网站的保护方法和安全措施

网站的保护方法和安全措施

一、网站的保护方法

(1)安全配置

关闭不必要的服务，最好是只提供所需服务，安装操作系统的最新补丁，将服务升级到最新版本并安装所有补丁，对根据服务提供者的安全建议进行配置等，这些措施将极大提供服务器本身的安全。

(2)防火墙

安装必要的防火墙，阻止各种扫描工具的试探和信息收集，甚至可以根据一些安全报告来阻止来自某些特定IP 地址范围的机器连接，给服务器增加一个防护层，同时需要对防火墙内的网络环境进行调整，消除内部网络的安全隐患。

(3)漏洞扫描

使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问题。

(4)入侵检测系统

利用入侵检测系统的实时监控能力，发现正在进行的攻击行为及攻击前的试探行为，记录黑客的来源及攻击步骤和方法。

(5)优化代码

优化网站代码，避免sql 注入等攻击手段。检查网站漏洞，查找代码中可能出现的危险，经常对代码进行测试维护。

这些安全措施都将极大提供服务器的安全，减少被攻击的可能性。

二、 安全措施

（一）防火墙技术，防火墙是指一个由硬件设备或软件、或软硬件组合而成的，在内部网与外部网之间构造的保护屏障。所有的内部网和外部网之间的连接都必须经过此保护层，并由它进行检查和连接。只有被授权的通信才能通过防火墙，从而使内部网络与外部网络在一定意义下隔离，防止非法入侵、非法使用系统资源、执行安全管制措施。防火墙基本分为两类：包过滤和基于代理的防火墙。

（1）包过滤防火墙对数据包进行分析、选择，依据系统内事先设定的过滤逻辑来确定是否允许该数据包通过。

（2）代理防火墙能够将网络通信链路分为两段，使内部网与Internet 不直接通信，而是使用代理服务器作为数据转发的中转站，只有那些被认为可信赖的数据才允许通过。

这两种防火墙各有其优缺点：包过滤器只能结合源地址、目标地址和端口号才能起作用，如果攻击者攻破了包过滤防火墙，整个网络就公开了。代理防火墙比包过滤器慢，当网站访问量较大时会影响上网速度; 代理防火墙在设立和维护规则集时比较复杂，有时会导致错误配置和安全漏洞。

由于这两种防火墙各有优缺点，因而在实际应用中常将这两种防火墙组合使用。目前市场上最新的防火墙产品集成了代理和包过滤技术，提供了管理数据段和实现高吞吐速度的解决方案。这些混合型的设备在安全要求比吞吐速度有更高要求时，能实行代理验证服务，在需要高速度时，它们

能灵活地采用包过滤规则作为保护方法。

（3）入侵检测系统防火墙是一种隔离控制技术，一旦入侵者进入了系统，他们便不受任何阻挡。它不能主动检测和分析网络内外的危险行为，捕捉侵入罪证。而入侵检测系统能够监视和跟踪系统、事件、安全记录和系统日志，以及网络中的数据包，识别出任何不希望有的活动，在入侵者对系统发危害前，检测到入侵攻击，并利用报警与防护系统进行报警、阻断等响应。

（二）入侵检测系统所采用的技术有：

(1)特征检测：这一检测假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式既能够表达“入侵”现象又网络时空不会将正常的活动包含进来。

(2)异常检测：假设入侵者活动异于正常主体的活动。根据这一理念建立主体正常活动的“活动规范”，将当前主体的活动状况与“活动规范”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动规范”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。

（三）网络漏洞扫描器没有绝对安全的网站，任何安全漏洞都可能导致风险产生。网络漏洞扫描器是一个漏洞和风险评估工具，用于发现、发掘和报告安全隐患和可能被黑客利用的网络安全漏洞。网络漏洞扫描器分为内部扫描和外部扫描两种工作方式：

(1)外部扫描：通过远程检测目标主机TCP/IP不同端口的服务，记录目标给予的回答。通过这种方法，可以搜集到很多目标主机的各种信息，例如：是否能用匿名登录、是否有可写的FTP 目录、是否能用TELNET 等。然后与漏洞扫描系统提供的漏洞库进行匹配，满足匹配条件则视为漏洞。也可通过模拟黑客的进攻手法，对目标主机系统进行攻击性的安全漏洞扫描。如果模拟攻击成功，则可视为漏洞存在。

(2)内部扫描：漏洞扫描器以root 身份登录目标主机，记录系统配置的各项主要参数，将之与安全配置标准库进行比较和匹配，凡不满足者即视为漏洞。

（四）启用安全认证系统(电子证书), 网站的安全除网站本身硬件和软件的安全外，还应包括传输信息的安全。对一些重要的的传输信息，应保证信息在传输过程中不被他人窃取、偷看或修改。因此，应在网站服务器中启用安全认证系统。安全认证系统对重要的信息采用密码技术进行加密，使它成为一种不可理解的密文。接收方收到密文后再对它进行解密，将密文还原成原来可理解的形式。目前，在电子商务中普遍采用SSL 安全协议。

SSL 安全协议主要提供三方面的服务：

(1)认证用户和服务器，使得它们能够确信数据将被发送到正确的客户机和服务器上。

(2)加密数据以隐藏被传送的数据。

(3)维护数据的完整性，确保数据在传输过程中不被改变。

（五）建立快速的反应机制

网站管理人员及时获取安全技术最新动态，了解最新技术漏洞。面对其他途径提交的Bug 报告及时的处理问题。