网站安全防范（精选12篇）
网站安全防范 篇1
笔者常常收到上级部门的《关于加强网站安全防护的通知》和网络与信息安全情况通报,使得我们对网站安全认识进一步提高,对一般网站的安全隐患进行了认真细致的分析,积极研究整改措施,并对网站进行了全面监测,保证了网站的安全运行。
1 网站安全防范做法
1.1 认真组织系统自查
1)充分认识加强网络安全管理工作的重要性
领导要高度重视,组织相关部门认真学习《网站安全的工作方案》,要求通过全面的安全检查,及时掌握网站的安全现状和面临的威胁,认真查找隐患,堵塞安全漏洞,完善安全措施,保障网站安全、稳定、高效运行。
2)对照检查内容,逐条进行检查
在规定的时间内,我院按照“谁主管谁负责、谁运行谁负责、谁使用谁负责”的原则,从网站内容、网站安全体系和管理制度三个方面对网站进行了自查。
3)网站运行和内容方面。
(1)网站服务器安全。指派专人负责网站的日常运行与维护,确保网站正常运行。(2)不断完善网上服务功能,并安排专人对数据进行核查,确保数据准确性。(3)在网站内容方面,明确相关责任人对相应栏目的内容更新,及时发布各类网站信息。四是安排多人上班时间读网,发现错链、断链现象及时纠正。
4)安全防范措施方面。(1)网站已配备了硬件防火墙,有一定的防攻击、防病毒等硬件防护措施。(2)通过与有关技术支持商合作,加强网站的安全防护能力。(3)利用热备份和后台密码分级管理等手段,提高数据安全性。
5)管理制度方面。(1)建立了网上信息发布审核和保密审核制度,凡上传网站的信息,须经领导审查签字后方可发布。(2)与有关技术支持商明确了各方的职责与分工,并建全落实服务器管理、网站管理数据管理等各项规章制度。(3)投入必须服务经费,保证网站的安全和顺利运行。
1.2 网站硬件防护策略
网站系统网络拓扑结构如图1。
1)前端安全设备型号。防火墙:联想网御PV1408、IPS:联想网御IPS 630、网络防篡改:中软华泰
2)服务器信息。应用服务器:IBM X3850、操作系统:Windows 2008 standard 64bit、数据库服务器:IBM X3850、操作系统:RHAS 5.4
3)网站系统的前端安全设备有防火墙和入侵防护设备以及网络防篡改设备,可提供对网站的日常安全的保护功能。同时,应用方面数据库和应用程序分离,数据库不提供对外服务可降低安全的隐患。
1.3 加强网站安全设备使用
网站部署在两台服务器上,一台存放服务,一台存放数据库,采用双机互相备份的方式及时的备份数据。整个大的网络环境内部署了一台联想网御PV1428防火墙和一台联想网御IPS630,并且针对门户网站还专门配置了中软华泰的网站防护系统,可以实现“网站防病毒”、“网站防篡改”、“网站防入侵”的目的。
主要功能如下:
1)执行程序可信度量。通过可信度量技术,对系统中要启动的执行程序进行真实性和完整性度量,禁止不符合预期的程序启动。通过上述机制,实现了网站服务器对于病毒、木马、攻击程序等恶意代码自免疫,弥补了杀毒软件的滞后性问题。
2)程序安装控制。控制程序安装行为,禁止非法的程序安装行为。
3)可信代码防篡改。对于信任程序的实时保护,禁止任何的破坏和非法修改行为。
4)网页防篡改保护。在系统底层利用文件过滤驱动技术,实时监控受保护的WEB目录,实施严格的强制访问控制,禁止对受保护的WEB目录进行任何非法操作,从源头上杜绝网页非法篡改行为的发生。
5)重要资源写保护控制。对存放在服务器中的重要数据进行实时防篡改保护,禁止非法的篡改行为。
6)防SQL注入攻击。过滤含有SQL注入关键字的数据包,从而起到防SQL注入的效果。
7)防跨站脚本攻击。过滤含有跨站脚本关键字的数据包,从而起到防跨站脚本攻击的效果。
8)抗黑客扫描:阻止恶意攻击者的扫描行为,保护服务器的敏感信息。
9)SSL终止:终止SSL安全连接,对数据流进行解码,检查明文格式是否含有恶意的流量。
网站工作人员定期对服务器系统进行漏洞扫描、安装补丁、系统升级,每个月做一次独立的网站数据备份,确保门户网站安全畅通运行。
1.4 注重网站漏洞修复
经常更新系统软件,堵塞系统漏洞;比如:JBoss中间件漏洞修复;针对检测的安全隐患,我们认真分析了出现安全隐患的原因,并积极进行了整改,具体的修复方案及措施如下:
1)JBoss中间件存在非授权访问漏洞。
解决方案:我们采取的解决方案是在jboss目录下的server/default/deploy/jmx-console.war/WEB-INF/web.xml文件中增加了httpmethod>HEAD以降低威胁。
2)JBoss中间件的status页面可匿名访问。
解决方案:注销了/ROOT.war/WEB-INF/web.xml文件下的
摘要：无论是企业网站还是个人网站,网站安全都是一个很重要的方面,因为网站安全问题可能对网站造成信誉、流量、盈利,甚至政治影响。网站被黑带来的挂马,网站内容篡改,病毒的扩散点,用户信息泄漏等等的问题都可能会给网站带来灭顶之灾,故做好网站的安全检测和安全维护都是非常重要的工作。这里通过网站安全工作中的经验积累,分几个部分谈谈网站安全建设与管理方面的做法。在实际工作中,保证了网站的正常应用。
关键词：网站,安全,检测,防范,维护
网站安全防范 篇2
为了有效防范黑客攻击、数据篡改、病毒、木马软件、硬件故障等对中心各网站及应用系统造成的影响，保证中心网络与各网站系统的正常运行，特制定网络及网站防范措施如下:
一、黑客攻击、数据篡改防范措施
（一）服务器端
1、网站服务器和局域网内计算机之间设置经公安部认证的防火墙, 并与专业网络安全公司合作，做好安全策略,拒绝外来的恶意攻击，保障网站正常运行。
2、在所有网站服务器上安装正版防病毒软件，并做到每日对杀毒软件与木马扫描软件进行升级，及时下载最新系统安全漏洞补丁，开启病毒实时监控，防止有害信息对网站系统的干扰和破坏。
3、网站服务器提供集中式权限管理，针对不同的应用系统、终端、操作人员，由网站运行管理员设置服务器的访问权限，并设置相应的密码及口令。不同的操作人员设定不同的用户名及口令，严禁操作人员设置弱口令、泄漏自己的口令，且要求定期更换口令。对操作人员的权限严格按照岗位职责设定，并由网站运行管理员定期检查操作人员权限。
4、在服务器上安装设置IIS防护软件防止黑客攻击。
5、网站运行管理员定期做好系统和网站的日常备份工作。
6、网络管理员做好系统日志的留存。
（二）网站维护终端
1、网站维护人员要做好网站日常维护用设备的安全管理，每天升级杀毒软件病毒库，及时做好网站日常维护用终端电脑设备的病毒防护、木马查杀、操作系统及应用软件漏洞修复等工作，日常工作时要开启病毒实时监控。
2、不随便打开来源不明的Excel、Word文档及电子邮件，不随便点击来历不明的网站，以免遭到病毒侵害。外界存储设备（包括U盘、移动硬盘、存储卡、数码设备等）在维护终端上使用前，应及时查杀病毒，杜绝安全隐患。
3、切实做好维护终端共享目录设置管理工作，共享文件拷贝结束后应及时取消相应目录的共享设置，杜绝长期设置共享目录，严禁设置完全共享目录。
4、严禁将涉密类信息存放于维护终端。重要网站或专栏的后台登录地址不得以文件形式存放于维护终端中，不得在浏览器软件的收藏夹中收藏，要用纸介质形式存放，并妥善保存，如发生丢失应及时上报相关部门主管领导。
5、网站开发人员在网站交付使用前，应将网站后台发布系统登录文件名设置的尽量复杂，文件名采用字母、数字和特殊符号相结合的方式，长度不得少于20个字符。
6、网站开发人员在网站交付使用前，务必删除后台发布系统中不必要的功能代码，特别是论坛、博客类功能代码。
7、网站开发人员在网站交付使用前，务必删除后台发布系统中不必要的帐户、密码（如原先系统自带的或是测试用的帐户）。
8、网站开发人员在网站交付使用前，务必做好后台发布系统的管理员帐户、密码的设置与数据库防下载工作，坚决杜绝使用弱口令、弱密码，管理员密码采用字母、数字和特殊符号相结合的方式，长度不得少于10个字符，严禁多个网站公用一个管理员密码，消除安全隐患。
二、病毒及、木马软件防范措施
（一）服务器端
1、在所有网站服务器上安装正版防病毒软件，并做到每日对杀毒软件与木马扫描软件进行升级，及时下载最新系统安全漏洞补丁，开启病毒实时监控，防止有害信息对网站系统的干扰和破坏。
2、不在服务器上安装与网站运行无关的应用软件。
（二）网站维护终端
1、网站维护人员要做好网站日常维护用设备的安全管理，每天升级杀毒软件病毒库与木马扫描软件，及时做好网站日常维护用终端电脑设备的病毒防护、木马查杀、操作系统及应用软件漏洞修复等工作，日常工作时要开启病毒实时监控。
2、不随便打开来源不明的Excel、Word文档及电子邮件，不随便点击来历不明的网站，以免遭到病毒侵害。外界存储设备（包括U盘、移动硬盘、存储卡、数码设备等）在维护终端上使 用前，应及时查杀病毒，杜绝安全隐患。
3、设置网络共享帐号及密码时，尽量不要使用常见字符串，如guest、user、administrator等和空密码。密码最好超过八位，尽量复杂化。
4、在运行通过网络共享下载的软件程序之前，先进行病毒查杀，以免导致中毒。
5、禁用系统的自动播放功能，防止病毒从U盘、移动硬盘、MP3等移动存储设备进入到计算机禁用Windows 系统的自动播放功能的方法：在运行中输入 gpedit.msc 后回车，打开组策略编辑器，依次点击：计算机配置－＞管理模板－＞系统－＞关闭自动播放－＞已启用－＞所有驱动器－＞确定
