部の対策であり、他にも様々なセキュリティ対策が必要。常に最新のセキュリティ情報をチェックし、必要な対策を講じていくことが重要。また、設定変更後は必ず動作確認を行うこと。

【参考サイト】

Debian10の場合

Debian 10でApacheのバージョン情報を非表示にする手順は以下の通り:

  1. まず、Apacheの設定ファイルapache2.confを開く。このファイルは通常/etc/apache2/ディレクトリにある。
    bash $ sudo nano /etc/apache2/apache2.conf
  2. 次に、設定ファイルの最後に以下の2行を追加。
    bash ServerTokens Prod
    ServerSignature Off


    ServerTokens Prodは、Apacheのバージョン情報だけを表示し、OSや他のモジュールの情報は表示しないようににする。ServerSignature Offは、エラーページやサーバー生成ページ(mod_infoやmod_statusなど)のフッターにサーバーのバージョン情報が表示されないようにする。
  3. 設定を保存してから、Apacheを再起動。
    bash $ sudo systemctl restart apache2
    以上で、Apacheのバージョン情報が非表示になる。ただし、これはあくまで一部の対策であり、他にも様々なセキュリティ対策が必要。常に最新のセキュリティ情報をチェックし、必要な対策を講じていくことが重要。また、設定変更後は必ず動作確認を行うこと。

【参考サイト】

https://engineer-ninaritai.com/apache-version/

この記事を書いた人