导图社区 网站安全需求分析与安全保护工程
- 33
- 0
- 0
- 举报
网站安全需求分析与安全保护工程
网站安全需求涉及多个方面,主要包括物理环境,网络通信,操作系统,数据库,应用服务器,Web服务软件,Web应用程序,数据等安全威胁防护。 网站运行维护需要建立一个相...
编辑于2022-10-11 17:39:42 湖北省- 网络安全
- 相似推荐
- 大纲
22.网站安全需求分析与安全保护工程
1. 网站安全威胁与需求分析
1. 网站安全概念
网站是一个基于B／S技术架构的综合信息服务平台。一般网站涉及网络通信、操作系统、数据库、Web服务器软件、Web应用、浏览器、域名服务以及HTML、XML、SSL、WebServices等相关协议，同时，网站还有防火墙、漏洞扫描、网页防篡改等相关的安全措施。
网站安全主要是有关网站的机密性、完整性、可用性及可控性。网站的机密性是指网站信息及相关数据不被授权查看或泄露。网站的完整性是指网站的信息及数据不能非授权修改，网站服务不被劫持。网站的可用性是指网站可以持续为相关用户提供不中断的服务的能力，满足用户的正常请求服务。网站的可控性是指网站的责任主体及运营者对网站的管理及控制的能力，网站不能被恶意利用。
2. 网站安全分析
主要威胁
（1） 非授权访问。网站的认证机制的安全缺陷导致网站服务及信息被非授权访问。攻击者通过口令猜测及“撞库”攻击技术手段，获取网站用户的访问权限。
（2） 网页篡改。网站相关的组件存在安全隐患，被攻击者利用，恶意篡改网页。
（3） 数据泄露。
（4） 恶意代码。网页木马是一个含有恶意功能的网页文件，其目的是使得网页访问者自动下载设置好的木马程序并执行。
（5） 网站假冒。攻击者通过网站域名欺骗、网站域名劫持、中间人等技术手段，诱骗网站用户访问以获取敏感信息或提供恶意服务。
（6） 拒绝服务。常见的网站拒绝服务攻击技术有UDP洪水（UDP Flood）、ICMP洪水（ICMP Flood）、SYN洪水（SYN Flood）、HTTP洪水（HTTP Flood）。
（7） 网站后台管理安全威胁。网站后台管理的安全主要涉及管理员账号安全性、后台管理程序安全性、内部管理权限安全性。常见的后台管理问题包括以下几个方面：①网站管理员身份及密码被窃取。②后台管理网页存在安全漏洞。③内部管理权限分配不合理。
3. 网站安全需求
网站安全需求主要包括物理环境、网络通信、操作系统、数据库、应用服务器、Web服务软件、Web应用程序、数据等安全威胁防护。同时，网站运行维护需要建立一个相应的组织管理体系以及相应的安全运维工具和平台。网站作为一个业务运行承载平台，其相关业务必须符合国家法律政策要求，如内容安全、等级保护、安全测评以及数据存储安全要求。
2. Apache Web安全分析与增强
1. Apache Web概述
Apache Httpd是一个用于搭建Web服务器的开源软件。
Apache Httpd配置文件有
httpd．conf。是Apache的主配置文件，httpd程序启动时会先读取httpd．conf。该文件设定Apache服务器一般的属性、端口、执行者身份等。
conf／srm．conf。是数据配置文件，主要设置WWWServer读取文件的目录、目录索引时的画面、CGI执行时的目录等。srm.conf不是必需的，可以完全在httpd.conf里设定。
conf／access．conf。负责基本的读取文件控制，限制目录所能执行的功能及访问目录的权限，设置access.conf不是必需的，可以在httpd.conf里设定。
conf／mime．conf。设定Apache所能辨别的MIME格式，一般而言，无须动此文件。
2. Apache Web安全分析
主要威胁
1||| Apache Web软件程序威胁。Apache软件包自身存在安全隐患。
2||| Apache Web软件配置威胁。攻击者利用Apache网站管理配置漏洞，访问网站敏感信息。典型实例有目录索引（Directory Indexing）、资源位置预测（Predictable Resource Location）、信息泄露(Information Leakage)。
3||| Apache Web安全机制威胁。攻击者利用Apache安全机制的漏洞，进行攻击非授权访问的Apache服务，典型实例有口令暴力攻击（Brute Force）、授权不当（Insufficient Authorization）、弱口令恢复验证（WeakPassword Recovery Validation）。