三、网络设备硬件故障防范措施
1、定期对网络设备进行检测维护，检查网络设备状态，及时发现硬件故障。
2、定期对备份网络设备进行检测维护，在网络设备出现故障时，能够及时更换。
3、每天要对机房温度、湿度、灰尘情况进行检查，以免因温度、湿度、灰尘等情况导致网络设备损毁。
政府网站安全危机 篇3
国家互联网应急中心提供给《瞭望东方周刊》的数据显示，2013年上半年，中国境内被篡改的网站数量增长了63.6%，而被篡改的政府网站数量增长了153.1%。
即便如此，上述结果仍不能完全体现整个形势的严峻性。
“我们掌握的资料显示，每年有几千个政府网站页面被篡改，同样还有相当数量使用‘gov.cn’域名的网站被黑客植入‘暗链’，或者是广告、或者是点击访问后就会中毒的木马链接。从近两年来直接掌握的资料看，政府网站安全状况值得引起足够的重视。”中国互联网络信息中心国家域名安全中心主任胡安磊对《瞭望东方周刊》说，这只是监测至二级页面的结果。
“gov.cn”为后缀的域名，基本都属于政府系统。对中国政府网站常见的攻击是将网页篡改成钓鱼网站，或者加入一些赌博等“暗链”，其中不乏省部级政府官网。
更深层次的侵袭也屡屡发生。早在2008年，江西省卫生厅考试中心网站资格查询数据库等被攻破，黑客篡改数据库资料，然后伪造、销售假证，造成证书上网可查的假相，从中牟取暴利。
2012年，广东宣判另一起类似案件：13人犯罪团伙攻破180多个政府人事网站，300多万条涉及个人隐私的资料被盗卖，查获3万多人办理各类假证的数据。
来自境外、具有意识形态色彩的浅层攻击也日渐增多。
随着政府信息化建设，中国的政府官网、官微近年来已持续高速增长。但“政府网站被黑了还不知道”的事例在全国各地多次上演，暴露出政府网站高速增长后的深层次问题。
“近五年来基本上没什么提升。”参与相关信息化建设的北京知道创宇信息技术有限公司研究部总监钟晨鸣对《瞭望东方周刊》说，政府网站安全问题源自滞后的运营维护。
中国互联网络信息中心执行主任李晓东则对《瞭望东方周刊》说，“坦白讲，目前部分政府网站的信息化建设有待提升，网站缺乏有效的技术维护和安全管理，这是一个很关键的问题。”
被篡改网站数量成倍增长
“我们从2009年就开始对政府网站首页进行监测。最初每年有几十起涉黄、钓鱼安全事件。2013年9月，我们开始对政府网站进行更深层次的扫描，不仅限于政府网站首页，还包括下面的二级页面。反映在数字上，由原来的每月几个，增加到现在的上百个。”胡安磊说。
国家互联网应急中心运行部主任王明华向《瞭望东方周刊》介绍说，与往年相比，2013年被篡改的政府网站数量有很大增加。
例如江苏，作为东部沿海经济发达省份，其互联网被黑客攻击的频率较高：在2012年该省被篡改的政府网站中，广告链接类型的篡改事件占政府网站篡改事件的75.05%；区县级政府部门网站篡改事件占政府网站篡改事件的59.06%。
王明华说，2013年上半年统计数据显示，境内被篡改网站数量为17500个，其中政府部门网站是1736个；境内被植入后门网站52324个，其中政府部门网站为1342个。
“与2012年同期相比较，2013年上半年被篡改的境内网站数量增长63.6%，被篡改的政府网站数量增长153.1%；被植入后门的境内网站数量增长79.2%，政府网站数量增长4.1%。”他说。
“政府网站容易受到的另一种攻击是拒绝服务攻击。”胡安磊说。
拒绝服务攻击就是让目标服务器停止提供服务，是黑客常用的攻击手段之一。通常攻击者会对被攻击服务器的网络带宽进行消耗，使其无法接受访问。
比较而言，篡改网页是比较浅层的攻击手段。而滞后的网站建设却使它成为攻击政府网站的主要手段之一。
“虽然近年来各级政府逐渐重视信息化建设，很多政府机构都建立了自己的网站。但不少政府机构网站缺乏与政务信息的关联，也没有实时有效地与公众形成互动。”李晓东说，从目前情况来看，相当一大批政府网站目前只是完成了“建设”，公众通过网络找政府办事的还不多。
“黑客侵入网站系统，除了篡改网页、植入木马造成的经济损失之外，还会引起公众对政府公信力的质疑。”他说。
难以确定的攻击者
“从政府网站受攻击的情况看，攻击源分布在全世界，很难确定攻击方是什么人、什么组织，这是一个世界性难题。”王明华说，“一些有黑客组织声明的，或有明显相同攻击痕迹的，可以标识为黑客组织或个人攻击，这些在网页篡改事件中较为明显。”
例如，目前较为知名的“Anonymous”组织，攻击前会通过博客、微博等声明攻击动态，针对中国的“Anonymous—China”，通常利用漏洞进行渗透，以窃取大量网站用户账号和私密信息，攻击动机主要包括政治、宗教，以及一些国际性事件。
另一个例子是名为“反共黑客”的境外黑客组织。它通过掌握中国境内大量网站漏洞，采用预先植入后门等手段，控制一些网站服务器，持续篡改中国境内政府和重要信息系统部门、企事业单位网站，并在篡改页面上发布反动言论。
2013年7月11日凌晨，中国红十字基金会微博被“反共黑客”登录，并连续发布大量反动微博。
2013年6月1日至6月7日，“反共黑客”攻击了长春教育局、武汉理工大学管理学院和沈阳房产局的网站。
国家互联网应急中心的监测结果显示，“反共黑客”在这些网站植入了后门。
王明华说，事发几周前，国家互联网应急中心就通过辽宁分中心向沈阳市房产局发出过风险预警。
2012年中共十八大前夕，一个名为”反共黑客粉丝团”的非法网络黑客組织对中国境内的各大政府、高校门户网站实施了持续性定点渗透。它在成功渗透之后，恶意篡改网站页面，打上反动标语，恶意中伤造谣，并散播反党反国家言论。
被攻陷的也包括部分地方政法委、网警、电信部门官网。
而北京知道创宇信息技术有限公司的监测显示，每天都有来自全球各地针对中国政府网站的持续攻击。
“黑客会有针对性地进行快速全球扫描，当发现未公布或刚公布的漏洞，就进行入侵。比如有一批专门针对中国政府网站的黑客，他们有针对性地检测与中国政府有关系的相关网站，只要发现问题就实施攻击。”钟晨鸣说。
攻击目的各有不同
“在应用层面、域名层面、基础设施等三个层面，都可能产生渗透和攻击。实际上，最危险的、最大的，是中间这个层面——域名层面。域名系统层面是互联网的神经系统，政府网站安全和域名安全是息息相关的。”李晓东说。
监测结果显示，对中国政府网站的攻击主要来自境外。胡安磊认为它们主要有两种来源。
第一种是出于政治或经济利益。这些大多是一些黑客团体，譬如“匿名者”组织，由于价值观不同或出于政治目的，经常声称攻击中国政府网站。
王明华说，这种情况可以根据攻击后留下的标语发现。对“反共黑客”长时间的追踪发现，每次攻击中国政府网站的IP地址都来自加拿大、美国等境外国家，“再比如，攻击后留下旗帜标识，大多数和分裂势力、极端宗教势力有关。”
胡安磊说，还有一种是威胁性更大的、有组织的入侵行为。许多国家都会有一些专业组织，进行更有强潜伏性和持续性的攻击，目标往往针对特定政府或大企业，也就是网络安全界所说的“高级持续性威胁”。
事实上，王明华认为，目前黑客攻击网站的趋利性目的更为明显。“以篡改为例，2013年上半年政府网站被篡改的数量较同期有较大增长，主要是因为被植入广告黑链的政府网站数量有较大增幅。在政府网站首页植入黑链，有利于一些网站提升搜索引擎排名。有这方面需求的黑链网站，往往都是一些游戏私服、地下博彩、制售国家违禁品以及产品销售类网站。”
再比如，不久前一批境外黑客把与高利贷担保有关的链接植入有漏洞的网站，从而提升这些高利贷担保网站在搜索网站中的排名，“他们目的很明确，就是提升排名。”钟晨鸣说。
胡安磊说，传统上以炫耀技术为目的攻击越来越少，“大多出于经济目的，主要攻击商业网站，政府网站不是他们攻击的重点。”
王明华称，对政府网站的攻击往往从漏洞渗透开始，通过技术分析得到网站漏洞，再取得网站服务器控制期限，进而植入网站后门达到长期控制的目的。“单个网站的渗透费工夫，为省时省力，黑客自编扫描器或开发工具，可以批量检测或批量攻击。”
被称为APT的“高级持续性威胁”，一般是指有政府背景的组织或者小团体利用先进的攻击手段，对特定目标进行长期持续性网络攻击的形式。
“这种攻击很难命名，只能根据它的特征起个代号，被曝光的只是冰山一角，有很多APT攻击每时每刻都在进行。”钟晨鸣介绍说，随着技术的发展，网络安全领域也出现了新的入侵技巧，比如跨站攻击，是指在邮件内植入代码，打开邮件的同时邮箱里的信息就外泄了。
从地域上看，我国东部经济发达地区政府网站安全事件较多。
胡安磊说，从层级上看，县市级政府网站被攻陷的次数较多，中央、省部级网站虽然被攻击情况也很多，但被攻陷的情况相对较少。
钟晨鸣认为，政府网站安全性与投入力度有相当大的关系：中央、省部级网站往往会有专人负责网站漏洞的修复与维护，甚至负责网站安全类的产品采购，防御措施较好；一些县市，甚至乡镇的政府网站投入资金较少，基本上没有什么维护，只是简单地发些新闻，根本不考虑网站安全性。“我们给各个层次的政府网站提供网络安全方面的服务，各级政府给我们的回报差别还是很明显的。”
在李晓东看来，被黑客攻陷的政府网站日益增多，主要是因为重视还不够，安全保护措施不足。
管理水平参差不齐
王明华举例说，2013年夏天，国家互联网应急中心曾对江苏省国资委网站发出预警，但当天没有找到江苏省国资委的相关人员，打电话也没人接。当天晚上，该政府网站就被“反共黑客”篡改。
