Apache - ドキュメント ルートの外部にのみ /var/log/ フォルダーへのアクセスを許可しますか? (Centos ベース)

Question

私のWebサーバーはApache上で動作しており、Apacheユーザーが外部からのアクセスを一切許可しないように制限しています。ウェブサイトのドキュメントルートただし、ログファイル（ユーザー認証ログ）を書き込む必要があり、これは「/var/log/アプリ「

Centos7 でこのタスクを実行するにはどうすればよいでしょうか? シンボリック リンクを使用する必要がありますか? その場合、十分に安全ですか? このログ ファイルにはユーザーに関する非常に機密性の高いデータが含まれるため、Apache ユーザーに完全なアクセス権 (書き込み権限のみ) を与えたくありません。また、ドキュメント ルートにあるフォルダーに保存したくありません。

このようなシナリオに最適な解決策は何でしょうか?

Answer 1

作成する/var/log/app/。

次に、Apache ユーザーがディレクトリにのみ書き込みできるように権限を変更します。

chown -R apache:apache /var/log/app/

chmod -R 330 /var/log/app/

この設定のみでroot、特権ユーザーapacheはsudo書くフォルダーに。

rootそして、sudo特権ユーザーのみが読むログ。

この方法では、Apache サービスが侵害された場合でも、攻撃者は何らかの権限昇格攻撃を実行しない限り、機密ログを読み取ることができなくなります。