如何保障Web服務(wù)器安全
維護Web服務(wù)器安全是信息安全中最不討好的差事之一。你需要在相沖突的角色中找到平衡，允許對網(wǎng)絡(luò )資源的合法訪(fǎng)問(wèn)，同時(shí)阻止惡意破壞。
你甚至會(huì )考慮雙重認證，例如RSA SecurID，來(lái)確保認證系統的高信任度，但是這對所有網(wǎng)站用戶(hù)來(lái)說(shuō)也許不實(shí)用，或者不劃算。盡管存在這樣相沖突的目標，仍有六個(gè)有助Web服務(wù)器安全的步驟。
對內部和外部應用分別使用單獨的服務(wù)器
假設組織有兩類(lèi)獨立的網(wǎng)絡(luò )應用，面向外部用戶(hù)的服務(wù)和面向內部用戶(hù)的服務(wù)，要謹慎地將這些應用部署在不同的服務(wù)器上。這樣做可以減少惡意用戶(hù)突破外部服務(wù)器來(lái)獲得對敏感的內部信息地訪(fǎng)問(wèn)。如果你沒(méi)有可用的部署工具，你至少應該考慮使用技術(shù)控制(例如處理隔離)，使內部和外部應用不會(huì )互相牽涉。
使用單獨的開(kāi)發(fā)服務(wù)器測試和調試應用軟件
在單獨的Web服務(wù)器上測試應用軟件聽(tīng)起來(lái)像是常識——的確是。不幸的是，許多組織沒(méi)有遵循這個(gè)基本規則，相反允許開(kāi)發(fā)者在生產(chǎn)服務(wù)器上調試代碼甚至開(kāi)發(fā)新軟件。這對安全和可靠性來(lái)說(shuō)都很可怕。在生產(chǎn)服務(wù)器上測試代碼會(huì )使用戶(hù)遇到故障，當開(kāi)發(fā)者提交未經(jīng)測試易受攻擊的代碼時(shí)，引入安全漏洞。大多數現代版本控制系統(例如微軟的Visual SourceSafe)有助于編碼/測試/調試過(guò)程自動(dòng)化。
審查網(wǎng)站活動(dòng)，安全存儲日志
每一個(gè)安全專(zhuān)業(yè)人員都知道維護服務(wù)器活動(dòng)日志的重要性。由于大多數Web服務(wù)器是公開(kāi)的，對所有互聯(lián)網(wǎng)服務(wù)進(jìn)行審核是很重要的。審核有助你檢測和打擊攻擊，并且使你可以檢修服務(wù)器性能故障。在高級安全環(huán)境中，確保你的日志存儲在物理安全的地點(diǎn)——最安全的(但是最不方便的)技巧是日志一產(chǎn)生就打印出來(lái)，建立不能被入侵者修改的紙記錄，前提是入侵者沒(méi)有物理訪(fǎng)問(wèn)權限。你也許想要使用電子備份，例如登錄進(jìn)安全主機，用數字簽名進(jìn)行加密，來(lái)阻止日志被竊取和修改。
培訓開(kāi)發(fā)者進(jìn)行可靠的安全編碼
軟件開(kāi)發(fā)者致力于創(chuàng )建滿(mǎn)足商業(yè)需求的應用軟件，卻常常忽略了信息安全也是重要的商業(yè)需求。作為安全專(zhuān)業(yè)人員，你有責任對開(kāi)發(fā)者進(jìn)行影響到Web服務(wù)器的安全問(wèn)題的'培訓。你應該讓開(kāi)發(fā)者了解網(wǎng)絡(luò )中的安全機制，確保他們開(kāi)發(fā)的軟件不會(huì )違背這些機制;還要進(jìn)行概念的培訓，例如內存泄漏攻擊和處理隔離——這些對編碼和生成安全的應用軟件大有幫助。
給操作系統和Web服務(wù)器打補丁
這是另一個(gè)常識，但是當管理員因為其他任務(wù)而不堪重荷時(shí)常常忽略這一點(diǎn)。安全公告，像是CERT或者微軟發(fā)布的公告，提醒人們軟件廠(chǎng)商多頻繁地發(fā)布某些安全漏洞的修補程序。一些工具像是微軟的軟件升級服務(wù)(SUS)和RedHat的升級服務(wù)有助于使這項任務(wù)自動(dòng)化�？傊�，一旦漏洞公布，如果你不修補它，遲早會(huì )被人發(fā)現并利用。
使用應用軟件掃描
如果負擔地起，你也許會(huì )考慮使用應用軟件掃描器來(lái)驗證內部編碼。像是 Watchfire公司的AppScan這樣的工具有助于確保編碼在生產(chǎn)環(huán)境里不會(huì )存在漏洞。記住，要有安全意識。設計良好的 Web服務(wù)器結構應該基于健全的安全政策。貫徹執行這六個(gè)方法會(huì )幫助你建立堅固的基礎。
【如何保障Web服務(wù)器安全】相關(guān)文章：
如何保證Web服務(wù)器安全11-11
網(wǎng)絡(luò )安全類(lèi)面試題如何保障Web服務(wù)器安全11-29
基于Unix的Web服務(wù)器安全10-04
安裝Web服務(wù)器11-10
Web服務(wù)器常規維護11-12
如何成功地實(shí)現web服務(wù)器的搭建11-10
Java Web服務(wù)器(應用服務(wù)器)08-17
WEB服務(wù)器的優(yōu)化方法11-14