web服务安全策略

《web服务安全策略》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Web服务安全策略【摘要】随着计算机的发展，Web服务器的应用已经非常广泛，可以说任何网络的核心都在于服务器，其中最主耍的就是Web服务器。许多重要的数据都存储在服务器上，因此服务器也成为了网络不安全因素的重点。服务器的安全问题、敏感数据的防窃取和防篡改问题已经越來越被大家所重视。如何有效地保证服务器的安全，实现信息的保密性、完整性和有效性，已经成为研究的重要课题之…。【关键词】Web服务器安全策略需求防范一、引言随着基于Web的应用系统越来越多，Web又称WorldWideWeb(万维网)，其

2、基本结构是采用开放式的客户/服务器结构(Client/Server),分成服务器端、客户接收端以及传输规程三个部分：服务器规定传输设定、信息传输格式和服务器本身的开放式结构；客户机统称浏览器，用于向服务器发送资源索取请求，并将接收到的信息进行解码和显示；通信协议是Web浏览器与服务器之间进行通讯传输的规范。二、Web安全需求(―)Web带来的利益1.建立和使用网站不再是什么困难的事情。软件丰富，硬件价格低廉,技术的普及，使得很多人都可以建立和使用网站來处理数据和信息。2.Web服务，可以减轻商家

3、的负担，提高用户的满意度。因为它可以节省大量的人力，用户随时可以利用Web浏览器给商家反馈信息、提出意见和建议，并且可以得到自己的服务；商家则可以利用网络的Web,使得自己很容易的把服务推广到全球网络覆盖的地方，而不•定必须派专人作为商务代表常驻世界各地。3.Web增进了相互合作。传统的人们为了交流，要花费许多时间和金钱，长途跋涉或者等候邮局的包裹信函。通过Web,团队Z间可以互相交流，费用低廉。(―)Web带来的忧虑1•信息泄漏。攻击者非法访问、获取目标机器(Wob服务器或者浏览器)上的敏感信

4、息；或者中途截取Web服务器和浏览器之间传输的敏感信息；或者山于配置、软件等的原因无意泄漏的敏感信息；2•拒绝服务。该威胁不容易抵御。攻击者的直接目的不在于侵入计算机，而是在短时间内向目标发送大量的正常的请求包并使得冃标机器维持相应的连接，或者发送需要目标机器解析的大量无用的数据包。使得目标机器资源耗尽还是应接不暇，根木无法相应正常的服务。3•系统崩溃。通过Web篡改、毁坏信息，甚至篡改、删除关键文件，格式磁盘等等使得Web服务器或者浏览器崩溃。4•跳板。这种危险使得非法破坏者常常逍遥法外。攻击

5、者非法侵入H标机器，并以此为基地，进一步攻击英他日标，从而使得这些目标机器成为“替罪羊”，遭受怵I扰甚至法律处分。三、Web服务器安全策略(-)Web服务器的安全策略和安全机制Web服务器的安全策略是由个人或组织针对安全而制定的一整套规则和决策。每个Web站点都应有一个安全策略，这些安全策略因需求的不同而各不相同。对Web服务提供者來说，安全策略的一个重要的组成是哪些人可以访问哪些Web文档，同时还定义获权访问Web文档的人和使用这些访问的人的冇关权力和责任。安全机制是实现安全策略的技术或手段。

6、必须根据需耍和目标来设置安全系统，估计和分析可能的风险。定义安全策略，选择一套安全机制，首先要做的是威胁分析，主要包括以下几个方面：1•有多少外部入口点存在？有哪些威胁？2•研究谁会对网络产生威胁：威胁來自黑客，述是训练有素的有知识的入侵者，还是來自工业间谍？3•分析会有什么样的威胁：入侵者访问哪些数据库、表、目录或信息？威胁是网络内部的非授权使用，还是移动数据？4•数据是遭受到了破坏，还是受到了攻击？攻击是网络内、外的非授权访问，还是地址欺骗、IP欺骗及协议欺骗等？（二）安全管理Web服务器安

7、全管理Web服务器，可以从以下儿个方面采取一些预防措施：1.对于在Web服务器上所开设的账户，应在口令长度及修改期限上作出具体要求，防止被盗用。2•限制在Web服务器开账户，定期删除一些短进程的用户。3•尽量在不同的服务器上运行不同的服务（如ma订服务和Web服务等）程序。4•如果不需要，尽量关闭Web服务器上的特性服务，否则，有可能遭受到该特性所导致的安全威胁。5•定期查看服务器中的日志logs文件，应该定期地记录Web服务器的活动，分析一切可疑事件。（三）Web服务器的安全防范1.服务器自身

8、防护。服务器自身的防护可分为两种方式：一种是内防:通过操作系统加固，首先在一个干净的服务器上安装操作系统，通过封闭技术将服务器变为一个可信机，在可信机的基础上，通过开放服务的方式再安装Web应用程序，最后再将操作系统进行封闭。别的应用程序在操作系统不开放的情况下，将无法安装。另一种方法是外防，不加固操作系统而是通过安防的形式实现防护，在Web应用服务器上安装软件杀毒软件、防火墙，再通过组策略设置严格的管控。2•做好系统和数据的防护。在Web应用系统中，系统和数据安全是最重要的，系统一旦崩溃，Wo