Web服務(wù)器現(xiàn)在已經(jīng)成為了病毒、木馬的重災(zāi)區(qū)。不但企業(yè)的門(mén)戶(hù)網(wǎng)站被篡改、資料被竊取，而且還成為了病毒與木馬的傳播者。有些Web管理員采取了一些措施，雖然可以保證門(mén)戶(hù)網(wǎng)站的主頁(yè)不被篡改，但是卻很難避免自己的網(wǎng)站被當(dāng)作肉雞，來(lái)傳播病毒、惡意插件、木馬等等。筆者認(rèn)為，這很大一部分原因是管理員在Web安全防護(hù)上太被動(dòng)。他們只是被動(dòng)的防御。為了徹底提高Web服務(wù)器的安全，筆者認(rèn)為，Web安全要主動(dòng)出擊。具體的來(lái)說(shuō)，需要做到如下幾點(diǎn)。

一、在代碼編寫(xiě)時(shí)就要進(jìn)行漏洞測(cè)試

現(xiàn)在的企業(yè)網(wǎng)站做的越來(lái)越復(fù)雜、功能越來(lái)越強(qiáng)。不過(guò)這些都不是憑空而來(lái)的，是通過(guò)代碼堆積起來(lái)的。如果這個(gè)代碼只供企業(yè)內(nèi)部使用，那么不會(huì)帶來(lái)多大的安全隱患。但是如果放在互聯(lián)網(wǎng)上使用的話(huà)，則這些為實(shí)現(xiàn)特定功能的代碼就有可能成為攻擊者的目標(biāo)。筆者舉一個(gè)簡(jiǎn)單的例子。在網(wǎng)頁(yè)中可以嵌入SQL代碼。而攻擊者就可以利用這些SQL代碼來(lái)發(fā)動(dòng)攻擊，來(lái)獲取管理員的密碼等等破壞性的動(dòng)作。有時(shí)候訪問(wèn)某些網(wǎng)站還需要有某些特定的控件。用戶(hù)在安裝這些控件時(shí)，其實(shí)就有可能在安裝一個(gè)木馬(這可能訪問(wèn)者與被訪問(wèn)者都沒(méi)有意識(shí)到)。

為此在為網(wǎng)站某個(gè)特定功能編寫(xiě)代碼時(shí)，就要主動(dòng)出擊。從編碼的設(shè)計(jì)到編寫(xiě)、到測(cè)試，都需要認(rèn)識(shí)到是否存在著安全的漏洞。筆者在日常過(guò)程中，在這方面對(duì)于員工提出了很高的要求。各個(gè)員工必須對(duì)自己所開(kāi)發(fā)的功能負(fù)責(zé)。至少現(xiàn)在已知的病毒、木馬不能夠在你所開(kāi)發(fā)的插件中有機(jī)可乘。通過(guò)這層層把關(guān)，就可以提高代碼編寫(xiě)的安全性。

二、對(duì)Web服務(wù)器進(jìn)行持續(xù)的監(jiān)控

冰凍三尺、非一日之寒。這就好像人生病一樣，都有一個(gè)過(guò)程。病毒、木馬等等在攻擊Web服務(wù)器時(shí)，也需要一個(gè)過(guò)程。或者說(shuō)，在攻擊取得成功之前，他們會(huì)有一些試探性的動(dòng)作。如對(duì)于一個(gè)采取了一定安全措施的Web服務(wù)器，從攻擊開(kāi)始到取得成果，至少要有半天的時(shí)間。如果Web管理員對(duì)服務(wù)器進(jìn)行了全天候的監(jiān)控。在發(fā)現(xiàn)有異常行為時(shí)，及早的采取措施，將病毒與木馬阻擋在門(mén)戶(hù)之外。這種主動(dòng)出擊的方式，就可以大大的提高Web服務(wù)器的安全性。

