MENU
  1. ホーム
  2. Apache
  3. Apacheで不要なHTTPメソッドを無効化しセキュリティを強化する方法

Apacheで不要なHTTPメソッドを無効化しセキュリティを強化する方法

Apache

Apacheで不要なHTTPメソッドを無効化することは、Webサーバーのセキュリティを強化する重要な施策の一つです。HTTPメソッドは、クライアントがサーバーにリクエストを送る際に使用する通信手段ですが、その中には悪用されやすいものも存在します。特にTRACEメソッドは、XSS（クロスサイトスクリプティング）やセッションハイジャックといった攻撃の一因となる可能性があるため、不要であれば無効化するのが推奨されています。

本記事では、Apacheで不要なHTTPメソッドを無効化する具体的な手順を解説し、セキュリティリスクを最小限に抑える方法を紹介します。併せて、設定変更後の確認方法や、さらなるセキュリティ強化のための応用例についても触れていきます。

目次

HTTPメソッドとは何か


HTTPメソッドは、クライアントがWebサーバーに対して行う操作を指示するための手段です。HTTPリクエストの一部として送信され、サーバーがどのようにリクエストを処理するかを決定します。

主なHTTPメソッドの種類


HTTPメソッドには以下のような種類があります。

GET


サーバーから情報を取得するためのメソッドで、最も一般的に使用されます。

POST


データをサーバーに送信し、リソースを作成または更新します。フォームの送信などに用いられます。

PUT


指定したリソースをサーバー上に作成または置き換えるメソッドです。

DELETE


指定したリソースをサーバーから削除します。

OPTIONS


サーバーがサポートしているメソッドを確認するために使用します。

TRACE


クライアントが送信したリクエストをそのままサーバーから返すメソッドです。デバッグ目的で用いられますが、セキュリティ上のリスクが伴います。

不要なHTTPメソッドのリスク


TRACEメソッドのように、通常の運用で必要ないメソッドが悪用される可能性があります。不要なメソッドを有効のままにしておくと、不正アクセスや情報漏洩につながる恐れがあるため、サーバーのセキュリティを高めるためには無効化が推奨されます。

TRACEメソッドの危険性


TRACEメソッドは、クライアントがサーバーに送信したリクエストの内容をそのままサーバーから返すデバッグ用途のHTTPメソッドです。しかし、この機能が攻撃者に悪用される可能性があり、多くのWebサーバーではセキュリティリスクとみなされています。

TRACEメソッドによるセキュリティリスク


TRACEメソッドが悪用されることで発生する主なリスクには以下のものがあります。

1. クロスサイトトレーシング（XST）攻撃


XSTは、TRACEメソッドを悪用したクロスサイトスクリプティング（XSS）攻撃の一種です。攻撃者はクライアントから送信されたリクエストヘッダーを取得することで、クッキーやセッションIDを盗むことが可能になります。これにより、ユーザーの認証情報が漏洩し、不正ログインやなりすましが行われる危険性があります。

2. セッションハイジャック


TRACEメソッドを利用して通信内容を反射させることで、セッションハイジャックが引き起こされる可能性があります。攻撃者はこれを利用して、セッション情報を傍受し、正規のユーザーになりすますことができます。

3. 情報漏洩


TRACEメソッドを通じて、サーバーやクライアントが送信した機密情報が外部に漏洩するリスクがあります。これには、サーバーの内部構成情報やAPIキー、トークンなどが含まれます。

TRACEメソッドの使用が推奨されない理由


TRACEメソッドはデバッグ用途で提供されていますが、通常の運用では必要とされるケースがほとんどありません。そのため、多くのセキュリティガイドラインでは、TRACEメソッドの無効化が推奨されています。特に外部からのアクセスが可能なWebサーバーでは、リスクを最小限に抑えるために無効化が必須です。

ApacheでのHTTPメソッド無効化手順


Apacheでは、設定ファイルを編集することで不要なHTTPメソッドを無効化できます。特にTRACEメソッドの無効化は、セキュリティリスクを軽減する重要な対策です。ここでは、Apacheの設定ファイルを変更してTRACEメソッドを無効化する手順を解説します。

1. Apacheの設定ファイルを開く


Apacheのメイン設定ファイル（httpd.confまたはapache2.conf）をテキストエディタで開きます。

sudo nano /etc/apache2/apache2.conf  # Debian/Ubuntu系
sudo nano /etc/httpd/conf/httpd.conf  # CentOS/RHEL系

