保障Web伺服器安全的六個步驟
維護Web伺服器安全是信息安全中最不討好的差事之一。你需要在相衝突的角色中找到平衡，允許對網路資源的合法訪問，同時阻止惡意破壞。
你甚至會考慮雙重認證，例如RSA SecurID，來確保認證系統的高信任度，但是這對所有網站用戶來說也許不實用，或者不划算。儘管存在這樣相衝突的目標，仍有六個有助Web伺服器安全的步驟。
對內部和外部應用分別使用單獨的伺服器
假設組織有兩類獨立的網路應用，面向外部用戶的服務和面向內部用戶的服務，要謹慎地將這些應用部署在不同的伺服器上。這樣做可以減少惡意用戶突破外部伺服器來獲得對敏感的內部信息地訪問。如果你沒有可用的部署工具，你至少應該考慮使用技術控制（例如處理隔離），使內部和外部應用不會互相牽涉。
使用單獨的開發伺服器測試和調試應用軟體
在單獨的Web伺服器上測試應用軟體聽起來像是常識——的確是。不幸的是，許多組織沒有遵循這個基本規則，相反允許開發者在生產伺服器上調試代碼甚至開發新軟體。這對安全和可靠性來說都很可怕。在生產伺服器上測試代碼會使用戶遇到故障，當開發者提交未經測試易受攻擊的代碼時，引入安全漏洞。大多數現代版本控制系統（例如微軟的Visual SourceSafe）有助於編碼/測試/調試過程自動化。
審查網站活動，安全存儲日誌
每一個安全專業人員都知道維護伺服器活動日誌的重要性。由於大多數Web伺服器是公開的，對所有網際網路服務進行審核是很重要的。審核有助你檢測和打擊攻擊，並且使你可以檢修伺服器性能故障。在高級安全環境中，確保你的日誌存儲在物理安全的地點——最安全的（但是最不方便的）技巧是日誌一產生就列印出來，建立不能被入侵者修改的紙記錄，前提是入侵者沒有物理訪問許可權。你也許想要使用電子備份，例如登錄進安全主機，用數字簽名進行加密，來阻止日誌被竊取和修改。
培訓開發者進行可靠的安全編碼
軟體開發者致力於創建滿足商業需求的應用軟體，卻常常忽略了信息安全也是重要的商業需求。作為安全專業人員，你有責任對開發者進行影響到Web伺服器的安全問題的培訓。你應該讓開發者了解網路中的安全機制，確保他們開發的軟體不會違背這些機制；還要進行概念的培訓，例如內存泄漏攻擊和處理隔離——這些對編碼和生成安全的應用軟體大有幫助。
給操作系統和Web伺服器打補丁
這是另一個常識，但是當管理員因為其他任務而不堪重荷時常常忽略這一點。安全公告，像是CERT或者微軟發布的公告，提醒人們軟體廠商多頻繁地發布某些安全漏洞的修補程序。一些工具像是微軟的軟體升級服務（SUS）和RedHat的升級服務有助於使這項任務自動化。總之，一旦漏洞公布，如果你不修補它，遲早會被人發現並利用。
使用應用軟體掃描
如果負擔地起，你也許會考慮使用應用軟體掃描器來驗證內部編碼。像是Watchfire公司的AppScan這樣的工具有助於確保編碼在生產環境里不會存在漏洞。記住，要有安全意識。設計良好的Web伺服器結構應該基於健全的安全政策。貫徹執行這六個方法會幫助你建立堅固的基礎。
[admin via 研發互助社區 ] 保障Web伺服器安全的六個步驟已經有2854次圍觀
http://cocdig.com/docs/show-post-57.html