4||| Apache Web应用程序威胁。攻击者利用Apache应用程序漏洞来攻击网站，攻击者编写的一些漏洞利用程序，使得Apache服务失去控制，攻击者可以执行其恶意指令。典型实例有SQL注入、输入验证错误（InputValidationError）。
5||| Apache Web服务通信威胁。Apache一般情况下使用的HTTP协议是明文传递的。
6||| Apache Web服务内容威胁。修改网页信息或者发布虚假信息。典型实例有网页恶意篡改和网络钓鱼。
7||| Apache Web服务器拒绝服务威胁。
3. Apache Web安全机制
（1） Apache Web本地文件安全。Apache安装后默认设置的文件属主（---所有者）和权限是比较合理与安全的。可通过chmod命令修改。
（2） Apache Web模块管理机制。Apache软件体系采用模块化结构，这使得Apache的功能可以灵活配置。禁止不用的模块。
（3） Apache Web认证机制。如用户认证机制。
（4） 连接耗尽应对机制。①减少Apache超时（Timeout）设置、增大MaxClients设置。②限制同—IP的最大连接数。③多线程下载保护机制。把已知的多线程工具都禁止掉。
（5） Apache Web自带的访问机制。基于IP地址或域名的访问控制是Apache提供的一种根据客户机的IP地址或域名信息进行网站访问授权控制的措施。Apache的access.conf文件负责设置文件的访问权限，可以实现互联网域名和IP地址的访问控制。
（6） Apache Web审计和日志。①access.log记录对Web站点的每个进入请求。②error.log记录产生错误状态的请求。
（7） Apache Web服务器防范DoS。
4. Apache Web安全增强
（1） 及时安装Apache Web补丁
（2） 启用．htaccess文件保护网页。．htaccess的功能包括设置网页密码、设置发生错误时出现的文件、改变首页的文件名（如index.html）、禁止读取文件名、重新导向文件、加上MIME类别、禁止列目录下的文件等。
（3） 为Apache Web服务软件设置专门的用户和组按照最小特权原则，给Apache Web服务程序分配一个合适的权限，让其能够完成Web服务。必须保证Apache使用一个专门的用户和用户组，不要使用系统预定义的账号，比如nobody用户和nogroup用户组。
（4） 隐藏Apache Web软件的版本号。通常来说软件的漏洞信息和特定版本是相关的，因此，版本号对黑客来说是最有价值的。
（5） Apache Web目录访问安全增强。对于可以访问的Web目录，要使用相对安全的途径进行访问，不要让用户查看到任何目录索引列表，如①设定禁止使用目录索引文件。②禁止默认访问。③禁止用户重载。---重载，简单理解为对配置文件进行修改
（6） Apache Web文件目录保护。Apache Web文件目录安全设置可以通过操作系统来实现。
（7） 删除Apache Web默认目录或不必要的文件。Apache需要删除的默认目录或不必要的文件如下：Apache源代码文件；默认HTML文件；CGI程序样例；默认用户文件。
（8） 使用第三方软件安全增强Apache Web服务。①构建Apache Web服务器“安全沙箱”。②使用OpenSSL增强Apache Web安全通信。③增强Apache Web服务器访问控制。
3. IIS安全分析与增强
1. IIS概述
IIS（IntemetInformationServices）是Microsoft公司的Web服务软件的简称，主要提供Web服务。
HTTP请求的步骤
(1) HTTP.sys 接收到客户的HTTP 请求；
(2) HTTP. sys 联系WAS (Windows Process Activation Service), 从配置库中获取信息；
(3) WAS 从配置库applicationHost.config 中请求配置信息；
(4) WWW Service 接收配置信息，例如应用池和站点配置；
(5) WWW Service 使用这些配置信息设置HTTP. sys;
(6) WAS 针对请求，为应用池启动工作进程；
