中小企业的网络服务器安全维护不容忽视

　　最近频繁曝光的“中小企业网站遭遇黑客敲诈”事件让企业对网络安全的关注一再升级, 对于企业网络而言,维护其Web服务器安全的重要性是不言而喻的。

　　在世界范围内，网络安全威胁日益严重，病毒、黑客、垃圾邮件等频繁困扰着计算机用户。

　　自2005年下半年以来，国内出现了一群以黑客攻击为手段、敲诈勒索商业网站的不法分子在互联网上频频作案，他们的手段就是通过攻击用户的服务器达到控制并敲诈的目的。

　　作为存储数据、处理需求的核心，服务器安全涉及太多环节。

　　在不少企业将Web服务融入企业服务架构的同时，如何保障Web服务器的安全也就备受业内关注。

　　基础安全门

　　Web服务被普遍认为是新一代应用程序集成以及通向新的商业模式的大门，是企业之间相互联系的重要途径。

　　但是，安全问题以及Web服务安全机制的复杂性也是最让企业用户头疼的问题，这样的问题造成大多数Web服务都采用比较简单和保守的方式进行配置。

　　要指出的是，面向外部用户的服务和面向内部用户的服务，应该分别使用单独的服务器，将这些应用部署在不同的服务器上，可以防止一旦出现问题时，不至于造成整体服务的中断而影响企业的业务管理。

　　另外，这样做可以减少恶意用户突破外部服务器来获得对企业内部敏感的信息的访问。如果没有可用的部署工具，至少应该考虑使用技术控制（例如隔离），使内部和外部应用不会互相牵涉。

　　审查网站活动，安全存储日志是不可缺的环节。每一个安全专业人员都知道维护服务器活动日志的重要性。

　　因为大多数Web服务器是公开的，所以对所有互联网服务进行审核是很重要的。

　　审核有助于用户检测和预防攻击，并且使用户可以检修服务器性能故障。

　　在高级安全环境中，确保Web系统的日志存储在物理安全的地点—最安全的方式是将日志定期的打印出来，建立不能被入侵者修改的纸记录，前提是入侵者没有物理访问权限。

　　企业Web服务开发者致力于创建满足商业需求的应用软件，却常常忽略了信息安全也是重要的商业需求。

　　应该让开发者了解网络的安全机制，确保他们开发的软件不会违背这些机制，还要进行安全的培训。

　　若要在Web服务中使用证书身份验证，可以使用单独的进程来调用Web服务和传递证书。并将此单独的进程配置为使用具有相关用户配置文件的账户来运行。

　　用户可以选择使用企业服务器应用程序和使用Windows服务，如图所示Web服务器工作原理。

　　IIS安全门

　　IIS（Internet Information Server）作为当今流行的Web服务器之一，提供了强大的Internet和Intranet服务功能，如何加强IIS的安全机制，建立一个高安全性能的Web服务器，已成为IIS设置中不可忽视的重要组成部分。

　　服务器安装IIS之后，将在安装的计算机上自动生成一个匿名账户，该账户被添加到域用户组中，从而把应用于域用户组的访问权限提供给访问Web服务器的每个匿名用户。

　　这样不仅给IIS带来巨大的潜在危险，而且还可能牵连整个域资源的安全，要尽可能避免把IIS安装在域控制器上，尤其是主域控制器。

　　安装IIS后产生的匿名用户，其匿名访问权限给Web服务器带来潜在的安全性问题，应对其权限加以控制。如无匿名访问需要，可取消Web的匿名服务。

　　要避免将IIS安装在系统分区上，这样会使系统文件与IIS同样面临非法访问，容易使非法用户侵入系统分区。

　　IIS服务器提供对用户三种形式的身份认证。

　　匿名访问不需要与用户之间进行交互，允许任何人匿名访问站点，在这三种身份认证中的安全性最低。

　　在基本验证的方式下，用户输入的用户名和口令以明文方式在网络上传输，没有任何加密，非法用户可以通过网上监听来拦截数据包，并从中获取用户名及密码，安全性能一般。

　　Windows NT请求/响应方式是浏览器通过加密方式与IIS服务器进行交流，这样可以有效地防止窃听者，是安全性比较高的认证形式。这种方式的缺点是只有IE比较高的版本才支持。

