Web的安全威胁与安全防护
出处:论文网
时间:2007-01-18
4 Web服务器安全防护策略的应用
这里以目前应用较多的Windows2000平台和IIS的Web服务器为例简述Web服务器端安全防护的策略应用。
4.1系统安装的安全策略
安装Windows2000系统时不要安装多余的服务和多余的协议,因为有的服务存在有漏洞,多余的协议会占用资源。安装Windows2000后一定要及时安装补丁4程序(W2KSP4_CN.exe),立刻安装防病毒软件。
4.2系统安全策略的配置
通过“本地安全策略”限制匿名访问本机用户、限制远程用户对光驱或软驱的访问等。通过“组策略”限制远程用户对Netmeeting的桌面共享、限制用户执行Windows安装任务等安全策略配置。
4.3IIS安全策略的应用
在配置Internet信息服务(IIS)时,不要使用默认的Web站点,删除默认的虚拟目录映射;建立新站点,并对主目录权限进行设置。一般情况下设置成站点管理员和Administrator两个用户可完全控制,其他用户可以读取文件。
4.4审核日志策略的配置
当Windows 2000出现问题的时候,通过对系统日志的分析,可以了解故障发生前系统的运行情况,作为判断故障原因的根据。一般情况下需要对常用的用户登录日志,HTTP和FTP日志进行配置。
4.4.1设置登录审核日志
审核事件分为成功事件和失败事件。成功事件表示一个用户成功地获得了访问某种资源的权限,而失败事件则表明用户的尝试失败。
4.4.2设置HTTP审核日志
通过“Internet服务管理器”选择Web站点的属性,进行设置日志的属性,可根据需要修改日志的存放位置。
4.4.3设置FTP审核日志
设置方法同HTTP的设置基本一样。选择FTP站点,对其日志属性进行设置,然后修改日志的存放位置。
4.5网页发布和下载的安全策略
因为Web服务器上的网页,需要频繁进行修改。因此,要制定完善的维护策略,才能保证Web服务器的安全。有些管理员为方便起见,采用共享目录的方法进行网页的下载和发布,但共享目录方法很不安全。因此,在Web服务器上要取消所有的共享目录。网页的更新采用FTP方法进行,选择对该FTP站点的访问权限有“读取、写入”权限。对FTP站点属性的“目录安全性”在“拒绝访问”对话框中输入管理维护工作站的IP地址,限定只有指定的计算机可以访问该FTP站点,并只能对站点目录进行读写操作。
5 结束语
通过对Web安全威胁的讨论及具体Web安全的防护,本文希望为用户在安全上网或配置Web服务器安全过程中起到借鉴作用。
【参考文献】
[1] 张国祥.基于Apache的Web安全技术的应用研究[J].武汉理工大学学报,2004,(3).
[2] 单欧.SSL在web安全中的应用[J].信息网络安全,2004,(6).