Archives de Catégorie: Sécurité

Apache 2.4 sous Windows : Sécurisation du service Apache

En cette période de canicule sur la France, j’en profite pour rédiger cet article qui va vous permettre d’augmenter la sécurité de votre serveur Apache.
Lorsque vous installez le service Apache sous Windows si vous regardez dans l’interface de gestion des services (services.msc) vous remarquerez qu’il fonctionne avec le compte « Système local ». Ce compte possède des droits élevés sur la machine mais aucun privilège sur le réseau. Afin d’éviter qu’un attaquant ne prenne possession de la machine hébergeant le service Apache, il peut etre utile de faire fonctionner ce service avec un compte qui n’a aucun privilège sur cette machine.

Cette configuration n’est pas très compliquée à réaliser et augmente le niveau de sécurité de votre serveur web.

Création du compte utilisateur

Il faut créer un utilisateur qui sera uniquement membre du groupe Utilisateurs.

Cliquez sur Démarrer, tapez lusrmgr.msc dans la barre de recherche
Faire un clic droit sur Utilisateurs puis Nouvel utilisateur…
Remplir le formulaire comme indiqué sur l’image ci-dessous
create_user
Pour le mot de passe, créer un mot de passe assez fort, d’au moins 8 caractères composé de lettre majuscule, minuscule, chiffres et caractères speciaux.
Cliquez sur Créer.

Attribution de droits pour ce compte

Il faut accorder le droit Ouvrir une session en tant que service au compte apache.

Cliquez sur Démarrer, tapez secpol.msc dans la barre de recherche
Aller dans Strategies locales > Attribution des droits utilisateur
Double cliquez sur Ouvrir une session en tant que service
Cliquez sur le bouton Ajouter un utilisateur ou un groupe…
Saisir le nom du compte créé précédemment apache.

Mise en place de droits sur des dossiers et fichiers

Il faut positionner des droits spécifiques sur certains fichiers et dossiers pour le compte apache comme indiqué dans le tableau ci-dessous.

Dossier/fichier Droits
e:\serveur_web\www Lecture
e:\serveur_web\apache24\htdocs Lecture
e:\serveur_web\Apache24\logs Modification
e:\serveur_web\Apache24\bin\httpd.exe Execution

Définition du compte de connexion du service

Il faut définir le compte apache comme compte de connexion du service.

Cliquez sur Démarrer, tapez services.msc dans la barre de recherche
Double cliquez sur le service Apache par défaut il se nomme Apache2.4
Cliquez sur le bouton Arrêter.
Quand le service est arrêté, cliquez sur l’onglet Connexion et renseignez les champs comme sur l’image ci-dessous.
service_connexion
Cliquez sur OK pour valider.
Redémarrer le service.

Si vous avez bien suivi cet article, le service apache doit démarrer sans problème. Si jamais ce n’est pas le cas, relisez l’article ou au pire demandez moi 🙂

Publicités