他说，目前国家互联网应急中心将全国超过150万备案网站列入日常巡检列表，并对其中5万多个政府网站进行重点监测；其次，紧密跟踪国内外黑客的活动情况，比如“反共黑客”、“匿名者”黑客组织，记录其攻击方法、习惯、倾向等攻击特征，及时产生预警；再者，联合国内其他安全组织，做好政府部门网站漏洞风险事件的检查和验证工作。
在2013年的大检查中，国家互联网应急中心发现了上百个安全隐患。
“2012年，交通部、水利部、国土资源部等多个政府网站存在的未知漏洞被发现后，一夜之间多个网站被同一个黑客攻破。这样的事情在2013年没有出现，说明这两年国家对中央部委网站大检查等互联网防护还是很有成效的，尤其是对部委网站。”王明华说。
中国互联网络信息中心作为国家顶级域名“.cn”域名的注册管理机构，会对一些重要政府网站的域名解析进行监测，如果域名被黑客劫持，会在第一时间直接联系政府网站域名注册联系人，从而及时解决问题。
此外，该机构也对重要政府网站开展安全方面的远程扫描和评价等工作。
胡安磊说，有些部委安排人员专门管理自己的网站，有些部委则托管给了从事网站管理方面的公司，“有些部委的一些业务或管理工作需要在网上开展，他们可能就较为重视本单位网站安全。政府网站管理方面的水平参差不齐，有些网站做得很好，有些网站做得较差，整体情况不容乐观。”
钟晨鸣分析说，由于立法打击等措施，目前“挂马”整体呈下降趋势，但是暗链却明显增多，“无论是政府网站，还是其他性质网站，暗链数量都很多。”
所谓“挂马”，就是黑客在被攻击网页植入恶意转向代码。当访问这个网页时，就会自动转向其他网址或下载病毒。
究其原因，钟晨鸣认为，首先是此类网络安全事件不会导致网站出现系统性破坏，而政府网站维修成本较高，或者有些政府网站出错了，自己也不修改；第二类是和搜索引擎欺骗有关系，比如通过百度跳转过去的可能变成博彩、色情网站，这种手段非常多。“在百度搜索栏输入‘六合彩 set：gov.cn’，就能看到一些网站的后面标注有‘风险’。有些相对来说比较隐蔽，而且没有‘挂马’危害大，所以政府网站解决力度很低。”
钟晨鸣说，“国内黑客对政府网站的‘挂马’，完全属于不小心。他们目的很明确，不是攻击政府网站，而是与网游有关系，盗取游戏账号。他们只是对类似于QQ业务有关的虚拟交易感兴趣。”
李晓东强调，随着电子政务的范围日益广泛、政务信息上网日渐增多，政府网站的安全一定要引起足够的重视。
高校网站安全防范措施研究 篇4
随着教育信息化的发展,几乎所有高校都建立了校园网门户网站及若干二级网站(各院系及职能部门网站)。高校网站在教学、科研、管理、宣传、校园文化建设等方面发挥了重要作用。目前,高校网站建设和管理安全意识比较薄弱,容易遭受网络攻击,在网站建设、安全管理方面存在一些不容忽视的问题。
1 高校网站运行现状分析
高校网站作为对外服务的窗口,是高校最主要的宣传互动平台之一,同时也是了解高校权威信息的主渠道。高校网站一般由学校门户网站及二级部门网站构成。由于网站建设的时间、技术、资金投入以及开发网站时使用的操作系统、开发语言以及规范性都参差不齐,致使高校网站类型迥异,管理维护难度大。
一般高校门户网站和二级部门网站分属于不同的部门维护,其中很大一部分网站由老师、学生或委托他人开发、管理和维护,管理人员也是临时指派不固定。而多数管理人员通常只会简单的计算机操作,普遍缺少网络安全知识和安全技术,安全意识淡薄。网络安全攻防需要具备网络、编程、系统命令以及操作系统底层等全方面的知识,而高校主要作为网站系统的应用者,基本上没有专门的安全攻防人员来负责网站安全,因此,对网站只能进行被动的管理,无法发现网站在运行过程中存在的安全隐患,很难做到事前防御。
2 高校网站安全面临的主要问题
高校网站安全面临的问题众多,既有客观上的,也有主观上的,既有显现的,也有潜在的,既有自身的,也有外在的,其中的主要问题可以概括为如下几点。
2.1 网站程序漏洞
各高校都是有多个部门以及二级学院所组成,因此高校网站数量也相对较多,但是其中一大部分是由教师和学生共同制作完成的,在相应技术和知识方面还存在一定的欠缺,使得在程序编写过程中存在较多的漏洞。例如,有的缺乏必要的安全设计,甚至没有有效的验证机制;有的网站使用各类小程序或交互技术,这些小程序本身就存在安全漏洞;还有网站使用的是现有的开源CMS源程序,使用者只是作了界面上的修改,对其中的数据库路径和数据库名称没有作任何修改,这些都很容易被黑客利用。常见的攻击方式有:SQL注入攻击、跨站脚本攻击、上传Webshell、Dos攻击等。
2.2 网站服务器操作系统、Web服务器软件漏洞
网络服务器常用的操作系统有Windows Server、Unix、Linux等,无论是哪种操作系统,都可能存在漏洞。如果不及时安装、升级补丁,系统存在的漏洞就会很多,安全隐患也很大。此外,还存在服务器配置漏洞,如打开不必要的服务端口、使用缺省用户名和密码等。同时,网站运行环境所需的Web服务器软件也可能存在漏洞,常用的Web服务器软件如Apache、My SQL等若版本过低,就会存在一定漏洞。
2.3 网站文件夹权限设置不合理
网站程序包括多种类型的文件,有静态网页、动态网页、数据库文件等,有的文件或文件夹只允许用户读取,有的允许用户读写,这些都需要网站管理员进行相应的设置。若管理员对Web服务器操作系统或Web应用程序配置不当,就可能导致网站数据被下载或篡改。
2.4 缺少网络安全设备
一些高校由于经费不足或者是对网络安全不够重视,没有配备网络安全检测或防护设备。虽然大部分高校网络出口都配备了防火墙,但是很多攻击行为可以绕过防火墙。由于网站正常运行需要开放Web访问端口,所以攻击者可针对Web层进行渗透,从而获取网站敏感信息,进行SQL注入攻击、跨站脚本攻击等。
2.5 日常管理维护不到位
网络服务器日常使用中,有些网站管理员安全意识淡薄,对服务器超级用户密码、网站后台账号密码或FTP密码等设置过于简单,很容易被破解。此外,由于网站管理员本身技术水平有限,对网站安全防范技术不了解,没有对站点进行相应的安全配置和日常安全检查,疏于管理,容易发生网站被黑客入侵的现象。
3 高校网站安全防范措施
3.1 网站程序编写
要避免网站程序漏洞,网站制作之初就应从严要求。例如,在编写程序代码时,要对用户输入数据进行验证,规范数据的大小、类型和字符串,要限制API函数对系统资源的使用,还要对Web服务器资源进行限制,防止服务遭攻击。除自主开发,也可以购买专业的网站管理系统,可获得及时的维护和升级服务,提高网站安全性。
3.2 服务器安全设置
及时更新操作系统安全补丁。在安装系统服务时,只安装必需的网络服务,只开放必需的网络端口,其它不用的端口可以暂时关闭。在服务器配置方面,为每个账户设置最小的管理权限,为不同的安全等级设置不同访问的账户。同时,修改管理员Administrator用户名并设置复杂的密码,禁用Guest用户,关闭磁盘共享和远程登录功能等。另外,需要安装杀毒软件,经常查杀病毒和木马。对Web服务器软件可能存在的漏洞,一方面要及时更新最新版本的软件;另一方面要针对漏洞安装补丁,进行相应的配置,做好预防工作。
3.3 网站文件夹权限设置
IIS是由微软公司提供的基于Microsoft Windows运行的互联网基本服务。在IIS中,应删除默认站点和默认站点目录,创建自己的网站,以增强网站的安全性。同时,配合操作系统NTFS权限来设置网站目录和文件访问权限。如果是静态网页所在目录,可给予读的权限;如果是动态网页所在目录,可给予脚本资源访问权限;如果是数据库文件所在目录,可给予读写的权限。另外,删除IIS中不必要的脚本映射,启用网站日志记录,为日后网站安全分析提供依据。
3.4 安装硬件防火墙、入侵检测系统、Web应用防火墙
在校园网安全建设中,要重视网络安全设备配置,通过硬件防火墙、入侵检测系统、Web应用防火墙等构筑网络安全防护体系。硬件防火墙是保障内网安全的一道重要屏障。它能在Internet与Intranet之间建立起一个安全网关,从而保护内部网免受非法用户入侵。硬件防火墙的安全性和稳定性直接关系到整个内网的安全。因此,日常例行检查对于保证硬件防火墙的安全非常重要。
3.5 网站日常管理维护
除技术层面的安全防护外,网站日常管理维护也是必不可少的环节。首先,在人员配置方面,需要安排专业技术人员从事网站日常管理维护工作,负责网络、网站服务器、网络安全设备等方面的管理;其次,制定相应的规章制度,责任到人,管理到位,建立安全应急响应及处置预案等;最后,要经常对网站管理人员进行培训,提高安全防范意识和技术水平,采用多种备份方式定期备份系统和网站数据,以便在出现问题时能及时恢复。
4 结论
网站的安全是整体的、动态的,因此需要制定全方位的网站安全策略来保障高校网站的安全。构建高校网站安全体系不仅要用到各种网络安全技术,还需要建立完善的网站安全管理制度,培养专门的网站管理人才,并在组织、人员和经费上确保各项管理制度得以全面落实,只有这样,才能有效地实现高校网站安全、可靠、稳定地运行。
参考文献
[1]赵磊.高校网站建设安全问题分析与对策[J].软件,2015.
[2]忽海娜,欧阳锋.高校网站建设安全问题分析与对策[J].软件导刊,2014.
[3]王丽莎.高校网站安全问题分析及防护对策研究[J].上海海关学院学报,2012.