(7) 工作进程处理请求和返回HTTP. sys 的响应；
(8) 客户接收到响应。
2. IIS安全分析
主要威胁
非授权访问。
网络蠕虫。攻击者利用IIS服务程序缓冲区溢出漏洞，构造网络蠕虫攻击。
网页篡改。恶意修改IIS网站的页面信息。
拒绝服务。
IIS软件漏洞。IIS的CVE漏洞涉及拒绝服务、代码执行、溢出、特权提升、安全旁路、XSS、内存破坏、信息泄露等。
3. IIS安全机制
（1） IIS认证机制
1||| 匿名认证（Anonymous Authentication），当其他认证措施都缺失的时候，实施匿名认证。
2||| 基本验证（Basic Authentication），提供基本认证服务。
3||| 证书认证（Certificate Mapping uthentication），实施基于活动目录（Active Directory）的证书认证。
4||| 数字签名认证（Digest Authentication），实施数字签名认证。
5||| IS证书认证（IISCertificate Mapping Authentication），实施按照IIS配置开展的证书认证。
6||| Windows认证（Windows Authentication）集成（NTLM）身份验证。
（2） IIS访问控制
IIS具有请求过滤（Request Filtering）、URL授权控制（URL Authorization）、IP地址限制（IP Restriction）、文件授权等访问控制措施。通过URL扫描可以设置许可的文件以及限制的恶意字符串。基于IP地址的访问控制是IIS提供的一种根据客户机的IP地址信息进行网站访问授权的机制。
IIS的访问控制流程
①用户浏览器所在计算机的IP地址是否限制？如果来自受限IP，访问将被拒绝；否则进入下一步验证。
②用户身份验证是否通过？对于非匿名访问的站点，要对用户进行账号验证，如果使用非法账号，访问将被拒绝；否则进入下一步验证。
③在IIS中指定的Web权限是否允许用户访问？如果用户试图进行未授权的访问，访问将被拒绝；否则进入下一步验证。
④用户正在进行的操作请求是否符合相应Web文件或文件夹的NTFS许可权限？如果不符合，访问将被拒绝；如果符合，则允许访问。
⑤用户通过上述访问控制措施就可以访问其请求的资源。
（3） IIS日志审计
4. IIS安全增强
1||| 及时安装IIS补丁。
2||| 启用动态IP限制（DynamicIPRestrictions）。用于减缓拒绝服务攻击及暴力口令猜测攻击。启用URLScan。限制特定的HTTP请求。
3||| 启用IIS Web应用防火墙（WebApplicationFirewall）。可以识别和阻挡SQL注入、DoS、CSRF／XSRF、XSS等Web应用威胁，还提供基于行为的入侵防护（Behavior-based Intrusion Prevention）以识别零日攻击与目标定向攻击。
4||| 启用SSL服务。IIS的网站信息传递在通常情形下是明文传递的，启用IIS SSL服务后，可以保障IIS Web网络通信安全。
4. Web应用漏洞分析与防护
1. Web应用安全概述
Web安全漏洞有两个方面：一是技术安全漏洞，如SQL注入漏洞、跨站脚本（XSS）、恶意文件执行、非安全对象引用等。二是业务逻辑安全漏洞，其漏洞来源于业务工作流程及处理上因安全考虑不周或处理不当而产生的安全隐患。如用户找回密码缺陷，攻击者可重置任意用户密码等。
2. OWASP Top 10
书上列举的是2017版
A1-注入漏洞（Injection）。如SQL注入漏洞、NoSQL注入漏洞、OS注入漏洞和LDAP注入漏洞。
A2-遭受破坏的认证（Broken Authentication）。Web应用程序存在不限制身份验证尝试、Web会话令牌泄露、Web应用会话超时设置不正确、Web应用口令复杂性不高和允许使用历史口令等问题。
A3-敏感数据暴露漏洞（SensitiveDataExposure）。许多Web应用程序和API都无法正确保护敏感数据。
A4-XML外部实体引用漏洞（XMIExternalEntities，XXE）。许多较早的或配置错误的XML处理器评估了XML文件中的外部实体引用。攻击者可以利用外部实体窃取使用URI文件处理器的内部文件和共享文件、监听内部扫描端口、执行远程代码和实施拒绝服务攻击。
