[보안가이드] Nginx Header Version 정보 노출 방지

 

Nginx Web Server(웹서버) 통해서 서비스를 사용하는 경우 기본 설정으로만 서비스 구동 시에 Response Header에 Nginx Version이 노출된다. 

Nginx Version이 노출이 되어도 문제가 없다고 생각할 수 있으나, 그 생각은 매우 큰 오산이다.

이렇게 Version이 노출이 된 경우 현재 사용하고 있는 해당 Nginx Version에 알려진 취약점을 이용하여 좀 더 쉽게 공격이 가능하다.

쉽게 이야기해 Version 정보를 모른다면 100번 만에 공격이 성공될 수 있지만, Version 정보를 안다면 단 한 번 만에도 공격이 성공될 수 있다. 

그러니 별문제 아니라 생각하지 말고 반드시 서비스를 사용하는 경우 꼭 아래와 같이 설정하여 Nginx 정보를 노출하지 않도록 하자.

그럼 어떻게 적용하는지 한번 알아보자.

반응형

1. Version 제거 옵션 설정

# vi nginx.conf

http {
     server_tokens off;
... 이하 생략 ...


# 미적용시
$ curl -i http://test.com
HTTP/1.1 200
Server: nginx/1.14.0
... 이하 생략 ...


# 적용시
$ curl -i http://test.com
HTTP/1.1 200
Server: nginx
... 이하 생략 ...

이번에는 Apache Version 정보를 제거하는 방법을 알아보았다. 

물론 이 방법만으로 모든 공격을 막아낼 수는 없다. 그러나 조금이라도 정보 노출을 줄여 쉽게 공격이 당하지 않도록 하는 게 좋겠다. 

2. 같이 보면 좋은 문서

• 2021.07.31 - [Security/보안 가이드] - [보안가이드] Apache(아파치) Header Version 정보 노출 방지