网站安全应急预案 篇5
为妥善应对和处置我队网站信息安全突发事件、确保网站正常运行，根据《中华人民共和国计算机信息系统安全保护条例》、国务院办公厅《关于加强政府信息系统安全和保密管理工作的通知》等有关精神，结合我院实际情况，特制定本应急预案。
本预案主要立足防范和消除以下危害情况的出现：一是网站因病毒感染、黑客攻击导致数据被篡改、丢失、泄密，系统不能正常运行；二是因硬件故障、自然灾害、失窃等原因造成数据丢失、系统瘫痪。
一、应急组织机构
为及时处置网站信息安全突发事件，确保网站正常运行，我院成立了信息化建设领导小组，负责对网站安全突发事件的协调领导工作、网络与信息安全事件的应急处置，协助制定应急处置方案，及时向上级相关部门汇报情况，必要时与公安机关联系,获得必需的技术支持。
二、应急处置工作原则
1、统一领导、规范管理。网站突发事件由我信息化建设领导小组统一协调领导，遵照“统一领导、综合协调、各司其职”的原则协同配合、具体实施，完善应急工作体系和机制。
2、明确责任，分级负责，保证对网络与信息安全事件做到快
速觉察、快速反应、及时处理、及时恢复。
3、预防为主，加强监控。积极做好日常安全工作，提高应对
突发网络与信息安全事件的能力。建立和完善信息安全监控体系，加强对网络与信息安全隐患的日常监测，重点监控网页是否被篡
改、信息发布是否异常、网站运行是否异常等问题。
三、应急预防保障措施
1．建立健全网络与信息安全管理预案，加强对网站网络信息的日常监测、监控，强化安全管理，对可能引发网络与信息安全
事件的有关信息，要认真收集、分析判断，发现有异常情况时，及时处理并逐级报告。
2、做好网站文件和数据库备份。备份采用完全备份策略与部
分备份策略相结合，服务器管理员负责每天对网站数据库进行一
次完整备份，每季度对网站文件进行一次完整备份。
3、特殊时期启动网络与信息安全应急值班制度。在特殊时期
进行24小时应急值班，对网络和信息数据加强保护，进行不间断
监控，一旦发生网络与信息安全事件，立即启动应急预案，判定
事件危害程度，采取应急处置措施，并立即将情况报告有关领导。在处置过程中，及时报告处置工作进展情况，直至处置工作结束。属于重大事件或存在非法犯罪行为的，及时向公安机关报告。
4、保持与网站开发厂商沟通渠道的畅通，确保在应急处理过
程中遇到困难或问题时能及时获得网站开发厂商的技术支援。
四、应急响应流程
网站应急响应流程主要分为：分析确认、启动应急预案，故
障修复、恢复运行、详细备案。
五、应急处理措施
1、网站、网页出现非法言论事件紧急处置措施
（1）发现网站出现非法信息或内容被篡改，立即通知市场营
销部及上级领导，将非法信息或篡改信息从网络中隔离出来，必
要时断开网络服务器。
（2）情况严重，保护现场，保存非法信息或篡改页面，并断
开网络服务器，立即向公安机关报警。
（3）网站管理员应同时作好必要记录，追查非法信息来源，清理或修复非法信息，妥善保存有关记录，强化安全防范措施，并将网站重新投入运行。
（4）将处理结果向公安机关汇报。
2、系统软件遭受破坏性攻击、网站瘫痪的紧急处置
（1）系统软件遭到破坏性攻击，网站瘫痪，立即向市场营销
部和上级领导报告，并将系统停止运行。
（2）情况严重的，要保护好现场，保存非法信息或篡改页面，并断开网络服务器，立即向公安机关报警。
（3）待公安部门提取相关资料后，技术维护人员会同技术服
务商检查日志等资料，确认攻击来源。
（4）修复系统，重新配置运行环境，恢复数据。
（5）做好相应的记录，实施必要的安全加固措施，将网站重
新投入运行。
3、硬件故障或以外情况的应急处理
（1）出现线路问题，由中国联通股份有限公司负责处理。
（2）网络设备、计算机系统、网络系统出现故障，由网络与
计算机中心负责维护。
（3）机房遇到失火、盗窃，及时向上级领导报告，必要时请
公安部门或消防部门提供帮助。
（4）以上情况均做好必要的记录，并妥善保存。
本预案从制定之日起执行。
网站数据库的安全防范及对策浅谈 篇6
关键词：网站；网站数据库；问题；安全防范；对策
中图分类号：TP393.08 文献标识码：A 文章编号：1007-9599 (2012) 10-0000-02
数据库的安全性是指在任何情况下，数据库中的每一个部分都不会受到损坏或者任意地修改。作为网站的数据库，对其安全性的要求就会更高，它是网站信息系统的核心，对网站的发展起着重要的促进作用与保护作用。但当前，网站数据库在发展过程中出现了很多问题与矛盾，本文将从网站数据库的角度出发，研究避免网站数据库出现安全问题的防范对策。
一、关于网站数据库的概述
（一）网站数据库的含义
所谓网站数据库，就是指动态网站存放网站相关数据的空间，也被称为数据空间。它可以通过网站的后台，将数据信息直接发布到网站的数据库内，有需要时网站可以从数据库内调取数据库内的信息。根据网站的大小，或者数据的多少，网站可以决定选用ACCCESE数据库或者SQL数据库。
（二）网站数据库的作用
第一点，网站数据库可以为用戶提供搜索功能，方便用户在网站内寻找所需要的信息。不仅可以节约时间，而且可以提高网站的浏览率与经济效益。
第二点，网站数据库具有搜集信息的功能，这样用户在登录之后可以详细地了解相关的服务信息或者优惠信息，达到吸引客户的目的。
第三点，网站数据库具有产品管理的功能，通过数据库可以很方便地对产品进行分类，将产品信息电子化，方便以后的检索、储存、维护等工作。
第四点，网站数据库可以为用户提供BBS论坛和Chat聊天室程序的功能，方便用户之间的交流与了解。
第五点，网站数据库的发展有助于网站开发具有亲和力的网站环境与开发具有特殊功能网站的功能，有助于改善网站的运行环境。
二、网站数据库出现的安全问题
（一）ASP给网站数据库的发展带来的问题
首先，ASP在程序设计方面出现的潜在隐患。当ASP源代码利用程序中表单来实现与客户交互功能的时候，ASP相应的内容就会被反映到网站浏览器的地址栏内。在这种情况下，如若不采取科学有效的措施去保护网站数据库的安全，运用相关工具记下ASP所要反映的内容，就可能出现危害网站数据库安全的问题。当用相关工具将这些内容记下之后，ASP就科技绕过网站所规定的验证规则直接进入下一个页面进行下一步操作。比如说，我们在网站浏览器中输入“pageasp3x=2”，我们可以利用ASP程序，直接忽略表单页面直接进入“x=2”条件的页面。所以，我们在注册相关页面或者设计相关页面的时候，要采取相应的特殊措施来避免上述问题的发生，维护网站的安全运行。
其次，ASP程序源代码方面出现了一些潜在的隐患。比如说，很多网站在使用ASP程序在设计源代码的时候，往往采取非编译性计算机语言，这在很大成度上增加了ASP程序源代码的危险性，削弱ASP程序源代码的安全性能。登陆网站的任何一个人只要懂得ASP系统，就可以获得ASP源代码，很容易造成ASP程序中源代码的泄露，对网站数据库的安全造成不可磨灭的消极影响，不利于网站的健康发展。
（二）Access数据库对网站数据库带来的问题与矛盾
针对Access数据库解密隐患给网站数据库带来的问题。众所周知，Access数据库在设计加密程序的时候，没有考虑到网站的复杂性与危险性，所设计的加密机制非常简单，解密相当容易，即使后来设置了复杂的密码，解密也还是很容易。在Access数据库中，网站将客户输入系统的密码和某一个比较固定的密钥异域进行绑定，从而形成一个加密串。同时将这个加密串储存在*.mdb的文件之中，所需记住的地址是以“＆H42”为开头的区域之中。我们知道异域具有这样一个特点：数据库的数据在经过两次异域之后，就会完全恢复它的原值。这样的特点，极易被黑客或者非常懂电脑的人所利用，他们只要将Access数据库的密钥和*.mdb文件中的加密串整合，进行第二次异域，就可以得到Access数据库的密码。也就是说，Access数据库在安全防范方面是比较弱的没有强大的防护系统对数据库的安全进行有效地防范。懂电脑的人只要熟悉这一原理，编制出一些简单的解码解密的程序，就可以很轻易地进入网站的数据库，获取他们所需要的信息，这种状况极大地危害了网站数据库的安全。即使网站设置了复杂的密码与密钥，只要将整个数据库下载下来，网站数据库中的信息就会被肆意传播，用户就没有隐私可言，极大地损害了网站的信誉，损害了网站的社会效益与经济效益。
（三）SQL Server数据库的安全隐患
关于SQL Server数据库的安全隐患问题，经过有关权威机构的研究表明，其隐患产生的原因主要包括以下两个方面：一是远程的非法用户，他们作为攻击者通过互联网对连接在互联网上的任何一个用户机器进行攻击，以便获得自己想要获得的数据信息；二是通过其他不合法的手段获得本地系统使用权限的非法用户。
三、针对网站数据库出现的问题所采取的安全防范对策
（一）将ASP程序的页面进行加密工作
针对ASP程序中一些页面出现安全状况，需要采取一些措施对其进行加密工作。在经过科学细致地对比之后，我们可以选择由微软公司出品的免费软件Script Encoder程序对ASP程序中的页面进行加密工作。Script Encoder程序可以对ASP程序中的目录的任何一个ASP文件进行加密工作，同时将已经加密过的文件一一输入到与之对应的目录当中。Script Encoder程序拥有一个特点，就是它只加密在HTML页面中的ASP源代码，对于其他页面中出现的ASP源代码不实行加密。这种特点使得我们在使用Front Page的时候，只是单纯地对HTML进行加密，修改或者完善，系统中的其他部门可以保持不变。它所带来的优点是操作简单、加密效果好。
（二）SQL Server数据库的安全设置
首先是Windows2000系统的安全设置，主要会包括以下几个步骤：一是使用NTFS格式对数据库进行分区；二是修改数据库注册表关闭时默认是共享的；三是尽量锁定注册表；四是禁用Guest账号，给账号设置复杂的密码；五是在数据库中设置系统登录过程中所需的各个项目；六是要设置即时地到微软网站上下载随心的补丁程序；七是将数据库中一些敏感的文件储存在另一个服务器中，同时进行备份，以备不时之需。