　　对于IIS服务，无论是WWW站点、FTP站点，还是NNTP、SMTP服务等都有各自监听和接收浏览器请求的TCP端口号（Post），可以通过修改端口号来提高IIS服务器的安全性。

　　如果修改了端口设置，只有知道端口号的用户才可以访问，但用户在访问时需要指定新端口号。

　　SSL安全门

　　需要说明的是，IIS的身份认证除了匿名访问、基本验证和Windows NT请求/响应方式外，还有一种安全性更高的认证，即通过SSL（Security Socket Layer）安全机制使用数字证书。

　　SSL（加密套接字协议层）位于HTTP层和TCP层之间，建立用户与服务器之间的加密通信，确保所传递信息的安全性。

　　SSL是工作在公共密钥和私人密钥基础上的，任何用户都可以获得公共密钥来加密数据，但解密数据必须要通过相应的私人密钥。

　　使用SSL安全机制时，首先客户端与服务器建立连接，服务器把它的数字证书与公共密钥一并发送给客户端，客户端随机生成会话密钥，用从服务器得到的公共密钥对会话密钥进行加密，并把会话密钥在网络上传递给服务器，而会话密钥只有在服务器端用私人密钥才能解密，这样，客户端和服务器端就建立了一个惟一的安全通道。

　　Web服务安全方案

　　正如很多制造业“安全生产，重在管理”制度一样，服务器的安全包含了太多方面的内容，各方面的防范重点和所采取的技术手段也不尽相同，要想最大程度保障服务器的安全，也需要从内部管理真正去加强。

　　国内外多家安全权威机构统计表明，大约有7到8成的安全事件完全或部分地由内部引发。

　　在一定程度上，外部的安全问题可以通过购置一定的安全产品来解决，但是，解决内部的安全问题重在管理。

　　大多数的外部安全问题是由于内部管理不善、配置不当和不必要的信息泄露引起的。因此，建立组织和部门的网络安全体系是解决网络安全的首要任务。

　　搭建一个安全稳定的Web服务器是用户的共同心声，但是，如果仅从产品方面着手，只能实现了服务器的高性能和设备稳定，如果要完全实现服务的安全性和软件系统的稳定，还需要有安全的Web服务安全方案。

　　一个安全的Web服务器需要考虑多方面的因素。对此综合如下。

　　机房布设：Web服务器应当安排专用机房（或者托管），安置关键设备及稳定电源系统。要充分考虑机房的容量设计、系统承载能力是否符合需求。

　　安全Web发布系统：利用上述的方法对Web发布系统进行综合安全配置，防止网络黑客对页面的非法篡改, 并使网站具备实时监控、实时阻断、实时备份、实时恢复能力。

　　电子公告服务内容过滤系统：建设有电子公告服务的网站，要求具备内容过滤系统, 对电子公告服务活动进行实时监管。重点加强对电子公告板和聊天室的内容过滤, 对黄色、反动、暴力等不良信息及其发布者及时进行处理, 以维护网站的内容健康。

　　防火墙系统：当前防火墙主要有两种类型，一种为包过滤型防火墙，另一种类型的防火墙为应用代理型的防火墙，二者各有侧重点。

　　为了保护Web服务器和内部网络的安全，当前更安全的做法是实现双层防火墙。外层防火墙实现包过滤功能，内部防火墙允许最中间的内部网络可以访问外部网络。在外部防火墙和内部防火墙之间形成一个单独区域，提供外部网络访问的服务器就位于这个区域，即使攻击者通过外部防火墙进入这个区域，也无法攻入内部网络。

　　病毒防治系统：服务器应当建设计算机病毒防治系统，防止病毒入侵并对已经入侵的病毒及时进行检测和清除。

　　病毒防治系统应当具备定期扫描功能和实时检测功能。应当优先选用能够自动网上升级的病毒防治系统, 无法实现自动网上升级的，必须由人工及时做好病毒样本库和病毒防治系统的升级工作。

　　有条件的Web服务器应当以一套病毒防治系统为主覆盖所有的主机, 辅以一至两套不同厂商的产品进行单点定期扫描。

　　邮件过滤系统：具备自身邮件系统的网站要求建设邮件过滤系统，邮件过滤系统是针对电子邮件的安全防护、信息过滤系统，应当包括：反恶意攻击、反垃圾邮件、邮件病毒过滤、邮件内容过滤四项基本功能。对不同性质的非法邮件和可疑邮件作分别处理，封堵垃圾邮件和邮件炸弹，确保网上的邮件系统用于正常的活动，防止恶意使用者利用服务器大量转发不良邮件。

