网站安全整体方案.doc

前言在网络应用越来越多的今天，对于一个ICP（Internet内容供应商）来说，拥有大量的访问量和用户是ICP的目标，但这样，又会带来系统安全、网络带宽与服务器处理能力的大量需求。从为了建立一个能够正常运行的网站系统的角度出发，结合目前网络安全方面的诸多问题和现状，我在这里为您提供一个有关网站方面的安全防护的简单的方案，希望能对您将来在这方面的工作提供一定的帮助。分析与解决方案一个网站的建立，是必须有以下的前提做为基础的，其中包括：1. 网站程序所在的高性能服务器。2. 能够被网上其他用户所访问的域名或IP地址。3. 能够保证拥有足够流量的网络带宽。 这里，我们抛开网页开发时网页系统本身编写过程中出现的漏洞不提，只对以上所提到的部分进行必要的安全防护方面的整体分析。首先，高性能的服务器是建立一个网站所必要的组成部分，一个网站的访问量如果很大的话，甚至还包括视频类的服务，那么，不使用高性能的服务器是很容易造成网站瘫痪的。所以，如果要建立一个好的网站，一个高性能的服务器是必不可少的。当拥有了网站所使用的高性能服务器之后，还需要做的事情就是为这些网站服务器的操作系统尽量打上所有的安全补丁。因为在网络安全界里有这样的一种说法，当你将一台电脑的操作系统的所有补丁都打全的时候，你甚至是不需要任何的杀毒软件和防火墙的。当然这是一种夸大的说法，但是这也足以说明打补丁对于安全防护的重要性。在了解了打补丁的重要性之后就是具体工作的部分，因为一般的系统所存在的漏洞有很多，我们可以借助一些工具来查找当前系统中所存在的漏洞，然后在借助该工具进行打补丁的工作。当然，少量的机器我们可以采取挨个打补丁的办法，当电脑和服务器数量比较大的时候，我们还可以借助一些专门的软件来进行这样的工作。在说完了基于系统自身的安全防护来说，现在需要说明的是基于数据备份方面的问题。在上面，如果将网站服务器的安全补丁打的很全，可以保证它能够顺利的运行的情况下，那么是不是就是可以高枕无忧呢？答案是否定的。就如这个世界上没有不会被攻破的城市一样，绝对安全的服务器是不存在的，操作系统的漏洞，代码的不安全，操作人员的失误，甚至是突然的断电等都可能造成具有宝贵数据的服务器的崩溃。所以我们必须要经常的对网站系统的数据进行备份。这里所说的备份与我们常说的用刻盘的方式来进行的备份是不同的，一个网站系统所拥有的数据量是不允许我们以这样的方式来进行备份的。那么，我们可以通过使用专门的安全产品来做这样的工作，它能够自动的将您的数据备份到磁带机上，便于您在遇到重大的事故的时候能够及时的找回重要数据，减少损失。在服务器上的准备工作做完之后，我们可以将网站的服务器接到网络上，从这里开始，服务器就必须要开始承受来自外部的攻击和访问，那么它的安全措施将更加复杂化，一般来说，它的网络拓扑图大致是下面这个样子的：从上面的图上可以看到，一个网站的系统建立大致是以上的情形，外部网接入以后，内部拥有很多台电脑来从事网站系统的服务工作，可能有多台WEB服务器，还可能有一些POP3，SMTP邮件服务器，而如何使这些重要的机器不被来自外部的机器随便访问和控制甚至攻击呢？就需要借助一些网关类的安全产品，包括：防火墙，入侵检测，防病毒网关等等。作为一个拥有静态IP地址的服务器，如果这台服务器没有任何的防护的话，网上的使用者可以很容易的访问到这台服务器上，如果其中包含恶意的用户，那么他们很可能就会更改这台服务器的设置，从而将网站“黑”掉。防火墙就可以很好的解决来自外部的非法访问。首先，先说明一下防火墙的功能：1. 防火墙是网络安全的屏障，防火墙（作为阻塞点、控制点）能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。2. 对网络存取和访问进行监控审计，如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。3. 防止内部信息的外泄，通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。