其次是SQL Server2000数据库的安全设置。这包括以下几个步骤：一是要在数据库内设置使用需要的安全账户与密码。数据库的密码要是比较复杂的，还要定期进行查看，定期修改密码，以保证数据库的安全；二是对操作系统进行安全設置，对数据库中的PHP或者ASP脚本进行安全审核；三是在SQL Server2000中利用Tabular Data Stream协议对数据库进行数据交换，以保证加密的网络传输数据是密文的；四是由于SQL Server2000属于端口型的数据库，要选择微软未公开的1434端口，接着选择TCP/IP协议的属性，最后实现隐藏SQL Server的实例。
第三是SQL Server2005数据库的安全设置，很多数据库系统只能识别一个用户账号，对于其他用户账号是不能快速识别的。比如说，很多数据库对登录账号sa这个超级账号的识别是比较模糊的。利用SQL Server2005，就可以对sa超级账号进行删除或者重命名的操作：第一要登录SQL Server Management Studio，第二要选择对象资源管理器属性，第三要选择安全性属性，第四要选择登录名的属性，第五要选择sa，按右键选择“删除”或者“重命名”，同时将“用户映射”中所有数据库的映射全部取消。在将sa重新命名为xinxin之后，“登录名”之后的多余无用的账号也需要禁止，需要在这些账号上右键单击，选择“状态”属性，将“是否允许连接到数据库引擎”的选项修改为“拒绝”，将“登录”修改为“禁用”等。
四、结语
随着计算技术与网络通讯技术的发展，人们对网络安全的重视度越来越高，尤其是网站数据库的安全。要保证网站数据库的安全，首先要加强自身的学习，努力提升自身对保护网站数据库安全的意识；其次要经常对自身网站的安全进行测试，及时的对网站内的各种各样的漏洞进行修补，尽全力提高网站数据库的安全性能，从而更好地为用户服务。
参考文献：
[1]刘爱云.浅析网站数据库的安全防范及对策[J].科技风,2010,4
[2]朴海明.数据库安全威胁与安全防范措施[J].科技资讯,2010,3
[3]黄荣生.浅析网站数据库的安全防范及对策[J].商情,2009,11
[4]魏媛媛.浅析网络数据库安全技术研究[J].信息与电脑,2010,3
[5]张荣华.数据库安全常用技术及发展趋势[J].内江科技,2009,3
[6]朱文梁.维护网站安全的关键——数据库[J].华章,2011,2
电子商务网站的安全防范技术 篇7
为了确保电子商务活动的健康发展和正常进行, 除了应加大对黑客和计算机犯罪的打击力度外, 加强电子商务网站自身的安全防护也是非常重要的。因此, 当一个企业架设电子商务网站时, 应选择有效的安全措施。
1 电子商务网站安全的要求影响
电子商务网站安全的因素是多方面的。从网站内部看, 网站计算机硬件、通信设备的可靠性、操作系统、网络协议、数据库系统等自身的安全漏洞, 都会影响到网站的安全运行。从网站外部看, 网络黑客、入侵者、计算机病毒也是危害电子商务网站安全的重要因素。电子商务网站的安全包括三个方面的要求:
1.1 网站硬件的安全要求网站的计算机
硬件、附属通信设备及网站传输线路稳定可靠, 只有经过授权的用户才能使用和访问。
1.2 网站软件的安全网站的软件不被非法篡改, 不受计算机病毒的侵害;
网站的数据信息不被非法复制、破坏和丢失。
1.3 网站传输信息的安全指信息在传输过程中不被他人窃取、篡改或偷看;
能确定客户的真实身份。本文主要论述当电子商务网站面对来自网站外部的安全威胁时, 应采取哪些有效的安全措施保护网站的安全。
2 电子商务网站的安全措施
2.1 防火墙技术
防火墙是指一个由硬件设备或软件、或软硬件组合而成的, 在内部网与外部网之间构造的保护屏障。所有的内部网和外部网之间的连接都必须经过此保护层, 并由它进行检查和连接。只有被授权的通信才能通过防火墙, 从而使内部网络与外部网络在一定意义下隔离, 防止非法入侵、非法使用系统资源、执行安全管制措施。
防火墙基本分为两类:包过滤和基于代理的防火墙。包过滤防火墙对数据包进行分析、选择, 依据系统内事先设定的过滤逻辑来确定是否允许该数据包通过。代理防火墙能够将网络通信链路分为两段, 使内部网与Internet不直接通信, 而是使用代理服务器作为数据转发的中转站, 只有那些被认为可信赖的数据才允许通过。这两种防火墙各有其优缺点:包过滤器只能结合源地址、目标地址和端口号才能起作用, 如果攻击者攻破了包过滤防火墙, 整个网络就公开了。代理防火墙比包过滤器慢, 当网站访问量较大时会影响上网速度;代理防火墙在设立和维护规则集时比较复杂, 有时会导致错误配置和安全漏洞。由于这两种防火墙各有优缺点, 因而在实际应用中常将这两种防火墙组合使用。
目前市场上最新的防火墙产品集成了代理和包过滤技术, 提供了管理数据段和实现高吞吐速度的解决方案。这些混合型的设备在安全要求比吞吐速度有更高要求时, 能实行代理验证服务, 在需要高速度时, 它们能灵活地采用包过滤规则作为保护方法。
2.2 入侵检测系统
防火墙是一种隔离控制技术, 一旦入侵者进入了系统, 他们便不受任何阻挡。它不能主动检测和分析网络内外的危险行为, 捕捉侵入罪证。而入侵检测系统能够监视和跟踪系统、事件、安全记录和系统日志, 以及网络中的数据包, 识别出任何不希望有的活动, 在入侵者对系统发生危害前, 检测到入侵攻击, 并利用报警与防护系统进行报警、阻断等响应。
入侵检测系统所采用的技术有: (1) 特征检测:这一检测假设入侵者活动可以用一种模式来表示, 系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来, 但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又网络时空不会将正常的活动包含进来。 (2) 异常检测:假设入侵者活动异于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”, 将当前主体的活动状况与“活动简档”相比较, 当违反其统计规律时, 认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法, 从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。
2.3 网络漏洞扫描器
没有绝对安全的网站, 任何安全漏洞都可能导致风险产生。网络漏洞扫描器是一个漏洞和风险评估工具, 用于发现、发掘和报告安全隐患和可能被黑客利用的网络安全漏洞。
网络漏洞扫描器分为内部扫描和外部扫描两种工作方式: (1) 外部扫描:通过远程检测目标主机TCP/IP不同端口的服务, 记录目标给予的回答。通过这种方法, 可以搜集到很多目标主机的各种信息, 例如:是否能用匿名登录、是否有可写的FTP目录、是否能用TEL-NET等。然后与漏洞扫描系统提供的漏洞库进行匹配, 满足匹配条件则视为漏洞。也可通过模拟黑客的进攻手法, 对目标主机系统进行攻击性的安全漏洞扫描。如果模拟攻击成功, 则可视为漏洞存在。 (2) 内部扫描:漏洞扫描器以root身份登录目标主机, 记录系统配置的各项主要参数, 将之与安全配置标准库进行比较和匹配, 凡不满足者即视为漏洞。
2.4 防病毒系统
病毒在网络中存储、传播、感染的途径多、速度快、方式各异, 对网站的危害较大。因此, 应利用全方位防病毒产品, 实施“层层设防、集中控制、以防为主、防杀结合”的防病毒策略, 构建全面的防病毒体系。
常用的防病毒技术有: (1) 反病毒扫描:通过对病毒代码的分析找出能成为病毒结构线索的唯一特征。病毒扫描软件可搜索这些特征或其它能表示有某种病毒存在的代码段。 (2) 完整性检查:通过识别文件和系统的改变来发现病毒。完整性检查程序只有当病毒正在工作并做些什么事情时才能起作用, 而网站可能在完整性检查程序开始检测病毒之前已感染了病毒, 潜伏的病毒也可以避开检查。 (3) 行为封锁:行为封锁的目的是防止病毒的破坏。这种技术试图在病毒马上就要开始工作时阻止它。每当某一反常的事情将要发生时, 行为封锁软件就会检测到并警告用户。
2.5 启用安全认证系统
企业电子商务网站的安全除网站本身硬件和软件的安全外, 还应包括传输信息的安全。对一些重要的的传输信息, 应保证信息在传输过程中不被他人窃取、偷看或修改。因此, 应在网站服务器中启用安全认证系统。安全认证系统对重要的信息采用密码技术进行加密, 使它成为一种不可理解的密文。接收方收到密文后再对它进行解密, 将密文还原成原来可理解的形式。目前, 在电子商务中普遍采用SSL安全协议。
SSL安全协议主要提供三方面的服务: (1) 认证用户和服务器, 使得它们能够确信数据将被发送到正确的客户机和服务器上。 (2) 加密数据以隐藏被传送的数据。 (3) 维护数据的完整性, 确保数据在传输过程中不被改变。
3 结束语
任何一种安全措施都有其局限性, 企业电子商务网站的设计人员必须在精心的安全分析、风险评估、商业需求分析和网站运行效率分析的基础上, 制定出整体的安全解决方案。为保证整体安全解决方案的效率, 各安全产品之间应该实现一种联动机制。当漏洞扫描器发觉安全问题时, 就会通知系统管理员, 及时采取补漏措施;当入侵检测系统检测到攻击行为时, 就会利用防火墙进行实时阻断;当防病毒系统发现新病毒时, 也会及时更新入侵检测系统的病毒攻击库, 以提高入侵检测系统的检测效率;由于安全产品和服务器、安全产品与安全产品之间都需要进行必要的数据通信, 为了保证这些通信的保密性和完整性, 可以采用安全认证手段。只有当各种安全产品真正实现联动时, 网络安全才能得到保障。
参考文献
[1]徐超汉.计算机网络安全与数据完整性技术[M].北京:电子工业出版社, 1999:104-105.
[2]田俊华.网络信息系统安全策略[J].西安工程科技学院学报, 2003, 4 (17) .
