웹서버 보안 강화의 핵심은 취약한 프로토콜 비활성화, 불필요한 정보 노출 차단, 그리고 디렉터리 접근 제어다.[1] > 네트워크/보안/해킹

               http {
    # 1. Nginx 버전 정보 숨기기 (헤더 노출 차단)
    server_tokens off;
    # 2. 클릭재킹 공격 방지 및 XSS 필터링 설정
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Content-Security-Policy "default-src 'self';" always;
    server {
        listen 443 ssl;
        server_name example.com;
        # 3. 안전한 TLS 프로토콜 및 암호화 알고리즘만 허용 (TLS 1.0, 1.1 차단)
        ssl_protocols TLSv1.2 TLSv1.3;
        ssl_ciphers HIGH:!aNULL:!MD5;
        ssl_prefer_server_ciphers on;
        # 4. 디렉터리 리스팅 차단 및 특정 경로 IP 제한
        location / {
            autoindex off; # 파일 목록 노출 금지
        }
        location /admin {
            allow 192.168.1.0/24; # 허용할 관리자 IP 대역
            deny all;             # 그 외 모든 접근 차단
        }
    }
}

               

               # 1. Apache 버전 및 OS 정보 숨기기
ServerTokens ProductOnly
ServerSignature Off
# 2. 클릭재킹 및 보안 헤더 추가 (mod_headers 필요)
<IfModule mod_headers.c>
    Header set X-Frame-Options "SAMEORIGIN"
    Header set X-Content-Type-Options "nosniff"
    Header set X-XSS-Protection "1; mode=block"
</IfModule>
# 3. 디렉터리 리스팅 차단 및 상위 디렉터리 접근 제한
<Directory "/var/www/html">
    Options -Indexes -FollowSymLinks # Indexes 제거로 리스팅 차단
    AllowOverride None
    Require all granted
</Directory>
# 4. 관리자 페이지 IP 접근 제한
<Directory "/var/www/html/admin">
    Require ip 192.168.1.100
    # 위의 IP 외에는 모두 거부됨
</Directory>
# 5. 불필요한 HTTP 메소드(TRACE, TRACK 등) 차단
TraceEnable Off

               

               <?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.webServer>
    <!-- 1. 디렉터리 리스팅 차단 -->
    <directoryBrowseenabled="false" />
    <!-- 2. 보안 HTTP 헤더 추가 -->
    <httpProtocol>
      <customHeaders>
        <addname="X-Frame-Options"value="SAMEORIGIN" />
        <addname="X-Content-Type-Options"value="nosniff" />
        <addname="X-XSS-Protection"value="1; mode=block" />
        <!-- 서버 정보 숨기기 (X-Powered-By 제거) -->
        <removename="X-Powered-By" />
      </customHeaders>
    </httpProtocol>
    <!-- 3. 관리자 페이지 IP 접근 제한 -->
    <security>
      <ipSecurityallowUnlisted="true"> <!-- 기본적으론 허용하되 아래 경로에서 별도 제어 --><!-- 특정 폴더에 적용 시 <location> 태그 활용 가능 -->
      </ipSecurity>
      <!-- 4. 서버 배너 정보(Server: Microsoft-IIS) 숨기기 (IIS 10.0 이상) -->
      <requestFilteringremoveServerHeader="true" />
    </security>
  </system.webServer>
</configuration>