笑谈安全：web服务器的安全加固
　陈长松

　　小张：我刚才听调度说热线接到报告，有个政府网站被黑了，这是怎么回事啊？

　　李总：是吗？我去问问看……（电话中）

　　陈博士：一般说来网站被黑主要是指网页被攻击篡改或者删除了，这属于入侵事件中的一种。

　　小张：听说这个网站已经不止一次被黑了，总是恢复起来过一段时间又会被黑。

　　陈博士：是啊，如果仅靠恢复备份的方式来修复网站，而没有采用技术手段加固或进行防护，是无法排除网站的安全隐患的。

　　小张：难道大家都没有在web服务器上安装补丁和安装防病毒系统么？

　　陈博士：防病毒软件一直都是使用得最多的安全技术，据调查，99%的系统已经用了防病毒技术；而自从冲击波蠕虫病毒出现之后，用户对于系统要及时更新补丁这个意识已经加强很多了。

　　小张：那为什么还总是发生黑客攻击事件呢？而且还常常发生在web服务器上。

　　李总：Web对黑客往往更有诱惑力，因为一个成功地侵入一个网站的人可以更改主页从而让别人更加意识到他的存在，而这就导致了客户的损失，可能是经济上的或者声誉上的。

　　陈博士：用户往往只是打打补丁和安装防病毒，在安全设置方面工作比较欠缺，例如未使用防火墙进行访问控制或者防火墙策略配置不恰当，未做到服务器的“服务最小化”和“权限最小化”，开放了安全性敏感的远程终端服务、FTP服务以及未使用的数据库服务等。一个安全的web服务器应该关闭所有不需要的服务和端口，并且对各用户做好授权管理，目录也要进行权限设置。

　　李总：专家说信息安全“三分技术、七分管理”，这是很有道理的，我们经常发现很多服务器中还存在多人共用一个管理员帐号的现象。

　　陈博士：还有啊，web服务器还经常采用很多免费的asp、php等脚本，这些免费脚本自身存在安全隐患，例如使用了一些不安全的文件上传及管理插件，且这些脚本在使用过程中，也因为保留了默认配置（例如后台管理使用默认的admin目录）而存在安全隐患。

　　小张：我知道了，这些web服务，包括所有的脚本，也需经常升级和打补丁，最好做到动态更新。

　　陈博士：你说的很对，用户往往只对操作系统和web服务升级补丁，而忽略了脚本这一部分。

　　李总：据统计，许多网站有超过1000个脚本呢。

　　陈博士：开启系统对网络应用的安全审计功能也是非常重要的，例如记录IIS日志、对敏感文件的使用进行审核，这些对于发生攻击后入侵检测采集证据都是很有帮助的。

　　李总：我们还可以建议用户使用第三方的安全审计系统加强审计方面的功能，以及部署入侵检测系统对攻击行为进行探测和报警。

　　小张：对了，对web服务器的数据保护有什么特别要注意的吗？

　　陈博士：现在比较好的网络架构是将web服务器和数据库服务器分离，数据库服务器本身最好不要设置公网IP地址，同样要做好安全设置和授权管理，如果数据库服务器仅为Web服务器提供数据服务，我们建议采用直连的方式连通web服务器和数据库服务器，减少外部的威胁。

　　小张：原来一个简单的web服务器也有这么多学问。做了这么多配置之后，这下系统该安全了吧？

　　李总：安全是个相对的概念，没有绝对的安全；安全是个动态的过程，也没有永久的安全。因此我们还建议用户要选择专业的安全机构，定期或不定期地对系统进行安全评估、规划和加固。

　　作者评说：
　　安全是个系统性的过程。Web服务器至少要从以下几个方面进行加固：
　　一、操作系统、各种开启的服务（尤其是web服务）以及脚本文件要得到及时的升级；
　　二、服务器的服务最小化和权限最小化，口令问题（弱口令、共用帐号等）仍然是比较重要的问题，包括脚本的权限管理和管理员口令；
　　三、安装防病毒系统，并及时升级病毒库，尤其对于开启了文件上传服务或者还提供email服务的服务器；
　　四、部署防火墙进行访问控制，要正确配置防火墙的安全策略；
　　五、使用安全审计和入侵检测系统；
　　六、在条件允许的情况下，将数据库另置服务器，并且只允许web服务器和数据库服务器的相连，加强数据库的安全；
　　七、长期地动态地对安全进行监控。

上一篇　　　　　返回　　　　　下一篇

　　安全小贴士：网络安全涉及到多方面的问题需要逐步解决，建设应急响应体系就如同建设现实社会中的医疗卫生体系，应该放在与基础设施建设同等重要的地位。