筆者現(xiàn)在維護(hù)的Web服務(wù)器有好幾十個(gè)。現(xiàn)在專(zhuān)門(mén)有一個(gè)小組，來(lái)全天候的監(jiān)控服務(wù)器的訪問(wèn)。平均每分鐘都可以監(jiān)測(cè)到一些試探性的攻擊行為。其中99%以上的攻擊行為，由于服務(wù)器已經(jīng)采取了對(duì)應(yīng)的安全措施，都無(wú)功而返。不過(guò)每天仍然會(huì)遇到一些攻擊行為。這些攻擊行為可能是針對(duì)新的漏洞，或者采取了新的攻擊方式。在服務(wù)器上原先沒(méi)有采取對(duì)應(yīng)的安全措施。如果沒(méi)有及時(shí)的發(fā)現(xiàn)這種行為，那么他們就很有可能最終實(shí)現(xiàn)他們的非法目的。相反，現(xiàn)在及早的發(fā)現(xiàn)了他們的攻擊手段，那么我們就可以在他們采取進(jìn)一步行動(dòng)之前，就在服務(wù)器上關(guān)掉這扇門(mén)，補(bǔ)上這個(gè)漏洞。

筆者在這里也建議，企業(yè)用戶(hù)在選擇互聯(lián)網(wǎng)Web服務(wù)器提供商的時(shí)候，除了考慮性能等因素之外，還要評(píng)估服務(wù)提供商能否提供全天候的監(jiān)控機(jī)制。在Web安全上主動(dòng)出擊，及時(shí)發(fā)現(xiàn)攻擊者的攻擊行為。在他們采取進(jìn)一步攻擊措施之前，就他們消除在萌芽狀態(tài)。

三、設(shè)置蜜罐，將攻擊者引向錯(cuò)誤的方向

在軍隊(duì)中，有時(shí)候會(huì)給軍人一些“偽裝”，讓敵人分不清真?zhèn)巍Ｆ鋵?shí)在跟病毒、木馬打交道時(shí)，本身就是一場(chǎng)無(wú)硝煙的戰(zhàn)爭(zhēng)。為此對(duì)于Web服務(wù)器采取一些偽裝，也能夠?qū)⒐粽咭蝈e(cuò)誤的方向。等到供給者發(fā)現(xiàn)自己的目標(biāo)錯(cuò)誤時(shí)，管理員已經(jīng)鎖定了攻擊者，從而可以及早的采取相應(yīng)的措施。筆者有時(shí)候?qū)⑦@種主動(dòng)出擊的行為叫做蜜罐效應(yīng)。簡(jiǎn)單的說(shuō)，就是設(shè)置兩個(gè)服務(wù)器。其中一個(gè)是真正的服務(wù)器，另外一個(gè)是蜜罐。現(xiàn)在需要做的是，如何將真正的服務(wù)器偽裝起來(lái)，而將蜜罐推向公眾。讓攻擊者認(rèn)為蜜罐服務(wù)器才是真正的服務(wù)器。要做到這一點(diǎn)的話(huà)，可能需要從如下幾個(gè)方面出發(fā)。

一是有真有假，難以區(qū)分。如果要瞞過(guò)攻擊者的眼睛，那么蜜罐服務(wù)器就不能夠做的太假。筆者在做蜜罐服務(wù)器的時(shí)候，80%以上的內(nèi)容都是跟真的服務(wù)器相同的。只有一些比較機(jī)密的信息沒(méi)有防治在蜜罐服務(wù)器上。而且蜜罐服務(wù)器所采取的安全措施跟真的服務(wù)器事完全相同的。這不但可以提高蜜罐服務(wù)器的真實(shí)性，而且也可以用來(lái)評(píng)估真實(shí)服務(wù)器的安全性。一舉兩得。

二是需要有意無(wú)意的將攻擊者引向蜜罐服務(wù)器。攻擊者在判斷一個(gè)Web服務(wù)器是否值得攻擊時(shí)，會(huì)進(jìn)行評(píng)估。如評(píng)估這個(gè)網(wǎng)站的流量是否比較高。如果網(wǎng)站的流量不高，那么即使被攻破了，也沒(méi)有多大的實(shí)用價(jià)值。攻擊者如果沒(méi)有有利可圖的話(huà)，不會(huì)花這么大的精力在這個(gè)網(wǎng)站服務(wù)器上面。如果要將攻擊者引向這個(gè)蜜罐服務(wù)器的話(huà)，那么就需要提高這個(gè)蜜罐服務(wù)器的訪問(wèn)量。其實(shí)要做到這一點(diǎn)也非常的容易。現(xiàn)在有很多用來(lái)交互流量的團(tuán)隊(duì)。只要花一點(diǎn)比較小的投資就可以做到這一點(diǎn)。

