建立安全的Web站点(2)

　　2、Web服务器的安全需求

　　随着“开放系统”的发展和Internet的知识普及，获取使用简单、功能强大的系统安全攻击工具是非常容易的事情。在访问你的Web站点的用户中，不少技术高超的人，有足够的经验和工具来探视他们感兴趣的东西。还有在人才流动频繁的今天，“系统有关人员”也可能因为种种原因离开原来的岗位，系统的秘密也可能随之扩散。

　　不同的Web网站有不同的安全需求。建立Web网站是为了更好地提供信息和服务，一定程度上Web站点是其拥有者的代言人，为了满足Web服务器的安全需求，维护拥有着的形象和声誉，必须对各类用户访问Web资源的权限作严格管理；维持Web服务的可用性，采取积极主动的预防、检测措施，防止他人破坏，造成设备、操作系统停运或服务瘫痪；确保Web服务器不被用做跳板来进一步侵入内部网络和其他网，使内部网免遭破，同时避免不必要的麻烦甚至法律纠纷。
　　三、Web服务器设备和相关软件的安全考虑

　　Web服务器的硬件设备和相关软件的安全性是建立安全的Web站点的坚实基础。人们在选择Web服务器主机设备和相关软件时，除了考虑价格、功能、性能和容量等因素外，切莫忽略安全因素，因为有些服务器用于提供某些网络服务时存在安全漏洞。挑选Web服务器技术通常要在一系列有冲突的需求之间作出折中的选择，要同时考虑建立网站典型的功能需求和安全要求

　　对于Web服务器，最基本的性能要求是响应时间和吞吐量。响应时间通常以服务器在单位时间内最多允许的链接数来衡量，吞吐量则以单位时间内服务器传输到网络上的字节数来计算。

　　典型的功能需求有：提供静态页面和多种动态页面服务的能力；接受和处理用户信息的能力；提供站点搜索服务的能力；远程管理的能力。

　　典型的安全需求有：在已知的Web服务器(包括软、硬件)漏洞中，针对该类型Web服务器的攻击最少；对服务器的管理操作只能由授权用户执行；拒绝通过Web访问Web服务器上不公开的内容；能够禁止内嵌在操作系统或Web服务器软件中的不必要的网络服务；有能力控制对各种形式的执行程序的访问；能对某些Web操作进行日志记录，以便与入侵检测和入侵企图分析；具有适当的容错功能。

　　所以，在选择Web服务器时，首先要从建立网站的单位的实际情况出发，根据安全政策决定具体的需求，广泛地收集分析产品信息和相关知识，借鉴优秀方案或实施案例的精华，选择你认为能够最好地满足本单位包括安全考虑在内的需求的产品组合。

　　四、建立安全的Web网站

　　在本篇文章的开始讨论过Web站点的组成的三个部分。需要强调的是，主机操作系统是Web的直接支撑者，合理配置主机系统，能为Web服务器提供强健的安全支持。

　　1、理解配置主机操作系统

　　(1) 仅仅提供必要的服务

　　已经安装完毕的操作系统都有一系列常用的服务，UNIX系统将提供Finger、Rwho、RPC、LPD、Sendmail、FTP、NFS、IP转发等服务。Windows NT系统将提供RPC(远程过程调用)IP(网际协议)转发、FTP(文件传输协议)、SMTP(简单邮件传输协议)等。而且，系统在缺省的情况下自动启用这些服务，或提供简单易用的配置向导。这些配置简单的服务应用在方便管理员而且增强系统功能的同时，也埋下了安全隐患。因为，关于这些应用服务的说明文档或是没有足够的提醒，或是细碎繁杂使人无暇细研，不熟练的管理员甚至没有认真检查这些服务的配置是否清除了已知的安全隐患。

　　为此，在安装操作系统时，应该只选择安装必要的协议和服务；对于UNIX系统，应检查/etc/rc.d/目录下的各个目录中的文件，删除不必要的文件；对于Windows系统，应删除没有用到的网络协议，不要安装不必要的应用软件，如C/C 编译程序等。一般情况下，应关闭Web服务器的IP转发功能。

　　系统功能越单纯，结构越简单，可能出现的漏洞越少，因此越容易进行安全维护。对于专门提供Web信息服务(含提供虚拟服务器)的网站，最好由专门的主机(或主机群)作Web服务器系统，对外只提供Web服务，没有其他任务。这样，可以保证(1)使系统最好地为Web服务提供支持；(2)管理人员单一，避免发生管理员之间的合作不调而出现安全漏洞的现象；(3)用户访问单一，便于控制；(4)日志文件较少，减轻系统负担。

　　对于必须提供其他服务，如(提供需拟网站服务)FTP服务与Web服务共用文件空间，既FTP和HTTP共享目录，则必须仔细设置各个目录、文件的访问权限，确保远程用户无法上传通过Web服务所能读取或执行的文件。

　　(2) 使用必要的辅助工具，简化主机的安全管理

　　启用系统的日志(系统帐户日志和Web服务器日志)记录功能。监视并记录访问企图是主机安全的一个重要机制，以利于提高主机的一致性以及其数据保密性。

　　Unix系统，可以在服务器上安装tcp_wrapper工具。它在其他网络服务启动之前首先启动。tcp_wrapper的配置文件可以控制只有本主机上的用户才可以用登陆(Telnet)到本服务器。

　　Windows NT提供端口访问控制功能，有助于加强Web服务器的安全。在网络→协议→TCP/IP协议属性→高级，选用“启用安全机制” → 配置，将出现窗口。选择“仅允许”，便可以利用“添加”功能，设置允许访问的端口。
　　2、合理配置Web服务器

　　(1)在Unix OS中，以非特权用户而不是Root身份运行Web服务器。(如Nobody、www、Daemon)
　　(2)设置Web服务器访问控制。通过IP地址控制、子网域名来控制，未被允许的IP地址、IP子网域发来的请求将被拒绝；
　　(3)通过用户名和口令限制。只有当远程用户输入正确的用户名和口令的时候，访问才能被正确响应。
　　(4)用公用密钥加密方法。对文件的访问请求和文件本身都将加密，以便只有预计的用户才能读取文件内容。

　　3、设置Web服务器有关目录的权限

　　为了安全起见，管理员应对“文档根目录”(HTML文件存放的位置)和“服务器根目录”(日志文件和配置文件存放的位置)做严格的访问权限控制；

　　(1)服务器根目录下存放日志文件、配置文件等敏感信息，它们对系统的安全至关重要，不能让用户随意读取或删改；
　　(2)服务器根目录下存放CGI脚本程序，用户对这些程序有执行权限，恶意用户有可能利用其中的漏洞进行越权操作，比如，增、删、改；

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有