0%

第22章 网站安全需求分析与安全保护工程

网站安全威胁与需求分析

网站安全主要是:机密性、完整性、可用性及可控性

网站安全分析

主要威胁:

  1. 非授权访问

  2. 网页篡改

  3. 数据泄露

  4. 恶意代码

  5. 网站假冒

  6. 拒绝服务

  7. 网站后台管理安全威胁

    常见问题:

    • 网站管理员身份及密码被窃取
    • 后台管理网页存在安全漏洞
    • 内部管理权限分配不合理

网站安全需求

包括:网络环境、网络通信、操作系统、数据库、应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护

Apache Web安全分析与增强

Apache Web概述

Apache Httpd配置文件如下:

  1. httpd.conf:设定Apache服务器一般的属性、端口、执行者身份
  2. conf/srm.conf:数据配置文件
  3. conf/access.conf:负责基本的读取文件控制
  4. conf/mime.conf:设定Apache所能辨别的MIME格式

Apache Web安全分析

面临威胁:

  • Apache Web软件程序威胁
  • Apache Web软件配置威胁
  • Apache Web安全机制威胁
  • Apache Web应用程序威胁
  • Apache Web服务通信威胁
  • Apache Web服务内容威胁
  • Apache Web服务器拒绝服务威胁

Apache Web安全机制

  1. Apache Web本地文件安全

  2. Apache Web模块管理机制

  3. Apache Web认证机制

    对/user/local/apache/htdocs/secret目录进行访问控制详见P478

  4. 连接耗尽应对机制

    解决办法:

    • 减少Apache超时(Timeout)设置、增大MaxClients设置
    • 限制同一IP的最大连接数
    • 多线程下载保护机制
  5. Apache Web自带的访问机制

  6. Apache Web审计和日志:access.log和error.log

  7. Apache Web服务器防范DoS

Apache Web安全增强

措施:

  1. 及时安装Apache Web补丁

  2. 启用.htaccess文件保护网页

  3. 为Apache Web服务软件设置专门的用户和组

  4. 隐藏Apache Web软件的版本号

  5. Apache Web目录访问安全增强

    • 设定禁止使用目录索引文件
    • 禁止默认访问
    • 禁止用户重载
  6. Apache Web文件目录保护

    最佳安全实践:

    • ServerRoot保存配置文件(conf子目录)、二进制文件和其他服务器配置文件
    • DocumentRoot保存Web站点的内容,包括HTML文件和图片等
    • Apache服务CGI目录的属主和权限设置555
    • Apache服务器执行目录的属主和权限设置550
    • Apache服务器日志目录的属主和权限设置664

    详细命令见P482

  7. 删除Apache Web默认目录或不必要的文件

    需要删除的文件:

    • Apache源代码文件
    • 默认HTML文件
    • CGI程序样例
    • 默认用户文件
  8. 使用第三方软件安全增强Apache Web服务

    • 构建Apache Web服务器“安全沙箱”
    • 使用OpenSSL增强Apache Web安全通信
    • 增强Apache Web服务器访问控制

IIS安全分析与增强

IIS概述

IIS处理HTTP请求的步骤:

  1. HTTP.sys接收到客户的HTTP请求
  2. HTTP.sys联系WAS(Windows Process Activation Service),从配置库中获取信息
  3. WAS从配置库applicationHost.config中请求配置信息
  4. WWW Service接收配置信息,例如应用池和站点配置
  5. WWW Service使用这些配置信息设置HTTP.sys
  6. WAS针对请求,为应用池启动工作进程
  7. 工作进程处理请求和返回HTTP.sys的响应
  8. 客户接收到响应

IIS安全分析

典型威胁:

  • 非授权访问
  • 网络蠕虫
  • 网页篡改
  • 拒绝服务
  • IIS软件漏洞

IIS安全机制

  1. IIS认证机制

    认证方式:

    • 匿名认证
    • 基本验证
    • 证书认证
    • 数字签名认证
    • IIS证书认证
    • Windows认证
  2. IIS访问控制

    访问控制措施:请求过滤、URL授权控制、IP地址限制、文件授权

    IIS访问控制流程:

  3. IIS日志审计

IIS安全增强

IIS安全增强措施:

  1. 及时安装IIS补丁
  2. 启用动态IP限制
  3. 启用URLScan
  4. 启用IIS Web应用防火墙
  5. 启用SSL服务

Web应用漏洞分析与防护

OWASP Top 10

  1. A1-注入漏洞
  2. A2-遭受破坏的认证
  3. A3-敏感数据暴露漏洞
  4. A4-XML外部实体引用漏洞
  5. A5-受损害的访问控制漏洞
  6. A6-安全配置错误
  7. A7-跨站脚本漏洞
  8. A8-非安全反序列化漏洞
  9. A9-使用含有已知漏洞的组件
  10. A10-非充分的日志记录和监控

Web应用漏洞防护

  1. SQL注入漏洞分析与防护

    • 对应用程序输入进行安全过滤
    • 设置应用程序最小化权限
    • 屏蔽应用程序错误提示信息
    • 对开源Web应用程序做安全适应性改造
  2. 文件上传漏洞分析与防护

    防护措施:

    • 将上传目录设置为不可执行,避免上传文件远程触发执行
    • 检查上传文件的安全性,阻断恶意文件上传
  3. 跨站脚本攻击

    典型的攻击方式:

    • HTML内容替换
    • 嵌入脚本内容
    • 强制网页加载外部脚本

网站安全保护机制与技术方案

网站安全保护机制

  1. 身份鉴别:用户名/口令、U盾、人脸识别以及基于证书的统一用户身份管理
  2. 访问控制
  3. 网站内容安全:网站文字内容安全检查、网页防篡改、敏感词汇过滤
  4. 网站数据安全:用户数据隔离、数据加密、SSL、数据备份以及隐私保护
  5. 网站安全防护
  6. 网站安全审计与监控
  7. 网站应急响应:网页防篡改、网站域名服务灾备、网络流量清洗、灾备中心、网络攻击取证
  8. 网站合规管理:网站备案、网站防伪标识、网站等保测评
  9. 网站安全测评:漏洞扫描、渗透测试、代码审核、风险分析
  10. 网站安全管理机制:网站安全保障工作的总体方针和安全策略,建立网站建设、网站运维、网站内容、网站域名、网站应急预案等方面的安全管理制度

网站构成组件安全加固

安全加固方面:

  • 操作系统安全加固
  • 数据库系统安全加固
  • Web服务器软件安全加固
  • Web应用程序安全加固
  • Web通信安全加固
  • 网站域名服务安全加固
  • 网站后台管理安全加固

网站攻击防护及安全监测

  1. 防火墙

  2. 漏洞扫描

  3. 网站防篡改

    实现技术:

    • 利用操作系统的文件调用事件来检测网页文件的完整性变化
    • 利用密码学的单向函数检测
  4. 网络流量清洗

  5. 网站安全监测

    主要内容:

    • 网站安全漏洞监测
    • 网站挂马监测
    • 网站ICP备案监测
    • 网站合规性监测
    • 网站性能监测
    • 网站DNS监测
    • 网站入侵检测

网站安全综合应用案例分析

政务网站安全保护、网上银行安全保护详见P499-P501

-------本文结束  感谢您的阅读-------