加強(qiáng)網(wǎng)站服務(wù)器安全維護(hù)的技巧

河北省交通通信管理局 | 陳曉燕

加強(qiáng)網(wǎng)站服務(wù)器安全維護(hù)的技巧

河北省交通通信管理局 | 陳曉燕

伴隨計(jì)算機(jī)的使用越來(lái)越廣泛，網(wǎng)站服務(wù)器的運(yùn)行和維護(hù)工作不容忽視。服務(wù)器的安全與否關(guān)系到整個(gè)計(jì)算機(jī)系統(tǒng)的正常運(yùn)行，不斷提升面向網(wǎng)站服務(wù)器的維護(hù)技巧十分重要。

計(jì)算機(jī)系統(tǒng)服務(wù)器的維護(hù)工作十分重要，稍有不慎就會(huì)使整個(gè)網(wǎng)絡(luò)陷入癱瘓。目前，網(wǎng)絡(luò)經(jīng)常出現(xiàn)惡意的網(wǎng)絡(luò)攻擊行為，這給網(wǎng)站維護(hù)工作帶來(lái)了麻煩。

惡意網(wǎng)絡(luò)攻擊基本包括兩類：一是惡意的攻擊行為，二是惡意的入侵行為。如果不防止和遏制這些攻擊，服務(wù)器必將受到破壞。為此，要保障網(wǎng)絡(luò)服務(wù)器的安全就要盡量使網(wǎng)絡(luò)服務(wù)器避免受以上兩種行為的影響?，F(xiàn)在以Windows2003操作系統(tǒng)服務(wù)器為例，介紹一些網(wǎng)站服務(wù)器安全維護(hù)的技巧。

轉(zhuǎn)換角色

大多數(shù)時(shí)候，我們?nèi)糁皇钦驹诰W(wǎng)絡(luò)維護(hù)員的位置上思考問(wèn)題，可能很難發(fā)覺網(wǎng)站服務(wù)器的漏洞。相反，維護(hù)員如能換個(gè)角度，把自己當(dāng)作潛在的網(wǎng)絡(luò)攻擊者，從他們的角度出發(fā)，揣測(cè)他們可能會(huì)采取哪些手段、對(duì)哪些網(wǎng)站服務(wù)器的漏洞進(jìn)行攻擊，或許就能發(fā)現(xiàn)網(wǎng)站服務(wù)器可能存在的安全漏洞，從而先行一步，修補(bǔ)漏洞，避免被木馬或者病毒攻擊，防患于未然。

從外網(wǎng)訪問(wèn)自身的網(wǎng)站服務(wù)器，執(zhí)行完整的檢測(cè)，然后模擬攻擊者攻擊自己的特點(diǎn)，看會(huì)有什么結(jié)果。這對(duì)于網(wǎng)站的安全性來(lái)說(shuō)，無(wú)疑是一種很好的檢測(cè)方法。自己充當(dāng)攻擊者，運(yùn)用適當(dāng)?shù)膾呙韫ぞ邔?duì)網(wǎng)站服務(wù)器進(jìn)行適當(dāng)?shù)膾呙?，一些可能日常不?huì)引起重視的信息，當(dāng)運(yùn)用黑客常用的工具進(jìn)行掃描時(shí)，就會(huì)發(fā)現(xiàn)其中存在著可能被調(diào)用的服務(wù)或漏洞。

如在網(wǎng)站服務(wù)器安裝的時(shí)候，操作系統(tǒng)會(huì)默認(rèn)安裝并啟動(dòng)一些不需要的服務(wù)，但是事后如果沒有及時(shí)關(guān)上，將會(huì)給不法攻擊者留下攻擊的機(jī)會(huì)。因此，在必要的時(shí)候可以換一個(gè)角度，從攻擊者的角度出發(fā)，猜測(cè)他們會(huì)采用什么攻擊手段，防止出現(xiàn)“當(dāng)局者迷”的情況。

合理的權(quán)限維護(hù)

有時(shí)，一臺(tái)服務(wù)器不僅運(yùn)行了網(wǎng)站的應(yīng)用，而且還會(huì)運(yùn)行諸如FTP服務(wù)器和流媒體服務(wù)器之類的網(wǎng)絡(luò)服務(wù)。在同一臺(tái)服務(wù)器上使用多種網(wǎng)絡(luò)服務(wù)很可能造成服務(wù)之間的相互感染。也就是說(shuō)，攻擊者只要攻擊一種服務(wù)，就可以運(yùn)用相關(guān)的技能攻陷其他使用。因?yàn)楣粽咧恍韫テ破渲幸环N服務(wù)，就可以運(yùn)用這個(gè)服務(wù)平臺(tái)從內(nèi)部攻擊其他服務(wù)，通常來(lái)說(shuō)，從內(nèi)部執(zhí)行攻擊要比從外部執(zhí)行攻擊方便得多。