2. TraceEnableディレクティブを設定する


TraceEnableディレクティブを「Off」に設定することで、TRACEメソッドを無効化できます。

ファイル内に以下の行を追加または変更します。

TraceEnable Off

この設定により、TRACEメソッドが無効化され、クライアントからのTRACEリクエストが拒否されます。

3. 設定を保存してApacheを再起動する


編集が完了したら、ファイルを保存してApacheを再起動します。

sudo systemctl restart apache2  # Debian/Ubuntu系
sudo systemctl restart httpd    # CentOS/RHEL系

4. 設定が反映されたことを確認する


Apacheが正しく再起動され、TRACEメソッドが無効化されていることを確認します。次のコマンドでHTTPメソッドを確認できます。

curl -i -X TRACE http://your-server

TRACEメソッドが無効になっていれば、「405 Method Not Allowed」または「403 Forbidden」が返されます。

補足：仮想ホストごとの設定


仮想ホストごとにTRACEメソッドを無効化する場合は、各仮想ホストの設定ファイル（sites-availableディレクトリ内）にTraceEnable Offを追加します。

<VirtualHost *:80>
    ServerName example.com
    TraceEnable Off
</VirtualHost>

この手順で、特定のドメインだけにTRACEメソッド無効化を適用できます。

.htaccessを使用したメソッド制限方法


Apacheのメイン設定ファイルを編集せずに、.htaccessファイルを使用して不要なHTTPメソッドを制限することも可能です。.htaccessはディレクトリ単位で設定を適用できるため、特定のディレクトリやWebアプリケーションだけに制限を加えたい場合に便利です。

1. .htaccessファイルを作成または編集


ターゲットのディレクトリに.htaccessファイルが存在しない場合は、新規に作成します。

sudo nano /var/www/html/.htaccess

既存のファイルがある場合は、そのファイルを編集します。

2. 不要なHTTPメソッドを無効化する設定を追加


以下のコードを.htaccessに追加することで、TRACEメソッドなど不要なメソッドを無効化できます。

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)
    RewriteRule .* - [F]
</IfModule>

設定の内容

  • RewriteEngine On：URLの書き換えを有効にします。
  • RewriteCond %{REQUEST_METHOD} ^(TRACE|TRACK)：TRACEやTRACKメソッドがリクエストされた場合に適用されます。
  • RewriteRule .* – [F]：「403 Forbidden」を返します。

これにより、TRACEおよびTRACKメソッドが無効化されます。

3. Apacheの再起動（必要な場合）


.htaccessは即時反映されますが、mod_rewriteが無効な場合は、Apacheを再起動して有効にします。

sudo a2enmod rewrite  # mod_rewriteを有効化
sudo systemctl restart apache2  # Debian/Ubuntu系
sudo systemctl restart httpd    # CentOS/RHEL系

4. 設定の確認


設定が正しく適用されているか確認します。次のコマンドでTRACEメソッドが無効化されていることをテストします。

curl -i -X TRACE http://your-server

「403 Forbidden」が返されれば、設定は正しく適用されています。

応用例：特定のメソッドのみ許可する


すべてのメソッドを制限し、必要なものだけ許可する方法もあります。

<LimitExcept GET POST>
    Deny from all
</LimitExcept>

この設定により、GETとPOST以外のメソッドはすべて拒否されます。ディレクトリごとに柔軟な制御が可能です。

設定変更後の動作確認方法


Apacheの設定を変更した後は、正しく不要なHTTPメソッドが無効化されているかを確認する必要があります。ここでは、TRACEメソッドをはじめとする不要なHTTPメソッドがブロックされているかを検証する方法を解説します。

1. cURLコマンドを使用した確認


curlコマンドを使用して、特定のHTTPメソッドがサーバーで許可されているかをテストできます。TRACEメソッドをテストするには以下のコマンドを実行します。

curl -i -X TRACE http://your-server

レスポンス例：

  • 405 Method Not Allowed：メソッドが無効化されている場合
  • 403 Forbidden：アクセス自体が拒否されている場合
  • 200 OK：メソッドが許可されている場合（セキュリティリスク）

TRACEメソッドが有効の場合、「200 OK」が返る可能性があります。この場合は設定を見直し、再度無効化を確認します。

2. Telnetを使用した確認方法


telnetコマンドでも、直接HTTPリクエストを送信してメソッドの有効・無効を確認できます。

telnet your-server 80

接続後、以下のように直接TRACEリクエストを送信します。

TRACE / HTTP/1.1
Host: your-server

レスポンスで「405 Method Not Allowed」や「403 Forbidden」が表示されれば、無効化されています。

3. Nmapを使用した確認


セキュリティスキャンツールnmapを使って、TRACEメソッドが有効か確認することもできます。

nmap --script http-methods -p 80 your-server

このコマンドにより、サーバーが許可しているHTTPメソッドの一覧が表示されます。TRACEメソッドがリストに含まれていなければ無効化が成功しています。

4. Webアプリケーション診断ツールの活用


Burp SuiteやOWASP ZAPなどのWebアプリケーションセキュリティツールを使って、サーバーのHTTPメソッドを確認する方法もあります。GUIで簡単に確認できるため、テスト環境が整っている場合はこれらのツールも活用すると良いでしょう。

