web网站安全策略 如何写

第一部分 web的安全需求

1.1 Web安全的体系结构，包括主机安全，网络安全和应用安全

1.2 Web浏览器和服务器的安全需求

在已知的web服务器(包括软硬件)漏洞中，针对该类型web服务器的攻击最少

对服务器的管理操作只能由授权用户执行

拒绝通过web访问web服务器上不公开发布的内容

禁止内嵌在OS或者 web server软件中的不必要的网络服务

有能力控制对各种形式的.exe程序的访问

能够对web操作进行日志记录，以便于进行入侵检测和入侵企图分析

具有适当的容错功能

1.3 Web传输的安全需求

Web服务器必须和内部网络隔离：

有四种实现方式，应选择使用高性能的cisco防火墙实现隔离

Web服务器必须和数据库隔离

维护一份web站点的安全拷贝：来自开发人员最终发布的版本(内容安全)

其次，存储的地点是安全的(另一台独立的位于防火墙之后的内网的主机)

还有，定期备份应该使用磁带，可擦写光盘等媒介

1.4 Web面临的威胁：信息泄露，拒绝服务，系统崩溃，跳板。

第二部分 web服务器的安全策略

主机操作系统是web的直接支撑着，必须合理配置主机系统，为WEB 服务器提供安全支持：

只提供必要的服务

某种服务被攻击不影响其它服务

使用运行在其它主机上的辅助工具并启动安全日志

设置web服务器访问控制规则：

通过IP,子网，域名来控制

通过口令控制

使用公用密钥加密算法

设置web服务器目录权限

关闭安全性脆弱的web服务器功能例如：自动目录列表功能符号连接等

谨慎组织web服务器的内容：

链接检查

CGI程序检测(如果采用此技术)

定期对web服务器进行安全检查

辅助工具：SSH

文件系统完整性检测工具

入侵检测工具

日志审计工具

第三部分 web攻击与反攻击

入侵检测方法：

物理检查

紧急检查

追捕入侵者

攻击的类型：

拒绝服务

第四部分 源代码的安全及约束规则

不能留有后门程序和漏洞，包括系统架构是否合理，是否符合安全需求汇编反汇编、病毒反病毒。

最后，至于 cookies的安全、加密技术、web浏览器的安全、web服务器的安全每个公司设置的规则都不一样，因人而异。

一、修改windows默认的远程端口

也许有高手认为自己做的挺安全的，就算是默认端口也不用被入侵以及被破密。其实修改默认的远程端口一方面是防止入侵，另外一方面也是防止被扫描影响系统的稳定。

有了解过扫描3389软件的人都知道，一般的攻击者都是扫描3389端口的，所以改成其它的端口可以防止被扫描到您的主机。为什么说另外一方面也是防止被扫描3389端口影响到系统的稳定呢？如果您的服务器默认是使用3389端口，扫描软件就会强力尝试密码字典里的密码，与您的主机建议很多的连接，占用系统里的资源导致服务器出现卡的现象。所以修改默认的远程端口是有几个好处的，希望大家重视。

二、修改windows默认的用户名

我们做安全也是针对攻击的行为而制作相对的策略，攻击的人尝试密码破解的时候，都是使用默认的用户名administrator，当你修改了用户名之后，它猜不出您的用户名，即使密码尝试上千万次都不会成功的，如果要使用用户名字典再加下密码字典，我估计攻击者就没有那个心思了，而且也不会一时间破密到您的用户名。所以修改用户名就会减低被入侵的可能。

那么修改成什么样的用户名才是比较安全呢？个人建议使用中文再加上数字再上字母这样的用户名就非常强大了。例如： 非诚勿扰ADsp0973

三、使用复杂的密码

从扫描以及破解的软件看，都是使用简单的常用的密码进行破解的，例如1q2w3e4r5t或者123456或者12345qwert等简单的组合密码，所以使用这些密码是非常不安全的。我个人就建议避免使用简单的密码防止被破解。

建议使用的密码里包含 大字字母+小字字母+数字+特殊字符。 长度至少要12以上这样会好一些。

---