如何保障WEB伺服器的安全

本文講的是<b>如何保障WEB伺服器的安全</b>，【IT168 資訊】WEB伺服器主要是面向網際網路的。是以，其是企業衆多資訊化應用中最容易受到攻擊的。現在企業的WEB應用越來越多，特别是其也逐漸在成為其他資訊化應用的進口。如筆者企業，把OA系統、郵箱系統的入口都捆綁在WEB伺服器上。故WEB伺服器安全是筆者衆多工作中的重中之重。

　　為了提高WEB伺服器的安全性，有衆多的方法。在這裡，筆者要向大家推薦的主要是三種方法。如果隻想通過這三種方法來保障WEB伺服器的安全當然是遠遠不夠的。但是，若企業資訊化管理人員若疏忽了這三個方面的内容，則WEB伺服器的安全性是很難保障的。

　　為WEB應用建立獨立的伺服器

　　由于WEB伺服器可能遭受到的攻擊，比ERP系統、辦公自動化系統等應用伺服器的幾率高的多。是以，若把這些應用放在WEB應用同一個伺服器中，則弱WEB伺服器遭受到攻擊，則很有可能殃及到ERP等關鍵應用。

　　筆者企業中雖然把OA系統的接口綁定在WEB伺服器上，但是，OA系統與WEB應用仍然在不同的應用伺服器上。這主要是為了友善員工從企業外部通路OA系統。如此的好處，就是當WEB服務遭受到攻擊不能使用時，最多員工無法從企業外部通路OA系統;而不影響企業内部員工的正常通路。

　　不過，筆者以前就犯過類似的錯誤。那時，企業由于資金緊張，就把WEB伺服器與ERP系統伺服器部署在同一個伺服器上。突然有一天企業的WEB伺服器遭受到了不明身份的人的攻擊。他們可能隻是出于好玩吧，沒有對WEB伺服器産生多大的危害。隻是CPU與記憶體的使用率居高不下。當把WEB伺服器跟外網斷開好，就恢複正常了。但是，這就使得同一個伺服器上的ERP應用無法運作。企業員工每次輸入一張銷售訂單，從原來的3分鐘變為現在的30分鐘。這麼慢的速度顯然很難讓人接受。從這個事件中，讓筆者懂得了一個真理，把企業内部應用放在WEB伺服器上是一個非常不明智的做法。由于WEB伺服器其面向的是網際網路，是以，其很容易遭受到别人的惡意攻擊。殃及池魚，受到攻擊後，連企業内部的應用服務都會受到牽連。

　　是以，筆者第一個要提醒大家的就是，在部署伺服器的時候，做好讓WEB等面向網際網路的應用服務跟其他面向内部的應用服務在不同的伺服器上部署。這在保障WEB伺服器安全的同時，也提高了企業其他應用服務的安全性。

　　事務日志，讓你對WEB運作狀況了如指掌。

　　其實，WEB伺服器隻要采取一定的保護措施，則攻擊就需要一個過程，不是說在一個短時間内就可以完成的。通常情況下，這個攻擊的過程往往會在WEB伺服器的事務日志中留下蛛絲馬迹。如非法攻擊者視圖通過密碼字典破解工具，嘗試網站管理者的密碼與密碼的時候，就會在WEB伺服器的日志中留下紀錄。如果我們在事務稽核中，設定當使用者密碼最多輸入錯誤次數的話，則當超過這個最大次數的時候，伺服器就會在自己的日志中紀錄這條資訊。此時，若網站管理人員可以看到這條資訊，則他們就可以及時的采取措施，如更改複雜密碼等手段，來提高伺服器的安全性。

　　是以，每一個WEB伺服器的管理人員都必須要重視事務日志的重要性。同時，為了讓事務日志發揮更大的作用，往往需要啟用稽核功能。通過稽核事件跟系統日志結合起來，可以讓日志伺服器紀錄一些常見的攻擊行為。進而給企業安全人員提供參考。否則的話，企業安全人員都不知道那裡受到攻擊了，那麼他們也就根本無法進行及時的應對。