通常我們從成本角度考慮，會(huì)在一臺(tái)服務(wù)器上同時(shí)運(yùn)行三種服務(wù)：一個(gè)是傳統(tǒng)的網(wǎng)站服務(wù)，二是FTP服務(wù)，三是流媒體服務(wù)。因?yàn)檫@些服務(wù)都是mms模式的，互聯(lián)網(wǎng)上也可以直接訪問(wèn)流媒體服務(wù)器，所以就部署同一臺(tái)服務(wù)器上。同時(shí)也因?yàn)樗x用的服務(wù)器配置較高，所以運(yùn)行這三個(gè)服務(wù)沒有太大問(wèn)題，性能也不會(huì)受到影響。

但是這卻給網(wǎng)站維護(hù)者提出了一個(gè)難題：兩種甚至兩種以上的服務(wù)同時(shí)部署在同一服務(wù)器上，怎么才能保障安全、防止彼此感染呢？

在日常工作中，我們通常采用的文件系統(tǒng)是FAT或者FAT32。NTFS是微軟Windows NT內(nèi)核的系列操作系統(tǒng)所支持的、一個(gè)特別為網(wǎng)絡(luò)和磁盤配額、文件加密等管理安全特性設(shè)計(jì)的磁盤格式。在NTFS文件系統(tǒng)里可以為任何一個(gè)磁盤分區(qū)單獨(dú)設(shè)置訪問(wèn)權(quán)限，把敏感信息和服務(wù)信息分別放在不同的磁盤分區(qū)。這樣，即使黑客通過(guò)某些方法獲得服務(wù)文件所在磁盤分區(qū)的訪問(wèn)權(quán)限，還需要想方設(shè)法突破系統(tǒng)的安全設(shè)置才能進(jìn)一步訪問(wèn)保存在其他磁盤上的敏感信息。

腳本安全維護(hù)

在實(shí)際工作中，許多因攻擊而癱瘓的網(wǎng)站服務(wù)器都是由于不良的腳本造成的。攻擊者特別喜歡針對(duì)CGI程序或者PHP腳本實(shí)施攻擊。通常來(lái)說(shuō)，這需要使用網(wǎng)站傳遞一些必要的參數(shù)才能正常訪問(wèn)。這個(gè)參數(shù)可以分為兩類:一類是值得信任的參數(shù)，另一類則是不值得信任的參數(shù)。

比如某單位自行維護(hù)網(wǎng)站服務(wù)器，而不是托管，他們將服務(wù)器放置在單位防火墻內(nèi)部，以提高網(wǎng)站服務(wù)器的安全性。所以一般來(lái)說(shuō)，來(lái)自防火墻內(nèi)部的參數(shù)都是可靠的，值得信任的，而來(lái)自外部的參數(shù)基本上是不值得信任的。

但是，這并不是說(shuō)不值得信任的參數(shù)或者來(lái)自防火墻外部的網(wǎng)站服務(wù)器參數(shù)都不采用，而是說(shuō)，在網(wǎng)站服務(wù)器設(shè)計(jì)的時(shí)候，需要格外留心，采用這些不值得信任參數(shù)的時(shí)候需要執(zhí)行檢驗(yàn)，看其是否正當(dāng)，而不能向來(lái)自網(wǎng)站內(nèi)部的參數(shù)那樣照收不誤。這會(huì)給網(wǎng)站服務(wù)器的安全帶來(lái)隱患，例如，當(dāng)攻擊者運(yùn)用TELNET連接到80端口，就可以向CGL腳本傳遞不安全的參數(shù)。

所以在CGI程序編寫或者PHP腳本編輯的時(shí)候，網(wǎng)站維護(hù)人員需要特別留心，不能讓其隨便接受陌生的參數(shù)。而在接受參數(shù)之前，也要先檢驗(yàn)提供參數(shù)的人或者參數(shù)本身的正當(dāng)性。在程序或者腳本編寫的時(shí)候，可以預(yù)先增加一些判斷條件。當(dāng)服務(wù)器認(rèn)為提供的參數(shù)不準(zhǔn)確的時(shí)候，及時(shí)通知維護(hù)員。這也可以幫助維護(hù)員盡早發(fā)覺可能存在的攻擊者并及時(shí)采取相應(yīng)的防御措施。

做好系統(tǒng)備份

常言道“有備無(wú)患”，雖然網(wǎng)站都不希望系統(tǒng)突然遭到破壞，但是做好準(zhǔn)備還是很有必要的。及時(shí)做好服務(wù)器系統(tǒng)備份，萬(wàn)一遭到破壞也可及時(shí)恢復(fù)。

安裝軟件防火墻、殺毒軟件

雖然網(wǎng)站已經(jīng)有了一套硬件的防御系統(tǒng)，但是多一些保障會(huì)更好。關(guān)于防火墻、殺毒軟件的論述業(yè)界已經(jīng)有很多了，這里不再贅述。

開啟事件日志

開啟日記服務(wù)雖然對(duì)阻止黑客的入侵并沒有直接的作用，但是它可以記錄黑客的行蹤，維護(hù)員可以分析入侵者在系統(tǒng)上做過(guò)什么手腳，在系統(tǒng)上留了哪些后門，給系統(tǒng)造成了哪些破壞及隱患，服務(wù)器到底還存在哪些安全漏洞等，以便維護(hù)員有針對(duì)性地實(shí)施服務(wù)器維護(hù)。