校园网站服务器安全防范措施 篇8
1 服务器安全
服务器安全是最基础也是最重要的, 虽然Windows Server2003的安全性较以前的版本有了很大的提高, 但是, 不能完全依靠默认的安全设置, 要根据服务器的性质进行安全配置。
1.1 安装杀毒软件和系统补丁
杀毒软件不仅能杀掉一些病毒, 还能查杀大量的木马和后门程序。安装了杀毒软件后, 黑客使用的木马就没有了用武之地, 但是要注意的是必须要经常升级病毒库。
要及时给系统安装安全漏洞补丁程序。漏洞是指操作系统或应用程序在逻辑设计上的缺陷或在编写时产生的错误, 这个缺陷或错误可以被黑客利用, 通过植入木马、病毒等方式来攻击网络上的服务器, 从而窃取网络中的重要资料和信息, 甚至破坏网络系统。
1.2 开启防火墙
Windows Server 2003自身带有网络防火墙, 并可改变端口。将Internet与防火墙连接起来, 可以有效地拦截对Windows 2003服务器的非法入侵, 防止非法远程主机对服务器的扫描, 提高Windows 2003服务器的安全性。
1.3 关闭不需要的端口
很多入侵都是基于端口的, 一些看似不必要的端口, 却可以向黑客透露操作系统中的敏感信息。如果对端口进一步访问, 黑客就会清楚服务器上软件及其版本的一些信息, 这对黑客的入侵提供了很大的帮助, 在配置服务器安全时, 只开放需要的端口即可。
1.4 关闭不需要的服务
禁止不需要的服务, 这些服务很可能会成为攻击者入侵的通道, 因此, 要尽量关闭多余的服务, 减少一些安全隐患。比如以下这些服务, 不需要就可以关闭:Computer Browser, Task scheduler, Routing and Remote Access, Removable storage, Remote Registry Service, Print Spooler, IPSEC Policy Agent, Distributed Link Tracking Client, Telnet等。
1.5 删除默认共享
Windows系统默认安装完成后, 系统中所有分区和系统文件夹都已经自动共享, 这被称为默认共享。这些共享文件夹都是隐藏的, 但它会对系统造成很大的安全隐患, 所以, 必须要删除默认共享, 防止入侵。
1.5.1 使用注册表删除默认共享
要删除默认共享, 具体操作步骤如下: (1) 在“开始”|“程序”|“运行”中输入命令regedit, 打开注册表编辑器; (2) 在注册表编辑器中展开HKEY_LOCAL_MACHINESYSTEMCurrent Control SetServiceslanmanserverparameters分支, 将右侧窗口中的DOWRD值“Auto Share Server”设置为“0”; (3) 重新启动计算机系统。
1.5.2 使用批处理删除默认共享
如果使用命令删除默认共享, 那么, 在服务器重启时又会还原。每次都执行删除命令比较麻烦, 所以, 可以将其编写成一个批处理文件添加到组策略中, 每次服务器开机时会自动执行该命令。
1.6 禁止远程枚举本地账户和共享
这样做的目的是防止黑客的病毒软件通过远程账户和共享途径破解计算机密码, 并获取各类权限。要解决这个问题的具体方法是:在“运行”对话框中输入“secpol.msc”, 打开本地安全设置, 展开本地安全设置左侧栏中的“安全选项”, 在右窗格中找到“网络访问”:不允许SAM账户和共享的匿名连接两项服务, 双击它, 在“状态”中点击“已启用”。
2 IIS安全
2.1 定期访问网站前台查看是否正常
管理员要定期访问网站, 至少每天早晨和晚上要进行一次访问, 及时发现威胁, 这样做是因为黑客入侵事件大多发生在夜间。
2.2 修改默认站点
删除默认建立的站点虚拟目录, 停止默认Web站点, 删除相对应的文件目录C:inetpub, 配置所有站点的公共设置, 设置好相关的连接数限制、带宽设置和性能设置等其他设置。配置应用程序映射, 删除所有不必要的应用程序扩展, 只保留asp, php, cgi, pl, aspx应用程序扩展。对php和cgi, 推荐使用isapi方式解析, 因为用exe解析对安全和性能都有所影响。用户程序调试设置后, 会发送文本错误信息给用户。
3 防护安全隐患
尽管Windows 2003的功能在不断增强, 但是由于系统设计的原因, 它还存在不少安全隐患, 要是不对这些隐患进行防护, 可能会给整个系统带来不必要的麻烦, 下面笔者就介绍Windows 2003中不常见安全隐患的防护方法。
3.1 防护自动保存隐患
要解决自动保存隐患, 具体步骤如下: (1) 在注册表编辑器中展开HKEY_local_machinesoftwareMicrosoftWindowsdows NTcurrent VersionAe Debug分支, 在对应Ae Debug键值的右边子窗口中, 用鼠标双击Auto值, 在弹出的参数设置窗口中将其数值重新设置为“0”; (2) 打开系统的Windows资源管理器窗口, 并在其中依次展开Documents and Settings文件夹、All Users文件夹、Shared Documents文件夹和Dr Watson文件夹, 最后将对应Dr Watson文件夹中的User.dmp文件、Drwtsn32.log文件删除掉; (3) 重新启动系统。
3.2 防护资源共享隐患
为了局域网用户相互之间方便传输信息, Windows Server 2003系统提供了文件和打印共享功能。不过该功也存在不少的漏洞, 给服务器系统造成了很大的安全隐患, 所以, 在用完文件和打印共享功能时, 要随时将功能关闭, 防护资源共享隐患。具体操作方法是:打开“网络连接”|“属性”|“本地连接”|“属性”“Interne协议 (TCP/IP) ”的属性设置对话框, 取消“Microsoft网络的文件和打印机共享”选项, 本地计算机就没有办法对外提供文件和打印共享服务了, 这样自然就少了黑客对系统“通道”的攻击。
3.3 防护远程访问隐患
在Windows 2003系统下, 要进行远程网络访问连接时, 该系统下的远程桌面功能可以将进行网络连接时输入的用户名和密码通过普通明文内容方式传输给对应连接端的客户端程序。在明文账号传输过程中, 黑客使用各种嗅探工具, 很容易就可以截获明文账号。为了防护这种安全隐患, 要关闭远程服务, 具体方法是:打开“我的电脑”|“属性”|“远程”对话框, 将“允许用户远程连接到这台计算机”选项取消掉, 这样就可以将远程访问连接功能屏蔽掉, 有效防护远程访问隐患。
3.4 防护用户切换隐患
Windows 2003系统提供了快速用户切换功能, 利用该功能可以很轻松地登录到系统中, 但要是执行系统“开始”菜单中的“注销”命令来快速“切换用户”时, 再用传统的方式登录系统, 系统很有可能会将本次登录错误地当作是对计算机系统的一次暴力“袭击”, 这样, Windows 2003系统就可能将当前登录的账号当作非法账号锁定。所以, 要防护用户切换隐患, 具体方法是:打开“开始”|“程序”|“管理工具”|“计算机管理”|“用户和组”|“用户账户”窗口, 将“允使用快速用户切换”选项取消掉。
3.5 防护页面交换隐患
在Windows 2003操作系统的页面交换文件中, 隐藏了不少重要隐私信息, 这些信息都是在动态中产生的, 要是不及时将它们清除, 就很有可能成为黑客的入侵突破口。为此, 在关闭Windows 2003操作系统时, 可自动将系统工作时产生的页面文件全部删除掉。
4 结束语
综上所述, 校园网站服务器安全防范工作对校园网络的可持续发展有着重要的意义。因此, 网络管理人员应认识到校园网站服务器管理工作的重要性, 提高自身网络技术水平, 并制订出一系列切实、有效的防范措施, 最大限度降低服务器遭受入侵和攻击的可能性, 从而确保校园网站服务器的安全运行。
参考文献
[1]鲁雪皎, 牛利华.浅析计算机网络服务器的安全运行及防御研究[J].科技资讯, 2013 (31) .
网站安全防范 篇9
在单位内网中, 通常设置有各种网络服务器, 但是将内网网站直接发布到Internet上, 存在很大的安全风险。这就需要使用防火墙来保护其安全。但硬件防火墙价格较高, 而利用Forefront TMG2010防火墙软件就可以为内网提供有效的保护。
Forefront TMG是一款高级状态检测以及应用层检测防火墙, 同时还包括VPN以及Web缓存, 能最大化提升信息安全和性能。这里就以实例来介绍和分析如何使用Forefront TMG 2010安全发布内网网站。
在本例的域架构中存在Web服务器, DC控制器, Exchange 2010服务器等主机。Web服务器IP为192.168.1.9, DC控制器IP为192.168.1.2, Exchange服务器IP为192.168.1.10。在DC控制器上安装了CA证书服务和DNS服务, 网关服务器上安装的是Forefront TMG 2010防火墙, 在其中安装了两块网卡, 其公网IP为某具体值。内网IP为192.168.1.1。在这些主机上在其上安装的都是Windows Server 2008。
使用Forefront TMG发布HTTP站点
为让外网用户方便访问内网服务器, 需向Internet上的域名提供商申请一个域名, 之后添加对应的主机记录使之指向内网的公网地址。需在Forefront TMG防火墙上对80端口设置一个映射, 使之映射到内网的Web服务器上。
在Forefront TMG控制台窗口左侧选择“防火墙策略”项, 在其右键菜单上依次点击“新建”、“网站发布规则”项, 输入本规则名称, 如图1所示。在“下一步”窗口中选择“允许”项, 点击“下一步”按钮, 在发布类型窗口中选择“发布单个网站或负载平衡器”项, 在下一步窗口中选择“使用不安全的连接发布的Web服务器或服务器场”项表示发布HTTP网站。在下一步的内部发布详细信息窗口中输入内部站点名称, 选择“使用计算机名称或IP地址连接到发布的服务器”项, 输入内网Web服务器地址192.168.1.9。在下一步窗口中“路径”栏中输入“/*”, 表示发布整个网站。
点击“下一步”按钮, 在发布名称细节窗口中的“公网名称”栏中输入实际的网站域名, 即上述申请的域名信息。在下一步的选择Web侦听器窗口中点击“新建”按钮, 在弹出窗口中输入该侦听器名称。点击“下一步”按钮, 选择“不需要与客户端建立SSL安全连接”项, 点击下一步按钮, 在Web侦听器IP地址窗口 (如图2) 中选择“外部”项, 在下一步窗口中的列表中选择“没有身份验证”项, 点击完成按钮, 创建该侦听器。该Web侦听器的作用在于当Forefront TMG接收到外部用户访问其80端口时才执行映射操作。返回上一级窗口, 选择使用该侦听器, 在下一步窗口中选择“无委派, 但是客户端可以直接进行身份验证”项, 之后点击完成按钮, 创建该发布规则。
点击Forefront TMG窗口上部的“应用”按钮激活该规则。为测试该规则是否发挥作用, 可在Forefront TMG窗口中部的所有防火墙策略列表中选择名为“Publish Web Site”的规则, 在其属性窗口中点击“测试规则”按钮, 在Web发布规则测试结果窗口中显示相关的测试信息, 如果出现错误提示需对其进行调整。例如出现需要将Web侦听器配置为侦听SSL端口之类的信息时, 需要在该属性窗口中的“侦听器”面板中选择上述侦听器名称, 点击“属性”按钮, 在其属性窗口的“身份验证”面板中点击“高级”按钮, 在弹出窗口 (如图3) 中选择“允许通过HTTP进行客户端身份验证”项, 点击应用和确定按钮保存配置信息。之后点击Forefront TMG窗口上部的“应用”按钮, 重新激活该规则。之后可以重新执行测试, 就会发现测试成功。
