第22章 网站安全需求分析与安全保护工程

网站安全威胁与需求分析

• 网站安全概念

  • 网站是一个基于B/S技术架构的综合信息服务平台，主要提供网页信息及业务后台对外接口服务

    

  • 网站安全主要是有关网站的机密性、完整性、可用性及可控性

• 网站安全分析

  • 非授权访问
  • 网页篡改
  • 数据泄露：用户敏感信息
  • 恶意代码：网页木马
  • 网站假冒
  • 拒绝服务
  • 网站后台管理安全威胁

• 网站安全需求

  • 包括：网络环境、网络通信、操作系统、数据库、应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护

Apache安全分析与增强

Apache Httpd是常用的构建网站服务器的软件，简称Apache Web

• Apache安装和配置
  • httpd.conf：
    • Apache主配置文件，httpd启动时会先读取httpd.conf。
    • 该文件设定Apache服务器一般的属性、端口、执行者身份
  • conf/srm.conf：数据配置文件
  • conf/access.conf：负责基本的读取文件控制
  • conf/mime.conf：设定Apache所能辨别的MIME格式
• Apache安全分析
  • 面临的威胁：
    • Apache Web软件程序威胁
    • Apache Web软件配置威胁：资源位置预测
    • Apache Web安全机制威胁：口令**
    • Apache Web应用程序威胁：SQL注入
    • Apache Web服务通信威胁
    • Apache Web服务内容威胁：钓鱼
    • Apache Web服务器拒绝服务威胁
• Apache安全机制理解及配置
  • Apache Web 本地文件安全
  • Apache Web 模块管理机制：模块化管理，不需要某一项配置即可禁止
  • Apache Web认证机制
    • 如：对/user/local/apache/htdocs/secret目录进行访问控制
  • 连接耗尽应对机制
    • 解决办法：
      • 减少Apache超时（Timeout）设置、增大MaxClients设置
      • 限制同一IP的最大连接数
      • 多线程下载保护机制
  • Apache Web自带的访问机制
  • Apache Web审计和日志：access.log和error.log
  • Apache Web服务器防范DoS
• Apache安全漏洞处理方法
  • 及时安装Apache Web补丁
  • 启用.htaccess文件保护网页
  • 为Apache Web服务软件设置专门的用户和组
  • 隐藏Apache Web软件的版本号
  • Apache Web目录访问安全增强
    • 设定禁止使用目录索引文件
    • 禁止默认访问
    • 禁止用户重载
  • Apache Web文件目录保护
    • 最佳安全实践：
      • ServerRoot保存配置文件（conf子目录）、二进制文件和其他服务器配置文件
      • DocumentRoot保存Web站点的内容，包括HTML文件和图片等
      • Apache服务CGI目录的属主和权限设置555
      • Apache服务器执行目录的属主和权限设置550
      • Apache服务器日志目录的属主和权限设置664
  • 删除Apache Web默认目录或不必要的文件
    • Apache源代码文件
    • 默认HTML文件
    • CGI程序样例
    • 默认用户文件
  • 使用第三方软件安全增强Apache Web服务
    • 构建Apache Web服务器“安全沙箱”
    • 使用OpenSSL增强Apache Web安全通信
    • 增强Apache Web服务器访问控制

IIS安全分析与增强

• IIS安装和配置

  • IIS由若干个组件构成，每个组件负责相应的功能，协同处理HTTP请求过程

    

  • IIS处理HTTP请求步骤

    1. HTTP.sys接收到客户的HTTP请求
    2. HTTP.sys联系WAS（Windows Process Activation Service），从配置库中获取信息
    3. WAS从配置库applicationHost.config中请求配置信息
    4. WWW Service接收配置信息，例如应用池和站点配置
    5. WWW Service使用这些配置信息设置HTTP.sys
    6. WAS针对请求，为应用池启动工作进程
    7. 工作进程处理请求和返回HTTP.sys的响应
    8. 客户接收到响应

• IIS安全分析

  • 非授权访问
  • 网络蠕虫
  • 网页篡改
  • 拒绝服务
  • IIS软件漏洞

• IIS安全机制类型及配置

  • 类型：包括IIS认证机制、IIS访问控制、IIS日志审计

  • IIS认证机制

    • 匿名认证
    • 基本验证
    • 证书认证
    • 数字签名认证
    • IIS证书认证
    • Windows认证

  • IIS访问控制

    • 访问控制措施：请求过滤、URL授权控制、IP地址限制、文件授权

    • 访问控制流程：

      

  • IIS日志审计

• IIS安全漏洞处理方法

  • 及时安装IIS补丁
  • 启用动态IP限制
  • 启用URLScan
  • 启用IIS Web应用防火墙
  • 启用SSL服务

Web应用漏洞分析与防护

• OWASP Top 10
  • A1-注入漏洞
  • A2-遭受破坏的认证
  • A3-敏感数据暴露漏洞
  • A4-XML外部实体引用漏洞
  • A5-受损害的访问控制漏洞
  • A6-安全配置错误
  • A7-跨站脚本漏洞
  • A8-非安全反序列化漏洞
  • A9-使用含有已知漏洞的组件
  • A10-非充分的日志记录和监控
• SQL注入漏洞分析与防护
  • 对应用程序输入进行安全过滤：特殊字符过滤
  • 设置应用程序最小化权限
  • 屏蔽应用程序错误提示信息：隐藏报错信息，防止报错注入
  • 对开源Web应用程序做安全适应性改造
• XSS漏洞分析与防护
  • 典型的攻击方式：
    • HTML内容替换
    • 嵌入脚本内容
    • 强制网页加载外部脚本
• 文件上传漏洞分析与防护
  • 防护措施：
    • 将上传目录设置为不可执行，避免上传文件远程触发执行
    • 检查上传文件的安全性，阻断恶意文件上传

网站安全保护机制与技术方案

网站构成组件安全加固

• 操作系统安全加固
• 数据库系统安全加固
• Web服务器软件安全加固
• Web应用程序安全加固
• Web通信安全加固
• 网站域名服务安全加固
• 网站后台管理安全加固

网站攻击防护及安全监测

• 防火墙

• 漏洞扫描

• 网站防篡改

  • 实现技术：
    • 利用操作系统的文件调用事件来检测网页文件的完整性变化
    • 利用密码学的单向函数检测

• 网络流量清洗

  

• 网站安全监测

  • 网站安全漏洞监测
  • 网站挂马监测
  • 网站ICP备案监测
  • 网站合规性监测
  • 网站性能监测
  • 网站DNS监测
  • 网站入侵检测