【安全】WEB配置安全

NGINX安全配置主要注意以下几点

1、版本号隐藏配置：server_tokens off

2、禁止目录访问autoindex off;

3、nginx超时时间配置建议低于10秒

client_body_timeout 10;

#该指令用于设置读取客户端请求内容的超时时间，默认是60，

client_header_timeout 10;

#该指令用于设置读取客户端请求Header头信息的超时时间，默认是60

keepalive_timeout 10;

#该指令用于设置keep-alive连接超时时间，之后服务器会中断连接，默认是75

send_timeout 10;

1、APACHE下module模块较多，建议删除不需要的module模块

2、apache防止拒绝服务攻击模块apahce Dos Evasive Maneuvers Module建议安装

3、apache服务option请求禁止使用

4、用chroot改变apache访问目录，禁止访问不需要的目录

5、不要开启.htaccess的使用方法，以免导致信息泄漏

6、重要系统通过access.conf配置访问权限

7、禁止目录索引功能，以免导致信息泄漏

8、禁止用户重载.htaccess 文件，相关配置为AllowOverride None

1、Tomcat管理元登录配置文件tomcat/conf/tomcat-users.xml，用户名密码必须修改

2、关闭tomcat8080远程管理端口

3、Tomcat不能以root身份启动

5、tomcat配置连接超时时间要小于10秒配置文件为tomcat/conf/server.xml中connectionTimeout值配置最好小于"10"