確認後の対応


もしTRACEメソッドが依然として有効である場合は、設定ファイルや.htaccessの記述ミスが考えられます。設定を見直し、Apacheの再起動を忘れずに行ってください。

sudo systemctl restart apache2  # 設定反映の再起動

正しく設定が反映されるまで、確認と修正を繰り返します。

応用例：セキュリティヘッダーの追加


不要なHTTPメソッドを無効化するだけでなく、セキュリティヘッダーを追加することでApacheのセキュリティをさらに強化できます。セキュリティヘッダーは、ブラウザがどのようにWebサイトを扱うかを指示し、XSSやクリックジャッキングなどの攻撃を防止するのに役立ちます。

1. セキュリティヘッダーの種類と役割

1.1 Content-Security-Policy (CSP)


CSPは、ブラウザが外部リソースの読み込みを制限するヘッダーです。不正なスクリプトの実行を防ぎ、XSS攻撃を軽減します。

Header set Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'"

1.2 X-Frame-Options


クリックジャッキング攻撃を防ぐために、他のサイトがこのサイトをiframeで表示することを禁止します。

Header always set X-Frame-Options "DENY"

1.3 X-Content-Type-Options


ブラウザがMIMEタイプを勝手に解釈しないようにし、意図しないスクリプトの実行を防ぎます。

Header set X-Content-Type-Options "nosniff"

1.4 Referrer-Policy


外部サイトに対してどの程度のリファラ情報を送信するかを制御します。プライバシー保護にも役立ちます。

Header set Referrer-Policy "no-referrer"

1.5 Strict-Transport-Security (HSTS)


HTTPS通信を強制することで、盗聴や改ざんを防止します。

Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"

2. セキュリティヘッダーの追加方法

2.1 Apache設定ファイルに追加


Apacheの設定ファイル（httpd.confまたはapache2.conf）にセキュリティヘッダーを追加します。

sudo nano /etc/apache2/apache2.conf  # Ubuntu/Debian系
sudo nano /etc/httpd/conf/httpd.conf  # CentOS/RHEL系

ファイル内に以下を追記します。

<IfModule mod_headers.c>
    Header set Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'"
    Header always set X-Frame-Options "DENY"
    Header set X-Content-Type-Options "nosniff"
    Header set Referrer-Policy "no-referrer"
    Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>

2.2 .htaccessに追加


.htaccessファイルを使って、ディレクトリごとにセキュリティヘッダーを設定できます。

<IfModule mod_headers.c>
    Header set X-Frame-Options "DENY"
    Header set X-Content-Type-Options "nosniff"
</IfModule>

3. Apacheの再起動


設定変更後はApacheを再起動して変更を反映させます。

sudo systemctl restart apache2

4. 設定確認


ヘッダーが正しく適用されているか確認するには、curlを使います。

curl -I http://your-server

レスポンスヘッダーに、設定したセキュリティヘッダーが表示されていれば正しく反映されています。

応用例：リバースプロキシでの適用


リバースプロキシサーバー（例：ApacheでのNginx）にも同様のヘッダーを適用し、全体的なセキュリティを高めることができます。

<VirtualHost *:80>
    ServerName example.com
    Header set X-Frame-Options "DENY"
</VirtualHost>

セキュリティヘッダーの追加により、不要なHTTPメソッドの無効化と併せて、サーバー全体の防御力を向上させることができます。

まとめ


本記事では、Apacheで不要なHTTPメソッドを無効化する方法について解説しました。特にTRACEメソッドはセキュリティリスクが高く、無効化することでクロスサイトトレーシング（XST）やセッションハイジャックの防止につながります。

TRACEメソッドの無効化は、Apacheの設定ファイルや.htaccessを編集することで簡単に実施できます。加えて、セキュリティヘッダーを導入することで、Webサーバーの防御力をさらに高めることが可能です。

最後に、設定変更後はcurlやnmapを活用して動作確認を行い、意図通りにHTTPメソッドが制限されていることを確認してください。これらの対策を実施することで、Apacheサーバーのセキュリティを大幅に向上させ、安全なWeb環境を維持することができます。

Apache
セキュリティ Apache HTTPメソッド

コメント

コメントする

目次