網站安全性原則解決方案

仲介交易 HTTP://www.aliyun.com/zixun/aggregation/6858.html">SEO診斷 淘寶客 雲主機 技術大廳

web安全性原則解決方案

第一部分 web的安全需求

1.1 Web安全的體系結構，包括主機安全，網路安全和應用安全;

1.2 Web瀏覽器和伺服器的安全需求;

在已知的web伺服器(包括軟硬體)漏洞中，針對該類型web伺服器的攻擊最少;

對伺服器的管理操作只能由授權使用者執行;

拒絕通過web訪問web伺服器上不公開發布的內容;

禁止內嵌在OS或者 web server軟體中的不必要的網路服務;

有能力控制對各種形式的.exe程式的訪問;

能夠對web操作進行日誌記錄，以便於進行入侵偵測和入侵企圖分析;

具有適當的容錯功能;

1.3 Web傳輸的安全需求

Web伺服器必須和內部網路隔離：

有四種實現方式，應選擇使用高性能的cisco防火牆實現隔離

Web伺服器必須和資料庫隔離;

維護一份web網站的安全拷貝：來自開發人員最終發佈的版本(內容安全);

其次，存儲的地點是安全的(另一台獨立的位於防火牆之後的內網的主機);

還有，定期備份應該使用磁帶，可讀寫光碟等媒介;

1.4 Web面臨的威脅：資訊洩露，拒絕服務，系統崩潰，跳板。

第二部分 web伺服器的安全性原則

主機作業系統是web的直接支撐著，必須合理配置主機系統，為WEB 伺服器提供安全支援：

只提供必要的服務;

某種服務被攻擊不影響其它服務;

使用運行在其它主機上的輔助工具並啟動安全性記錄檔;

設置web伺服器存取控制規則：

通過IP,子網，功能變數名稱來控制;

通過口令控制;

使用公用金鑰加密演算法;

設置web伺服器目錄許可權;

關閉安全性脆弱的web伺服器功能例如：自動目錄清單功能;符號連接等

謹慎組織web伺服器的內容：

連結檢查;

CGI程式檢測(如果採用此技術);

定期對web伺服器進行安全檢查;

輔助工具：SSH;

檔案系統完整性偵查工具;

入侵偵查工具;

日誌審計工具;

第三部分 web攻擊與反攻擊

入侵偵測方法：

物理檢查;

緊急檢查;

追捕入侵者;

攻擊的類型：

拒絕服務;

第四部分 原始程式碼的安全及約束規則

不能留有後門程式和漏洞，包括系統架構是否合理，是否符合安全需求彙編反彙編、病毒反病毒。

最後，至於 cookies的安全、加密技術、web瀏覽器的安全、web伺服器的安全每個公司設置的規則都不一樣，因人而異。