Apache HTTPD 보안취약점 점검

<Location "/*">
    <LimitExcept GET POST>
        Order deny,allow
	Deny from all
    </LimitExcept>
</Location>

umask 0027

# pick up any necessary environment variables
if test -f /APP/httpd-2.4.39/bin/envvars; then
  . /APP/httpd-2.4.39/bin/envvars
fi

umask 0027    #<- 반드시 4자리 설정을 하여야 한다.

umask 0027  #<- 이경우에도 반드시 4자리로 설정한다.

RewriteEngine On
RewriteCond %{HTTP_HOST} !^(www.example.com|example.com)$ [NC]
RewriteRule .* - [F]

<VirtualHost _default_:*>
DocumentRoot /www/default
</VirtualHost>

/subsystem=undertow/configuration=filter/expression-filter=host-checker:add(expression="not(equals(%{i,Host}, www.example.com) or equals(%{i,Host}, example.com)) -> response-code(403)")
/subsystem=undertow/server=default-server/host=default-host/filter-ref=host-checker:add 

<subsystem xmlns="urn:jboss:domain:undertow:3.1">
    <buffer-cache name="default"/>
    <server name="default-server">
        ...
        <host name="default-host" >
            ...
            <filter-ref name="host-checker"/>
        </host>
    </server>
    <filters>
        ...
        <expression-filter name="host-checker" expression="not(equals(%{i,HOST}, www.example.com) or equals(%{i,HOST}, example.com)) -> response-code(403)"/>
    </filters>
</subsystem>

<subsystem xmlns="urn:jboss:domain:web:2.1" default-virtual-server="default-host" native="false">
    <connector name="http" protocol="HTTP/1.1" scheme="http" socket-binding="http"/>
    <connector name="ajp" protocol="AJP/1.3" scheme="http" socket-binding="ajp"/>
    <virtual-server name="default-host" enable-welcome-root="true">
        <alias name="localhost"/>
        <alias name="example.com"/>
        <!-- added -->
        <rewrite pattern="^/(.*)$" substitution="-" flags="F">
            <condition test="%{HTTP:HOST}" pattern="!(www.example.com|example.com)" flags="NC"/>
        </rewrite>
    </virtual-server>
</subsystem>

<IfModule mod_headers.c>

# 누락된 Content-Security-Policy 헤더 취약점을 해결하기 위해서는 웹 애플리케이션 서버에서 Content-Security-Policy 헤더를 추가해야 합니다. 모든 웹 사이트 내의 콘텐츠를 서브 도메인을 제외한 같은 도메인에서만 제공 받으려면 다음과 같이 사용합니다.
Header set Content-Security-Policy "default-src 'self'"

# 서브 도메인을 포함시키려면 다음과 같이 사용합니다.
Header set Content-Security-Policy "default-src 'self' *.mydomain.com"

# 이외에도 신뢰할 수 있는 도메인의 리소스를 특정 웹 페이지 요소에서만 사용하도록 설정할 수도 있습니다.또한, 신뢰할 수 없는 도메인의 리소스가 사용되지는 것을 막지 않고 사용되었다는 정보만을 제공받으려면 다음과 같이 사용합니다.
Header set Content-Security-Policy-Report-Only "policy"

# 특정 사이트의 특정 리소스를 포함하려면 아래처럼 적용합니다.
Header set Content-Security-Policy "default-src 'self'; img-src *.cloudflare.com; script-src 'self' www.google-analytics.com *.cloudflare.com"

</IfModule>

<IfModule mod_headers.c>
    Header set X-Content-Type-Options nosniff
</IfModule>

<IfModule mod_headers.c>
    Header set X-Frame-Options DENY
</IfModule>

<IfModule mod_headers.c>
Header set X-XSS-Protection "1; mode=block"
</IfModule>

<ifmodule mod_headers.c>
# none으로 사용할 경우
Header always edit Set-Cookie (.*) "$1; Secure; SameSite=None;"

# strict로 사용할 경우
Header always edit Set-Cookie (.*) "$1; SameSite=strict"
</ifmodule>