　　网络入侵检测系统：Web服务器应当设置网络入侵检测系统, 对网络或操作系统上的可疑行为做出策略反应，及时切断资料入侵源、记录、并通过各种途径通知网络管理员，最大限度地保障系统安全。要求网络入侵检测系统本身应当具有的抗攻击能力。

　　主机漏洞扫描系统：单个安全技术或者安全产品的功能和性能都有其局限性，只能满足系统与网络特定的安全需求。因此，建立主机漏洞扫描系统，同时按照一定的安全策略建立相应的安全辅助系统必不可少。可以通过定期扫描主要网络设备和主机增强安全管理能力, 并对扫描系统的漏洞及弱点规则库进行及时更新或者升级。

　　此外，我们还需对服务器系统做到有限授权、预防攻击、主机恢复、审计跟踪等安全措施。

　　打造网站主机安全环境

　　一、物理安全

　　物理环境主要是指服务器托管机房的设施状况，包括通风系统、电源系统、防雷防火系统以及机房的温度、湿度条件等。这些因素会影响到服务器的寿命和所有数据的安全。物理安全策略的目的是保护计算机系统等硬件实体和通信链路的正常运转。

　　一些机房提供专门的机柜存放服务器，而有些机房只提供机架。这两种环境对服务器的物理安全来说有着很大差别，显而易见，放在机柜里的服务器要安全得多。

　　如果用户服务器只能放在开放式机架的机房，可以从物理上做到以下安全措施，将电源用胶带固定在插槽上，这样避免了电源受到意外碰撞而造成影响。

　　二、网络安全

　　网络安全是指机房的服务器要有合理的安全拓扑结构。安全的网络环境会让系统管理任务轻松很多，因此，在服务器的前面，至少要有网络屏蔽设施，即硬件防火墙。

　　一般来说，防火墙有两种工作模式，称为路由模式和透明模式，在路由模式下，防火墙就象一个路由器，能进行数据包的路由。它能基于TCP/UDP端口来进行过滤。

　　在透明模式下，防火墙更象一个网桥，它不干涉网络结构，从拓扑中看来，它似乎是不存在的（因此称为透明）。但是，透明模式的防火墙同样具备数据包过滤的功能。透明模式的防火墙不具备IP地址。这两种模式的防火墙都提供网络访问控制功能，可以在防火墙上设置，过滤掉来自因特网的对服务器的NFS端口的访问请求。

　　在网络中使用哪种工作模式的防火墙取决于网络环境。如果服务器使用真实IP地址，应该选择防火墙的透明模式。因为在该模式下，所有对服务器的访问请求都直接到达服务器。当然，在数据包到达服务器之前会经过防火墙的检测，不符合规则的数据包会被丢弃掉。

　　三、系统安全

　　经历了“冲击波”、“震荡波”的洗礼，更多人知道了给操作系统和Web服务器“打补丁”的重要性，但是很多管理员常常忽略这一点。如果不能及时的打补丁，那么一些单位恶意攻击是无法通过任何安全设置来阻止它们。在理想情况下，应该为补丁程序管理制定相应的流程和办法，一些工具像是微软的软件升级服务（SUS）和RedHat的升级服务有助于使这项任务自动化。

　　四、安全管理

　　许多Web服务器的安全性问题往往出在内部的合法使用者身上，如Web 服务的配置不当、CGI程序出现漏洞等。

　　安全与权限设置是IIS保证其站点安全的最重要的保护措施，它可用来控制怎样验证用户的身份以及他们的访问权限。在权安全与限设置过程中，管理员不但可以设置权限和站点安全的继承关系，而且还可以选择要应用的设置，包括验证方法、访问许可、IP地址限制等设置。

　　加强服务器的安全配置,配置Web服务器的访问控制时,要充分考虑程序和Server包含体可能带来的危害，它们可以不受Web服务器原DocmentRoot指令限制而自由存取文件系统中的任何文件,动态生成HTML文档资料。

　　无论是Windows系统还是Unix系统，都有自己的事件日志。日志文件是系统侦错时的重要依据。作为系统管理员，应该清楚地分析日志，从中判断安全风险。