申请和管理安全证书
使用HTTP协议访问网站存在很大的安全问题。为提高安全性, 应该为网站绑定安全证书, 使用SSL加密的方式进行数据的传输, 这样即使有黑客对其进行拦截嗅探, 也无法获取真实的内容。在实际工作中, 需要向第三方证书颁发机构购买证书, 这里为了便于说明, 可以在DC控制器上安装活动目录证书服务, 来执行证书的颁发操作。对使用者来说, 首先要信任该证书颁发机构, 对加入域的主机来说, 只需在CMD窗口中执行“gpupdate/force”命令, 通过刷新组策略的方法, 可以让该机信任证书颁发机构。
申请证书的方法有很多, 例如在Exchange2010中打开管理控制器, 在其左侧点击“服务器配置”项, 在右侧点击“新建Exchange证书”链接, 在向导界面 (如图4) 中输入该证书的友好名称, 在下一步窗口中打开“客户端访问服务器”项, 选择其中的“Outlook Web App在Intranet上”和“Outlook Web App在Internet上”项, 在下一步窗口中选择合适的域名, 点击“设置为公用名称”按钮, 将其设置为的公用名称, 在下一步窗口中输入组织, 组织范围, 位置等内容, 点击浏览按钮, 选择证书请求文件存储路径。这样就生成了证书请求文件, 例如“qqzs.req”。
只要将该证书文件提交给第三方证书颁发机构, 就可以买到所需的证书。这里为了简单起见, 可以向DC中的证书服务申请证书。使用记事本打开该文件, 复制其全部内容。在浏览器中访问“http://192.168.1.2/certsrv”地址, 在认证窗口中输入域管理员名称和密码, 在打开的网页中点击“申请证书”链接, 在下一步窗口中点击“高级证书申请”链接, 接下来点击“使用base64编码的CMC或PKCS#10文件提交一个证书申请, 在提交页面中的“保存的申请”栏中粘贴请求证书内容, 在“证书模板”列表中选择“Web服务器”项, 点击“提交”链接, 点击“下载证书”链接, 就可以将证书文件保存在本地, 其后缀名为“.p7b”。
在上述Exchange 2010窗口中选择上述申请证书项目, 在其右键菜单中点击“完成搁置请求”项, 在弹出窗口中点击“浏览”按钮, 选择上述证书文件, 完成导入操作。在该证书的右键菜单上点击“将服务分配给证书”项, 在弹出窗口中选择“邮局协议”, “Internet Information Services”, “简单邮件传输协议”, “Internet邮件访问协议”等服务, 点击完成按钮, 在弹出窗口中选择“全是”, 替换之前的证书, 并将之前存在的证书删除。对于工作组中的主机来说, 也可以执行证书申请操作。例如本例中的Web服务器就处于工作组状态, 在该机中的IIS管理器中选择服务器名, 打开服务器证书管理窗口, 在右侧点击“创建证书申请”链接, 执行证书申请操作。
注意, 在其中的“通用名称”栏中必须输入对应的网站域名。按照提示创建申请文件, 之后按照上述方法, 来访问证书服务器, 获得所需的证书。点击“导入”链接, 完成证书导入操作。注意, 在证书存储格式中选择“Web宿主”项。如果出错说明该Web服务器没有信任根证书颁发机构。可以打开上述证书申请页面, 点击“下载CA证书, 证书链或CRL”链接, 点击“下载CA证书链”链接下载用来信任根证书颁发机构的证书。
运行“mmc”程序, 在控制台中分别点击菜单“文件”、“添加或删除管理单元”项, 选择证书项目, 点击添加按钮, 并选择“计算机账户”项, 完成证书项目添加操作。依次选择“证书”、“受信任的根证书颁发机构”项在, 依次点击“所有任务”、“导入”项, 导入上述“xinren.p7b”文件, 就可以让该Web服务器信任CA证书颁发机构。之后在IIS中选择目标网站, 在右侧点击“绑定”链接, 在弹出窗口中的“类型”列表中选择“https”项, 在“SSL证书”列表中选择对应的证书, 就可以为网站绑定证书。对于IIS 8.0来说, 对于HTTPS网站来说, 同样是支持主机头的, 这个网站的发布带来了便利。如果在IIS中的对应网站中打开SSL设置窗口, 选择“要求SSL”项, 那么就只能访问HTTPS网站。但是为了提高通用性, 需要采取更加常规的方法来发布SSL站点。
使用Forefront TMG隧道模式发布SSL站点
在Forefront TMG控制台左侧选择“防火墙策略”项, 在其右键菜单上依次点击“新建”、“Exchange Web客户端访问发布规则”项, 输入该规则名称, 在选择服务器窗口中输入Exchange邮件服务器IP, 点击下一步按钮, 在选择协议窗口 (如图5) 中选择“HTTPS服务器”项, 在下一步的网络侦听器IP地址窗口中选择“外部”项, 点击“地址”按钮, 在弹出窗口中的“可用的IP地址”列表中显示Forefront TMG服务器上所有可用的外网地址, 根据需要为Exchange服务选择对应的IP。按照常规方法, 需要在Forefront TMG主机上配置多个外网地址, 为不同的内网服务器主机指定不同的外网IP。
点击完成按钮, 创建该规则。之后在Forefront TMG中点击“应用”按钮, 激活该规则。之后在外网服务器上访问“https://mail.xxx.com/owa”地址, 就可以访问内网中的Exchange服务器, 本例中“mail.xxx.com”为Exchange服务器域名。注意, 在外网主机上必须导入证书, 让其信任内网中的CA证书颁发机构。当然, 前提是必须在ForefrontTMG控制台窗口左侧选择“防火墙策略”项, 在其右键菜单上依次点击“新建”、“网站发布规则”项, 为内网CA主机创建一条规则, 将CA主机的80端口发布出去。
如何打造网站安全屏障 篇10
一、配置UrlScan, 拦截了SQL注入攻击, 增强了IIS的安全性。
安装环境:IIS4.0及以上版本。
安装文件:setup.exe
下载地址:http://technet.microsoft.com/zh-cn/security/cc242650 (en-us) .aspx
UrlScan是一个ISAPI筛选器, 它对传入的HTTP数据包进行分析并可以拒绝任何可疑的通信量。
运行setup.exe文件安装完成后, 在%windir%system32inetsrv下多了一个urlscan文件夹, 里面包含一个urlscan.ini文件, 这个文件很重要, 因为对UrlScan的所有配置, 都是通过修改这个文件来完成的。
如果IIS服务没有特殊要求, 采用UrlScan的默认配置就可以了。配置文件Urlscan.ini是一个是标准的INI文件, 它由节、串和值组成。用记事本打开urlscan.ini文件, 它主要包含以下节:
如果要更深了解urlscan.ini的用法, 请参阅微软的帮助文档。
UrlScan的常用配置举例:
如果服务器运行ASP程序, 在DenyExtensions节删除与ASP相关的内容 (图1) 。
如果服务器运行ASP.NET程序, 在AllowVerbs节添加debug谓词, 注意此节是区分大小写的 (图2) 。
如果你的网页使用了非ASCII代码, 你需要在Option节中将AllowHighBitCharacters的值设为1 (图3) 。
修改后保存urlscan.ini文件。
在对urlscan.ini文件做了更改后, 你需要重启IIS服务才能生效。快速重启IIS的方法是:在“开始”→“运行”中输入iisreset后, 单击“确定”即可应用UrlScan的新配置。
二、加密WEB配置文件
.NET应用程序的设置信息通常都存储在一个名为Web.config的XML文件里。由于Web.config文件中包含了连接字符串等敏感信息, 所以确保Web.config文件内容的安全性是很重要的。ASP.NET 2.0中有一个新的安全特性, 可以对Web.config文件中的任何节进行加密处理。某两种加密方法:RSA Providers和DPAPI Providers, 在加密和解密时都使用“密匙 (keys) ”, 这些“密匙”可以存储在“机器级”和“用户级”。
如果在本地电脑上运行这个命令, 然后又将加了密的连接字符串上载到服务器上, 该服务器是无法对其解密的, 因为机器密匙是在本地电脑上产生的。相反, 如果别人设法得到了加密的Web.config文件, 离开这台服务器, 也是没有办法解密的。
三、更改SQL数据库端口, 并在三层交换机上进行访问控制
为了防止利用SQL默认的1433端口入侵, 我们要将其改为其它端口。
如把SQL 2005的TCP端口修改为2466, 操作方法:打开SQL Server配置管理器->SQL Server 2005网络配置->MSSQLSERVER的协议->TCP/IP, 在弹出对话框中选择IP地址->IPALL->TCP端口, 设置端口为2466。
在连接WEB服务器和数据库服务器的三层交换机上, 对两个服务器的访问进行控制, 只让访问WEB服务器80端口和数据库指定端口通过。在华为S5516上可由以下三条规则来实现。
网站服务器的安全维护 篇11
关键词：安全；服务器；漏洞
中图分类号：TP393.18
网络的飞速发展为经济和社会的发展带来了巨大的影响，不断完善的网络信息化，使政府、科研机构、大型企事业都受益无穷，并且有效地提高了工作效率。不过，人们在享受着信息化成果的同时，也同样面临被网络攻击和网络危害的风险。近年来，针对网站的攻击越来越多，利用网站及服务器的漏洞进行网站入侵，入侵成功后进行网页篡改、网页挂马、订单修改、用户欺骗、盗取他人银行账户，甚至有些攻击者非法入侵网站后，进行法轮功宣传、散布台独、藏独反动言论等，这些都为国家和企事业带来了不可估量的损失。
作为网站管理者，如果能主动发现网站服务器漏洞和Web网站漏洞，并积极采取补救措施，就可以很大程度降低网站安全风险，减少损失。对于整个网络来说，服务器维护是非常重要的，如果没有维护得当，就可能导致整个服务器都不能运行，而且现在大量的网络病毒和攻击正在产生，一种是恶意的攻击，如拒绝服务攻击、网络病毒等，这些行为会消耗大量的服务器资源，影响服务器的运行速度和正常工作，有些严重的病毒还可能导致整个服务器不能使用。另一种就是一种入侵的行为，这种行为会导致服务器敏感信息泄露，入侵者更是可以为所欲为，肆意破坏服务器。在商家竞争的过程中，可能会有一些不法的商家对其他商家的服务器进行入侵行为，所以，维护服务器的安全就是要使得这两种情况不会在自己的服务器上发生。
以下以安装有Windows2003操作系统的服务器为例，介绍一些关于网站服务器的安全维护方面的技巧。
一般来说，攻击者要入侵一个网站，会从以下几个方面入手：
（1）利用网站源代码自身的安全漏洞进行入侵，如SQL注入、XSS跨站。
（2）利用搭建网站程序的安全漏洞进行入侵，如Apache漏洞，Mysql漏洞。
（3）利用操作系统的安全漏洞进行入侵，如缓冲区溢出。
所以，对网站进行安全维护，需要同时从服务器、Web网站、安全应急响应3个方面进行。这样既可保证服务器的安全，也可确保网站的安全；既可对服务器和Web网站进行全程维护和定期检查，也可在出现安全事件时进行及时的应急响应。
