Web服务器安全防护系统构建.docVIP

Web服务器安全防护系统构建 　　摘 要： 互联网的诞生给我们带来很多便利，极大地提高我们的生活质量，也从一定程度上加快社会的发展步伐，Web服务器是互联网采用最普遍的信息服务类型，但是一直面临一些安全问题，亟待解决，着重阐述web服务器安全防护系统的构建。 　　关键词： web服务器；安全；防护 　　中图分类号：TP393 文献标识码：A 文章编号：1671－7597（2011）1020042－01 　　 　　0 前言 　　随着网络技术的不断发展，网络安全问题需要引起更多的重视，网络和计算机技术在给我们提供巨大便利的同时，也带给我们一些困扰。黑客、病毒等严重影响计算机网络安全。信息化建设的广泛开展，使得很多单位和个人都离不开web应用技术，这种技术是当前信息服务商构建信息系统所采用的标准技术。但是，当web平台的应用越来越广泛，越来越成熟的时候，针对这种服务器的攻击手段也呈现多样化的态势，给web服务器的应用带来严重威胁，影响了用户的信息安全和使用效率。目前，针对这种服务器的攻击有上千种，主要包括对网页的非法篡改，恶意挂马，站点脚本攻击等．由于web服务具有独立性和模块化的特点，在不同的行业和部门中不断延伸，安全问题也随之增加。建立安全和可靠的web服务模式，构建web服务器的安全防护系统是一个不容忽视的问题。 　　1 web服务器安全防护体系构建的主要方式 　　web服务的安全体系主要包括客户、服务器、网络传输层、消息层和应用层等。 　　Web服务器的使用范围是非常广泛的，为了应对日益猖狂的网络安全威胁和恶意攻击，只有提高web服务器的安全防护能力，构建安全防护系统，最大程度上提高web服务器的防止进攻和自动修复的功能。web服务采用的是SOAP进行数据交换，理论上不需要通过传输层的安全措施就可以提供完整的SOAP安全特征。但是，在实际的实践应用中是不能够被接受的。因为这种方法在一定程度上废除了现有的安全体系和结构。 　　另外，SOAP中包含了第三方的节点，对消息的阅读却不受限制，所以仅仅依靠传输层的安全措施是不可靠的，还必须要结合传输层和SOAP层次才能够充分保证web服务的安全性。 　　1.1 通过防止网页篡改技术维护web服务器安全。网页篡改指的是攻击人员恶意修改web网页的页面内容，这种行为的发生利用的是网站漏洞。这种威胁web使用安全的恶性攻击行为具有很强大的负面效应。1）被篡改过的网页阅读人群很大，具有惊人的传播速度。2）具有不可预见性，难以防范。3）攻击行为的发生没有很大难度，并且越来越智能化，攻击有很强的隐蔽性，难以追查。总之这是一种对web服务器的安全具有极强杀伤力的攻击手段。 　　防止网页篡改技术可以自动修复被恶意篡改的网页。这种技术把网页监控与恢复很好的结合在一起。通过对网站的页面进行实时监控，可以快速判断网页的页面上内容是否被非法改变。一旦发现网站的页面被非法篡改，就可以立即对被篡改的页面进行修复。这种防篡改系统是在web服务器上直接运行的。这种技术主要是在一些静态页面中被采用。高校以及企业等单位对此的应用还是比较少的。因为这种技术有其固有的局限性，1）对黑客进攻的防御性能很低。2）适用范围比较窄，一般是用于静态的网页，对于动态的网页则不具有防护作用。3）防御攻击的总体性能很低，对脚本攻击、注入攻击、缓冲区溢出攻击不具有防护功能。 　　1.2 注重密码安全。很多非法和暴力破解密码的手段出现之后，密码的安全性能受到极大威胁，因此密码要具有一定的复杂程度，并且要经常修改，以防被恶意盗取。不要随便使用默认的管理员账户。 　　1.3 建立强有力的网络安全防护系统。Web服务器是网络中的核心部件，坚决不可以把服务器孤立开来，进行个别保护。只有服务器和其他设备作为一个整体共同被保护，协调发生作用是才能够全面地解决问题，更好的保证服务器的使用安全。所以说，计算机网络安全体系的的建立必须符合整体和完善的原则。 　　1.4 设置IP访问限制功能。IP访问限制功能可以对用户进行筛选，检查客户是否具有合法的访问权限。IP限制访问功能的发挥主要依靠在web服务器过滤模块当中设置此功能，通过匹配HTTP请求中的IP地址与黑名单中的IP地址等各种方式。 　　HTTP所提供的基于口令的基本身份认证方法是非常有效的。当用户请求某个页面或者运行某个JSP程序时，Web服务器会读取访问控制文件，并且会从这个过程中获得访问控制信息，同时要求客户提供用户名和口令，然后浏览器将用户名和口令传给服务器，进行验证之后，服务器才会满足用户请求的内容，诸如发回请求页面或者执行JSP程序等。为了保证使用安全性，最好选择采用HTTP基本身份认证，因为这种方法不需要客户具备认证机构签发的认证书。 　　1.5 加强客户端