信息安全工程师-软考中级-备考笔记:第二十二章 网站安全需求分析与安全保护工程

第22章 网站安全需求分析与安全保护工程

网站安全威胁与需求分析
• 网站安全概念
o 网站是一个基于B/S技术架构的综合信息服务平台,主要提供网页信息及业务后台对外接口服务
信息安全工程师-软考中级-备考笔记:第二十二章 网站安全需求分析与安全保护工程

o 网站安全主要是有关网站的机密性、完整性、可用性及可控性
• 网站安全分析
o 非授权访问
o 网页篡改
o 数据泄露:用户敏感信息
o 恶意代码:网页木马
o 网站假冒
o 拒绝服务
o 网站后台管理安全威胁
• 网站安全需求
o 包括:网络环境、网络通信、操作系统、数据库、应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护
Apache安全分析与增强
Apache Httpd是常用的构建网站服务器的软件,简称Apache Web
• Apache安装和配置
o httpd.conf:
 Apache主配置文件,httpd启动时会先读取httpd.conf。
 该文件设定Apache服务器一般的属性、端口、执行者身份
• conf/srm.conf:数据配置文件
• conf/access.conf:负责基本的读取文件控制
• conf/mime.conf:设定Apache所能辨别的MIME格式
Apache安全分析
• 面临的威胁:
 Apache Web软件程序威胁
 Apache Web软件配置威胁:资源位置预测
 Apache Web安全机制威胁:口令爆破
 Apache Web应用程序威胁:SQL注入
 Apache Web服务通信威胁
 Apache Web服务内容威胁:钓鱼
 Apache Web服务器拒绝服务威胁
Apache安全机制理解及配置
• Apache Web 本地文件安全
• Apache Web 模块管理机制:模块化管理,不需要某一项配置即可禁止
• Apache Web认证机制
 如:对/user/local/apache/htdocs/secret目录进行访问控制
• 连接耗尽应对机制
 解决办法:
 减少Apache超时(Timeout)设置、增大MaxClients设置
 限制同一IP的最大连接数
 多线程下载保护机制
• Apache Web自带的访问机制
• Apache Web审计和日志:access.log和error.log
• Apache Web服务器防范DoS
Apache安全漏洞处理方法
• 及时安装Apache Web补丁
• 启用.htaccess文件保护网页
• 为Apache Web服务软件设置专门的用户和组
• 隐藏Apache Web软件的版本号
• Apache Web目录访问安全增强
• 设定禁止使用目录索引文件
• 禁止默认访问
• 禁止用户重载
• Apache Web文件目录保护
• 最佳安全实践:
 ServerRoot保存配置文件(conf子目录)、二进制文件和其他服务器配置文件
 DocumentRoot保存Web站点的内容,包括HTML文件和图片等
 Apache服务CGI目录的属主和权限设置555
 Apache服务器执行目录的属主和权限设置550
 Apache服务器日志目录的属主和权限设置664
• 删除Apache Web默认目录或不必要的文件
• Apache源代码文件
• 默认HTML文件
• CGI程序样例
• 默认用户文件
• 使用第三方软件安全增强Apache Web服务
• 构建Apache Web服务器“安全沙箱”
• 使用OpenSSL增强Apache Web安全通信
• 增强Apache Web服务器访问控制
IIS安全分析与增强
• IIS安装和配置
o IIS由若干个组件构成,每个组件负责相应的功能,协同处理HTTP请求过程
信息安全工程师-软考中级-备考笔记:第二十二章 网站安全需求分析与安全保护工程

o IIS处理HTTP请求步骤

  1. HTTP.sys接收到客户的HTTP请求
  2. HTTP.sys联系WAS(Windows Process Activation Service),从配置库中获取信息
  3. WAS从配置库applicationHost.config中请求配置信息
  4. WWW Service接收配置信息,例如应用池和站点配置
  5. WWW Service使用这些配置信息设置HTTP.sys
  6. WAS针对请求,为应用池启动工作进程
  7. 工作进程处理请求和返回HTTP.sys的响应
  8. 客户接收到响应
    • IIS安全分析
    o 非授权访问
    o 网络蠕虫
    o 网页篡改
    o 拒绝服务
    o IIS软件漏洞
    • IIS安全机制类型及配置
    o 类型:包括IIS认证机制、IIS访问控制、IIS日志审计
    o IIS认证机制
  9. 匿名认证
  10. 基本验证
  11. 证书认证
  12. 数字签名认证
  13. IIS证书认证
  14. Windows认证
    • IIS访问控制
  15. 访问控制措施:请求过滤、URL授权控制、IP地址限制、文件授权
  16. 访问控制流程:
    信息安全工程师-软考中级-备考笔记:第二十二章 网站安全需求分析与安全保护工程

• IIS日志审计
IIS安全漏洞处理方法
• 及时安装IIS补丁
• 启用动态IP限制
• 启用URLScan
• 启用IIS Web应用防火墙
• 启用SSL服务
Web应用漏洞分析与防护
• OWASP Top 10
o A1-注入漏洞
o A2-遭受破坏的认证
o A3-敏感数据暴露漏洞
o A4-XML外部实体引用漏洞
o A5-受损害的访问控制漏洞
o A6-安全配置错误
o A7-跨站脚本漏洞
o A8-非安全反序列化漏洞
o A9-使用含有已知漏洞的组件
o A10-非充分的日志记录和监控
• SQL注入漏洞分析与防护
o 对应用程序输入进行安全过滤:特殊字符过滤
o 设置应用程序最小化权限
o 屏蔽应用程序错误提示信息:隐藏报错信息,防止报错注入
o 对开源Web应用程序做安全适应性改造
• XSS漏洞分析与防护
o 典型的攻击方式:
 HTML内容替换
 嵌入脚本内容
 强制网页加载外部脚本
文件上传漏洞分析与防护
• 防护措施:
 将上传目录设置为不可执行,避免上传文件远程触发执行
 检查上传文件的安全性,阻断恶意文件上传
网站安全保护机制与技术方案
网站构成组件安全加固
• 操作系统安全加固
• 数据库系统安全加固
• Web服务器软件安全加固
• Web应用程序安全加固
• Web通信安全加固
• 网站域名服务安全加固
• 网站后台管理安全加固
网站攻击防护及安全监测
• 防火墙
• 漏洞扫描
• 网站防篡改
o 实现技术:
 利用操作系统的文件调用事件来检测网页文件的完整性变化
 利用密码学的单向函数检测
网络流量清洗
信息安全工程师-软考中级-备考笔记:第二十二章 网站安全需求分析与安全保护工程

网站安全监测 

• 网站安全漏洞监测
• 网站挂马监测
• 网站ICP备案监测
• 网站合规性监测
• 网站性能监测
• 网站DNS监测
• 网站入侵检测

原文链接:https://www.cnblogs.com/devdog/p/15570552.html

原创文章,作者:优速盾-小U,如若转载,请注明出处:https://www.cdnb.net/bbs/archives/20671

(0)
上一篇 2023年12月13日 10:38
下一篇 2023年12月13日

相关推荐

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

优速盾注册领取大礼包www.cdnb.net
/sitemap.xml