保障Web服务器安全的六个步骤
来源：asp之家 发布时间：2009-07-23 20:00:00
维护Web服务器安全是信息安全中最不讨好的差事之一。你需要在相冲突的角色中找到平衡，允许对网络资源的合法访问，同时阻止恶意破坏。
你甚至会考虑双重认证，例如RSA SecurID，来确保认证系统的高信任度，但是这对所有网站用户来说也许不实用，或者不划算。尽管存在这样相冲突的目标，仍有六个有助Web服务器安全的步骤。
对内部和外部应用分别使用单独的服务器
假设组织有两类独立的网络应用，面向外部用户的服务和面向内部用户的服务，要谨慎地将这些应用部署在不同的服务器上。这样做可以减少恶意用户突破外部服务器来获得对敏感的内部信息地访问。如果你没有可用的部署工具，你至少应该考虑使用技术控制(例如处理隔离)，使内部和外部应用不会互相牵涉。
使用单独的开发服务器测试和调试应用软件
在单独的Web服务器上测试应用软件听起来像是常识——的确是。不幸的是，许多组织没有遵循这个基本规则，相反允许开发者在生产服务器上调试代码甚至开发新软件。这对安全和可靠性来说都很可怕。在生产服务器上测试代码会使用户遇到故障，当开发者提交未经测试易受攻击的代码时，引入安全漏洞。大多数现代版本控制系统(例如微软的Visual SourceSafe)有助于编码/测试/调试过程自动化。
审查网站活动，安全存储日志
每一个安全专业人员都知道维护服务器活动日志的重要性。由于大多数Web服务器是公开的，对所有互联网服务进行审核是很重要的。审核有助你检测和打击攻击，并且使你可以检修服务器性能故障。在高级安全环境中，确保你的日志存储在物理安全的地点——最安全的(但是最不方便的)技巧是日志一产生就打印出来，建立不能被入侵者修改的纸记录，前提是入侵者没有物理访问权限。你也许想要使用电子备份，例如登录进安全主机，用数字签名进行加密，来阻止日志被窃取和修改。
培训开发者进行可靠的安全编码
软件开发者致力于创建满足商业需求的应用软件，却常常忽略了信息安全也是重要的商业需求。作为安全专业人员，你有责任对开发者进行影响到Web服务器的安全问题的培训。你应该让开发者了解网络中的安全机制，确保他们开发的软件不会违背这些机制;还要进行概念的培训，例如内存泄漏攻击和处理隔离——这些对编码和生成安全的应用软件大有帮助。
给操作系统和Web服务器打补丁
这是另一个常识，但是当管理员因为其他任务而不堪重荷时常常忽略这一点。安全公告，像是CERT或者微软发布的公告，提醒人们软件厂商多频繁地发布某些安全漏洞的修补程序。一些工具像是微软的软件升级服务(SUS)和RedHat的升级服务有助于使这项任务自动化。总之，一旦漏洞公布，如果你不修补它，迟早会被人发现并利用。
使用应用软件扫描
如果负担地起，你也许会考虑使用应用软件扫描器来验证内部编码。像是Watchfire公司的AppScan这样的工具有助于确保编码在生产环境里不会存在漏洞。记住，要有安全意识。设计良好的Web服务器结构应该基于健全的安全政策。贯彻执行这六个方法会帮助你建立坚固的基础。
0
投稿猜你喜欢
- 各位朋友好，感谢大家对（梧州123网www.wuzhou123.com）上期发表的“30天网站推广实战经验分享（论坛篇）
- 在博客上与朋友分享心情和梦想已是很多现代人生活的重要部分。而现在，“迷你博客”服务使人们不用电脑也能发布博文。人们可以用手机随时随地记录生活
- 今天我们来讨论一下有关GoDaddy的Linux主机帐户的绝对路径问题，一定要认真看哦！~/home/content/1/2/3/usern
- 帮朋友做个小导航时用到了下拉菜单，话说WordPress3.0以上版本的”wp_nav_menu（）”真是好用，加上主题自定义菜单的设置简直
- 我是从2006年开始注册 Adsense 的，刚刚开始的时候是做一个视频网站,数据涉及采集版权内容,申请了很多次都没有通过.还好那时候ads
WordPress2.9.1发布的时候，WordPress核心开发团队也间接的谈到了一些关于WordPress3.0版本的一些想法，虽然没有- 1)查看硬盘:两块9.1G SCSI 硬盘(实容量8.46*2)2)分区系统分区X盘7.49GWEB 分区X盘1.0G邮件分区X盘8.46G
- 商场如战场。不过在互联网的商战中真正的刀枪箭戟不多，取而代之的是口水。似乎不打打口水仗就显得不热闹。前有瑞星和奇虎，后有搜狐和迅雷等等，反正
- 以前说过反向链接质量越高，对排名帮助越大。而质量高的外部链接，比较少是交换来的友情链接。不过话说回来，质量高的链接并不好找。很多时候交换链接
- 一在web2.0几个标志性特征之中，用户是第一位的：一切以用户为中心。不过，web2.0中的用户虽然是第一位的，但不是终极目的，终极目的大部
- 数据分析能力是做SEO应该具备的基本能力。很多影响SEO效果的重要因素，都可以从数据上反映出来。不管是前期的预测，还是流量波动后的事后分析，
- 2001年到2003年，亚洲交友中心的免费会员女2美金男1美金，各类的点击冲浪邮件等赚钱联盟数不胜数，那时候可以说就是个拣美金的时代。03年
- Godaddy主机用户怎样设置Linux主机的高级目录权限呢？请按如下操作：首先、 登陆你的Account Manager.第二、 在My
- 自己也是菜鸟一个（文中若有错误之处欢迎各位大虾们指出）但还是希望能将我自己的一些作站经历写出来，为广大菜鸟朋友们做一些参考。试验目的：在只有
- 本文来自2008年第一期电脑报（1.7日）a8-a10版介绍我们草根的站长故事。从互联网在中国出现的第一天起，它在社会大众心目中的印象，就和
- 1、 要有坚定的恒心，“实验，实验，再实验”。做好搜索引擎优化不是一天两天的事情，要多改进网站的细节
- ascii：设定以ASCII方式传送文件(缺省值)bell：每完成一次文件传送，报警提示。binary：设定以二进制方式传送文件。bye：终
- 不算前言的前言好像已经很久没有写过安全方面的文章了，所谓安全圈子里面，大家也许认为玄猫消失了，不过，我想，作为骇客的玄猫也许从来没有出现过吧
- VPS根据 * 的定义就是virtual private server ，比虚拟主机高级，比专用服务器低档的一种中间形式。一般要用VPS，
- 网上营销的方式，除了进行网站推广之外，利用信息网站进行信息广告的发布，也是一种不错的网上营销途径。同城分类信息网站的广告效应已经越来越受到人