一般来说，在服务器的外面架设一台硬件防火墙就能很好的阻止外部的不良访问。做到让服务器处在一个比较安全的地方。但是，在网关处单单使用一台防火墙在目前看来已经是不够用的了。因为防火墙，只能对网络的7层协议中的前3层提供过滤和转发，对于来自比较高的应用层的协议和防护就显得力不从心了。来自互联网的病毒和木马类程序，正是基于应用层的威胁。目前，对于此类威胁，可以使用网关防毒产品，在出口处进行病毒的过滤。当然，这种产品对于一般的网站服务器来说是不需要的，网站服务器通常只是提供服务的，不会对外进行访问，所以这样的设备可有可无。另外，目前的服务器面临的另外一个比较严峻的问题是来自互联网的拒绝服务攻击（DOS）和分布式拒绝服务攻击（DDOS）。这里先介绍一下什么是拒绝服务攻击和分布式拒绝服务攻击：DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项性能指标不高它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了 - 目标对恶意攻击包的消化能力加强了不少，例如你的攻击软件每秒钟可以发送3,000个攻击包，但我的主机与网络带宽每秒钟可以处理10,000个攻击包，这样一来攻击就不会产生什么效果。 这时侯分布式的拒绝服务攻击手段（DDoS）就应运而生了。你理解了DoS攻击的话，它的原理就很简单。如果说计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用的话，攻击者使用10台攻击机同时攻击呢？用100台呢？DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。 高速广泛连接的网络给大家带来了方便，也为DDoS攻击创造了极为有利的条件。在低速网络时代时，黑客占领攻击用的傀儡机时，总是会优先考虑离目标网络距离近的机器，因为经过路由器的跳数少，效果好。而现在电信骨干节点之间的连接都是以G为级别的，大城市之间更可以达到2.5G的连接，这使得攻击可以从更远的地方或者其他城市发起，攻击者的傀儡机位置可以在分布在更大的范围，选择起来更灵活了。被DDoS攻击时的现象包括：1. 被攻击主机上有大量等待的TCP连接。2. 网络中充斥着大量的无用的数据包，源地址为假。3. 制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯。 4. 利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求。 5. 严重时会造成系统死机。由于以上所说，如果网站服务器受到DOS和DDOS攻击的时候，很容易就会瘫痪。所以如果有需要的话，可以再借助专门的安全设备来做这样的工作。一般来说，对于网站的防护，使用防火墙基本可以做到很好的保证服务器的正常运行。在做完了网关处的防护之后，我们还可以根据需要在内部进行应用层的防护。比如，内部如果有多台服务器的话，可以使用网络版的杀毒软件来进行集中的防护。因为如果服务器内网的防毒做的不好,制作出来的网页就含有病毒.对用户危害极大.之直接就会对网站造成影响。还可以通过某些网管软件来进行内部人员对于服务器的管理权限的限制。甚至可以做到让他们无法使用U盘，在管理员离开电脑时自动锁定电脑的程度，从而更好的从内部来杜绝安全隐患。最后需要注意的地方就是服务器方面的多链路和负载均衡。如果服务器位于北方或使用网通的链路,那就要考虑是不是会有南方的用户或使用南电信的用户要访问这个网站.如果有,那么网站至少要两条链路接入，才能够支持南方网络用户的浏览。负载均衡这个问题也是这个一，两年才提出的。一个大的网站不可能只有一台服务器来支撑,有可能这一个地区就需要3-4台服务器的支持。怎么样让这3-4台服务器全部都工作,而不出现一台服务器工作状态很忙,其他服务器处于空闲状态呢?这个就需要负载均衡设备来解决了。总结总的来说，如果想很好的完成一个网站的安全防护，最基本的部分就是包括下面的几点：1 从网关处进行防火墙的访问控制设置甚至是安装入侵检测。2 在内部服务器上