　　不過話說話來，有些高手攻擊企業WEB服務後，不會再事務日志上留下任何痕迹。這　并不是說事務日志不管用了。而是因為他們在結合攻擊後，會修改事務日志的資訊。如某個攻擊者竊取了管理者使用者與密碼後通路企業網站中的機密資訊。一般情況下，這個通路紀錄會在事務日志中有所顯示。但是，一些高手會在推出之前修改事務日志。删除這些通路資訊，或者更改通路者。讓企業安全管理人員無從查起。為了讓他們無法更改事務日志檔案，則最好的方法就是更改事務日志檔案的路徑，并對其進行及時的備份。由于不知道路徑的真确位置，是以，及時不法攻擊者想攻擊想修改日志隐藏自己的蹤迹，都不可能。

　　筆者現在的做法是，更改WEB伺服器的日志的預設路徑。并且每隔三個小時對事務日志進行異地備份。同時，結合事件稽核功能，當日志伺服器捕捉到一些異常資訊時，如某個使用者一直在試圖登陸WEB伺服器的管理站時，就會像企業管理人員遞交這個異常資訊。通過日志的管理，可以把WEB伺服器的一些安全隐患及時的告知給管理人員。

　　是以筆者這裡要向大家推薦的第二把利器就是WEB伺服器的日志管理 .管理者為了提高日志的安全性，要修改伺服器日志的預設路徑，并且定時對其進行異地備份。同時，要跟其他的功能，如安全稽核、賬戶安全政策等工具，結合使用，可以起到事半功倍的作用。

　　代碼，影響WEB伺服器安全的最大殺手

　　對于WEB伺服器來說，代碼是其安全的最大殺手之一。很多WEB伺服器被攻破，大部分是由于代碼設計不當所引起的。故管理好WEB伺服器的代碼，是保障WEB伺服器安全的首要任務。

　　為了提高代碼的安全性，網站開發者要養成一些好的代碼編寫習慣。

　　一是不要直接采用網絡上的代碼。

　　有些開發者為了工作上的便利，會直接拷貝其他網友提供的代碼。但是，不幸的是，天下沒有白吃的午餐。有些人免費提供這些代碼往往帶有不可告人的秘密。如現在網絡上提供的一些電子商務平台與網站論壇代碼，代碼提供者很有可能會在代碼中預留一個後門。當他覺得有必要的話，則就可以很輕易的采用這個後門對其進行攻擊。是以，若企業要在WEB伺服器上實作一些關鍵應用，如客戶線上下單等等，則最好不要采用網絡上現成的編碼。隻可以借鑒，不可以抄襲。最好的話，自己開發。

　　二是增加的新功能不要在WEB服。

　　企業在發展，WEB應用也逐漸在完善。企業市場會提出一些新的需求。當開發者在開發某個功能的時候，最好不要直接在WEB伺服器上直接進行測試。有條件的企業，最好專門配置一個測試伺服器，以友善程式開發人員測試新功能。特别是若把這個程式開發外包給外面的企業的話，不能夠為了貪圖友善，直接讓對方在現用的WEB伺服器上進行測試。俗話說，知人知面不知心。對方很可能在你不知情的情況下，植入一個木馬都說不定。是以，防人之心不可無。企業在新功能的開發測試上還是要小心為妙。

　　三是盡量不要采用不安全的控件。

　　企業WEB應用跟娛樂網站不同。企業門戶網站強調的是快速、穩定、安全;而娛樂網站則強調的是美觀、靓麗、特效。為了吸引眼球，提高點選率，娛樂網站往往會采用比較多的特效。為此，他們會在WEB服務上采用比較多的控件來達到這個效果。但是，這些控件往往都有安全漏洞，跟WEB伺服器的安全背道而馳。如FLASH控件等等。針對這種控件的攻擊，網際網路上可能每天都在發生。還說不定哪一天就落到企業的頭上了。是以，企業網站隻追求穩定、安全，沒有必要過多的采用控件來實作特技效果。

　　筆者向大家推薦的第三把利器就是要做好代碼的安全設計，盡量減少采用不安全的控件。企業網站應該追求穩定、反映速度等等。而過多的采用控件，跟這兩個目标都是背道而馳的。

原文釋出時間為：2009-05-21

本文作者：IT168.com

本文來自雲栖社群合作夥伴IT168，了解相關資訊可以關注IT168。

原文标題：如何保障WEB伺服器的安全