三是可以故意開(kāi)一些后門(mén)讓攻擊者來(lái)鉆。作為Web服務(wù)器的管理者，不僅關(guān)心自己的服務(wù)器是否安全，還要知道自己的服務(wù)器有沒(méi)有被人家盯上。或者說(shuō)，有沒(méi)有被攻擊的價(jià)值。此時(shí)管理者就需要知道，自己的服務(wù)器一天被攻擊了多少次。如果攻擊的頻率比較高，管理者就高興、又憂(yōu)慮。高興的是自己的服務(wù)器價(jià)值還蠻大的，被這么多人惦記著。憂(yōu)慮的是自己的服務(wù)器成為了眾人攻擊的目標(biāo)。就應(yīng)該抽取更多的力量來(lái)關(guān)注服務(wù)器的安全。

四、專(zhuān)人對(duì)Web服務(wù)器的安全性進(jìn)行測(cè)試

俗話(huà)說(shuō)，靠人不如靠自己。在Web服務(wù)器的攻防戰(zhàn)上，這一個(gè)原則也適用。筆者建議，如果企業(yè)對(duì)于Web服務(wù)的安全比較高，如網(wǎng)站服務(wù)器上有電子商務(wù)交易平臺(tái)，此時(shí)最好設(shè)置一個(gè)專(zhuān)業(yè)的團(tuán)隊(duì)。他們充當(dāng)攻擊者的角色，對(duì)服務(wù)器進(jìn)行安全性的測(cè)試。這個(gè)專(zhuān)業(yè)團(tuán)隊(duì)主要執(zhí)行如下幾個(gè)任務(wù)。

一是測(cè)試Web管理團(tuán)隊(duì)對(duì)攻擊行為的反應(yīng)速度。如可以采用一些現(xiàn)在比較流行的攻擊手段，對(duì)自己的Web服務(wù)器發(fā)動(dòng)攻擊。當(dāng)然這個(gè)時(shí)間是隨機(jī)的。預(yù)先Web管理團(tuán)隊(duì)并不知道。現(xiàn)在要評(píng)估的是，Web管理團(tuán)隊(duì)在多少時(shí)間之內(nèi)能夠發(fā)現(xiàn)這種攻擊的行為。這也是考驗(yàn)管理團(tuán)隊(duì)全天候跟蹤的能力。一般來(lái)說(shuō)，這個(gè)時(shí)間越短越好。應(yīng)該將這個(gè)時(shí)間控制在可控的范圍之內(nèi)。即使攻擊最后沒(méi)有成功，Web管理團(tuán)隊(duì)也應(yīng)該及早的發(fā)現(xiàn)攻擊的行為。畢竟有沒(méi)有發(fā)現(xiàn)、與最終有沒(méi)有取得成功，是兩個(gè)不同的概念。

二是要測(cè)試服務(wù)器的漏洞是否有補(bǔ)上。畢竟大部分的攻擊行為，都是針對(duì)服務(wù)器現(xiàn)有的漏洞所產(chǎn)生的。現(xiàn)在這個(gè)專(zhuān)業(yè)團(tuán)隊(duì)要做的就是，這些已發(fā)現(xiàn)的漏洞是否都已經(jīng)打上了安全補(bǔ)丁或者采取了對(duì)應(yīng)的安全措施。有時(shí)候我們都沒(méi)有發(fā)現(xiàn)的漏洞是無(wú)能為力，但是對(duì)于這些已經(jīng)存在的漏洞不能夠放過(guò)。否則的話(huà)，也太便宜那些攻擊者了。

原文鏈接：http://netsecurity.51cto.com/art/201101/242446.htm