1 转换角色，模拟可能的攻击
一般来说，网站服务器在安装和配置时，会自动地启动一些服务，而在安装完毕后，没有及时关上，这样就会给攻击者留下机会。再有，Web网站设计者在设计网站时，会将绝大多数精力花在考虑满足用户应用，如何实现业务等方面，而很少考虑网站开发过程中所存在的安全漏洞。这些漏洞在不关注网站安全的用户眼里几乎不可见，在正常的网站访问过程中，这些漏洞也不会被察觉。但对于恶意的攻击者而言，这些漏洞很可能会对网站带来致命的危害。然后可以从外网访问自身的网站服务器，对它的端口、服务进行完整的检测，查看会出现什么结果。这种做法对于网站来说，是一种很好的检测方法。这样就能更快更准确的对漏洞进行查找并修补，或者在他们没有采取措施的情况下就对可能产生的漏洞进行维护，从而在受到攻击之前修补漏洞，这样的一种将心比心的方法，是一个网站服务器维护不错的技巧。还有就是从互联网上运用流媒体服务器，一下运行三个服务，把几种服务同时用在一个服务器上的这种方法也可以防止网络漏洞，保证安全。
2 合理的权限维护
很多时候，一台服务器可用于多个领域，例如我们开启了网站、FTP、流媒体和数据存储等服务。在同一台服务器上使用多种网络服务很可能造成服务之间的相互感染。也就是说，假如攻击者成功地攻击了一种服务，就可以运用这个服务平台从内部攻击其他服务。通常来说，从内部执行攻击要比外部执行攻击方便得多。
这就给网站安全维护者出了一个难题：两种、甚至两种以上的服务同时部署在一台服务器上，怎么才能保障安全、防止彼此相互感染呢？
通常采用的文件系统是FAT32或NTFS。NTFS是微软WindowsNT内核的系列操作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的磁盘格式。NTFS可以支持的分区大小可以达到2TB。而FAT32支持分区的大小最大为32GB。在NTFS文件系统里可以为任何一个磁盘分区单独设置访问权限，把敏感信息和服务信息分别放在不同的磁盘分区。NTFS还是一个可恢复的文件系统，在NTFS分区上用户很少需要运行磁盘修复程序。NTFS通过使用标准的事务处理日志和恢复技术来保证分区的一致性。这样，即使黑客通过某些方法获得服务文件所在磁盘分区的访问权限，还需要想方设法突破系统的安全设置才能进一步访问保存在其他磁盘上的敏感信息。磁盘配额就是管理员可以为用户所能使用的磁盘空间进行配额限制，每一用户只能使用最大配额范围内的磁盘空间。设置磁盘配额后，可以对每一个用户的磁盘使用情况进行跟踪和控制，通过监测可以标识出超过配额报警阈值和配额限制的用户，从而采取相应的措施。这样，当我们给不同的服务配置不同的账户，不同的账户只能访问特定的分区和目录。如此一来，即使其中一个账户被窃取，攻击者也只能访问它自己的存储空间，而无法访问其他服务的空间，进而将损失降到最低。
3 脚本安全维护
脚本是批处理文件的延伸，是一种纯文本保存的程序，一般来说的计算机脚本程序是确定的一系列控制计算机进行运算操作动作的组合，在其中可以实现一定的逻辑分支等。脚本简单地说就是一条条的文字命令，这些文字命令是可以看到的（如可以用记事本打开查看、编辑），脚本程序在执行时，是由系统的一个解释器，将其一条条的翻译成机器可识别的指令，并按程序顺序执行。现实中，许多网站服务器都是由于脚本本身存在问题而被攻击的。大多数攻击者特别喜欢针对PHP脚本或CGI程序进行攻击。这样，在网站服务器设计的时候，一定要特别注意的是，要检验这些不值得信任的参数，反复查看是否合适，否则的话会给网站服务器的安全带来隐患。当服务器认为你提供的参数不是很准确的时候，会及時通知维护员。这也可以帮助我们尽早发觉可能存在的攻击者，并及时采取相应的防御措施。
4 做好系统备份
常言道，“有备无患”，虽然大家都不希望系统突然遭到破坏，但是做好准备是必须的。就是要把系统的备份做好，其实家用电脑也有这样的常识，就是假如电脑坏掉了，如果有备份，东西就不会都丢掉。所以在维护网络服务器方面要做好这样的准备，万一系统崩溃，可以及时恢复。
5 安装软件防火墙、杀毒软件
还有一种常见的方法就是安装杀毒软件、配备硬件防火墙等，平时多对电脑进行杀毒，对一些病毒进行及时的清理，养成定期查看防火墙日志的好习惯。
6 开启事件日志
开启日志服务虽然对阻止黑客的入侵并没有直接的作用，但是它可以记录黑客的行踪，维护员可以分析入侵者在系统上做过什么手脚，在系统上留了哪些后门，给系统造成了哪些破坏及隐患，服务器到底还存在哪些安全漏洞等，以便有针对性地实施维护。
综上所述，服务器的维护至关重要，稍有闪失即会使整个网络陷入瘫痪。
参考文献：
[1]罗俊凯.网络服务器的日常安全与维护[J].华章，2011（23）.
[2]张洁.对网站服务器的安全维护技艺探析[J].科技致富向导，2011（35）.
ASP网站安全探讨 篇12
根据单位或个人的实际需求, 可采用服务器租用 (空间租用) 、服务器托管及自备服务器等方式。其中空间租用是指租用IDC服务商的服务器空间来建立网站;服务器托管是指自己准备服务器, 但将此服务器交由IDC服务商来管理;所谓自备服务器是指自己准备服务器并完全自主管理及应用。其中, 后两者的机器均是自己准备的;而前两者所使用的互联网线路均不用自己考虑。
网站的硬件安全主要指的就是服务器本身的安全, 即实体安全。计算机实体安全是指为了保证计算机信息系统安全可靠运行, 确保在对信息进行采集、处理、传输和存储过程中, 不致受到人为或自然因素的危害, 而使信息丢失、泄密或破坏, 对计算机设备、设施 (包括机房建筑、供电、空调等) 、环境、人员等采取适当的安全措施。是防止对信息威胁和攻击的第一步, 也是防止对信息威胁和攻击的天然屏障, 是基础。主要包括以下内容:
(一) 环境安全
主要是对计算机信息系统所在环境的区域保护和灾难保护, 要求计算机场地要有防火、防水、防盗措施和设施, 有拦截、屏蔽、均压分流、接地防雷等设施;有防静电、防尘设备、温度、湿度和洁净度在一定的控制范围等等。
(二) 设备安全
主要是对计算机信息系统设备的安全保护, 包括设备的防毁、防盗、防止电磁信号辐射泄漏、防止线路截获;对UPS、存储器和外部设备的保护等。除此之外, 人员因素也非常重要。试想, 如果各方面做得都像铜墙铁壁, 但对“门”的管理却不严, 会有什么后果?
二、ASP网站的安全配置
ASP网站的实现基本采用Window s 2003 Se rve r+Inte rne t Inform ation Se rvice s (IIS) 。众所周知, 微软的东西以补丁著称, 所以, 对于Windows2003Server, 及时地打好补丁是必须的、是第一位的。
其次, 系统的杀毒软件及防火墙也是重要的一个方面。杀毒软件必须及时更新并经常查杀;而防火墙也有硬件防火墙和软件防火墙之分, 如条件许可, 最好采用优质的硬件防火墙。Windows2003Server和以前的版本相比, 已经作了很大改进, 所以对用户来讲, 只要开通必要的服务即可。这样就可以避免98%以上的蠕虫和变种病毒的入侵。
在这里, 跟网络的拓朴结构也有很大关系, 即WEB服务器放在何处?如果将服务器放在内网, 通过防火墙作IP地址及端口映射, 那肯定比直接将WEB服务器放在外网要好得多。
在IIS的安全方面, 在访问权限上, 一般来说不要把“脚本资源访问”、“写入”、“目录浏览”等选中;在执行权限上, 也只要选择“纯脚本”足矣。不要让IIS目录有执行程序的权限, 因为绝大多数的网站不需要这个。对用户上传的文件, 放在一个固定的目录下, 并设置这个目录不允许执行任何脚本。将网站文件夹放到一个专用的NTFS分区上, 并要设置相应的安全的NTFS权限。NTFS驱动器一般禁止使用“EVERYONE/完全控制”权限。作为网站管理者, 可以经常在服务器的命令行状态下运行“netstat-an”来观察有多少IP地址正尝试和你的端口建立连接, 从而尽早地发现一些可能存在的问题。
三、ASP的程序
(一) Active Server Pagers的工作流程
1) 用户在浏览器的地址栏中填上要访问的主页地址并回车触发这个申请。2) 浏览器将申请发送到IIS的Web Server上, Web Server接收这些申请并根据.asp的后缀名意识到这是一个Active Server Page rs要求。3) We b Se rve r从硬盘或内存中接收正确的ASP文件, 然后将文件发送到一个特定的名为Asp.DLL的文件中。4) ASP文件将被从头到底地执行并根据命令要求生成响应的静态页面。5) 静态页面将被送回浏览器, 被浏览器解释执行并显示在用户的浏览器上。
(二) Session和Cookies
Se s s ion主要用途是保存信息, 访问者从到达某一个特定主页到离开为止的那段时间, 每一个访问者都会单独获得一个Session。浏览器用一个或多个限定的文件支持Cookies, 它们被用来存储Cookies用户数据。WEB服务器可以用Session和Cookies配置带有用户特定会话信息的ASP应用程序。所以, 我们应当在ASP程序中注意保护Se s s ion和Cookie s, 因为截获了Se s s ion和Cookie s的计算机黑客可以使用此Cookies假冒用户。
(三) 保护数据库
在ASP程序中经常用到的数据库有ACCESS和MSSQL等。数据库不一样, 只是数据库的连接方式及数据库的字段类型等信息不太一样, 而数据库的访问基本没有多大差别, 可以说能够用几乎同样的数据库操纵语句来访问不同的数据库。而数据库内容几乎就是一个网站的“精髓”, 所以保护数据库显示额外重要。对于ACCESS这样的小型数据库, 主要是要防止数据库被下载;而对于MS SQL、ORACLE等这些大型数据库, 主要要防止连接数据库的用户名和密码泄露;而不管是哪种数据库, 都会面临同样的问题, 那就是黑客利用ASP程序中的漏洞修改数据库的内容。最典型的就是“SQL注入”。
SQL注入的原理, 就是从客户端提交特殊的代码, 从而收集程序及服务器的信息, 从而获取你想到得到的资料。SQL注入是从正常的WWW端口访问, 而且表面看起来跟一般的We b页面访问没什么区别, 所以目前市面的防火墙都不会对SQL注入发出警报, 如果管理员没查看IIS日志的习惯, 可能被入侵很长时间都不会发觉。
从分析SQL注入的原因或者了解SQL注入的过程, 程序员就可以明确以下几点:首先, 在程序中要对从URL中的后缀 (指asp文件名后面的参数) 进行检测并作一定的处理。其次, 在IIS设置中, 在“应用程序配置/调试/脚本错误信息”中选择“向客户端发送文本错误消息”。也就是不要让服务器端的错误信息发到客户端。这里还要注意的是如果采用了一些下载的ASP源代码, 那一定要注意数据库的保护, 因为在这些源代码里面, 数据库信息是公开的秘密。
四、结束语
系统架设时的不小心, 程序编写时的不注意, 往往就是可能导致泄密的主因。为了减少这种安全漏洞的威胁, 程序员要确定你的网页服务器没有任何会泄漏珍贵信息的程序或操作系统漏洞, 只安装你需要的东西, 并且定期对服务器进行检查并加装补丁, 到网上了解最新的系统安全消息和知识。
摘要：ASP是常用的网页开发技术, 它简单而实用, 但开发一个ASP网站并使之能够真正付诸使用, 却不得不将它的安全问题提到第一位。
关键词：安全,ASP,IIS,数据库
参考文献
[1]石志国编著.ASP动态网站编程[M].清华大学出版社, 2001.