A5-受损害的访问控制漏洞（Broken Access Control）。未对通过身份验证的用户实施恰当的访问控制，导致访问控制失效。攻击者可以利用这些漏洞访问未经授权的功能或数据。例如，访问其他用户的账户、查看敏感文件、修改其他用户的数据、更改访问权限等。
A6-安全配置错误（SecurityMisconfiguration）。例如，目录列表在服务器端未被禁用，导致攻击者能列出目录列表。
A7-跨站脚本漏洞（Cross-SiteScripting，XSS）。当应用程序的新网页中包含不受信任的、未经恰当验证或转义的数据时，或者使用可以创建HTML或JavaScript的浏览器API更新现有的网页时，就会出现XSS缺陷。XSS让攻击者能够在受害者的浏览器中执行脚本，并劫持用户会话、破坏网站或将用户重定向到恶意站点。
A8-非安全反序列化漏洞（InsecureDeserialization）。非安全的反序列化会导致远程代码执行。即使反序列化缺陷不会导致远程代码执行，攻击者也可以利用它们来执行攻击，包括重播攻击、注入攻击和特权升级攻击。
A9-使用含有已知漏洞的组件（Using Components with Known Vulnerabilities）。
A10-非充分的日志记录和监控（Insufficient Loggingand Monitoring）。
3. Web应用漏洞防护
（1） SQL注入漏洞分析与防护
1||| 对应用程序输入进行安全过滤。禁止一切非预期的参数传递到后台数据库服务器。建立程序输入黑名单和白名单
2||| 设置应用程序最小化权限。
3||| 屏蔽应用程序错误提示信息。
4||| 对开源Web应用程序做安全适应性改造。
（2） 文件上传漏洞分析与防护
将上传目录设置为不可执行，避免上传文件远程触发执行。检查上传文件的安全性，阻断恶意文件上传。
（3） 跨站脚本攻击
5. 网站安全保护机制与技术方案
1. 网站安全保护机制
1||| 身份鉴别。
2||| 访问控制。
3||| 网站内容安全。目标是确保网站符合所在区域的法律法规及政策要求。技术措施主要是网站文字内容安全检查、网页防篡改、敏感词汇过滤。
4||| 网站数据安全。目标是确保网站所承载的数据资源的安全性。
5||| 网站安全防护。目标是增强网站的抗攻击能力。
6||| 网站安全审计与监控。
7||| 网站应急响应。
8||| 网站合规管理。目标是确保网站符合相关规定要求，保证网站的合法性。网站合规管理包括网站备案、网站防伪标识、网站等保测评等。
9||| 网站安全测评。目标是应及时有效地发现安全隐患，指导安全整改等。
10||| 网站安全管理机制。目标是确保网站的安全利益相关者能承担网站安全责任，落实网站安全措施，持续改进网站安全管理工作。
2. 网站构成组件安全加固
网站安全加固主要有以下几个方面操作系统安全加固；数据库系统安全加固；Web服务器软件安全加固；Web应用程序安全加固；Web通信安全加固；网站域名服务安全加固；网站后台管理安全加固。
3. 网站攻击防护及安全监测
（1） 防火墙。
（2） 漏洞扫描。
（3） 网站防篡改。实现技术主要有两类：一是利用操作系统的文件调用事件来检测网页文件的完整性变化，以此防止网站被非授权修改；二是利用密码学的单向函数（---hash）检测网站中的文件是否发生了改变。
（4） 网络流量清洗。是指通过基于网络流量的异常监测技术手段，将对目标网络攻击的DoS、DDoS等恶意网络流量过滤掉，同时把正常的流量转发到目标网络中。
（5） 网站安全监测
网站安全漏洞监测。
网站挂马监测。
网站ICP备案监测。检查网站的ICP备案号。
网站合规性监测。通过获取网站的页面信息，利用关键词匹配及敏感词分析技术，监测网站合规性。网站性能监测。
网站DNS监测。
6. 网站安全综合应用案例分析
1. 政务网站安全保护
网站安全保护涉及国家法律法规、政策文件、组织管理、标准规范、运行环境、产品技术、应用开发、安全测评、应急响应等多个方面的内容。
政府网站的信息安全等级原则上不应低于二级。三级网站每年应测评一次，二级网站每两年应测评一次。
政府网站安全防护方案
(1) DDoS 防御。在政务网站与互联网边界处部署防DDoS 攻击系统，用于防护来自互联网的拒绝服务攻击。
(2) 网络访问控制。利用防火墙进行访问控制，防止不必要的服务进入政务网站系统，减少被攻击的可能性。
(3) 网页防篡改。在Web 服务器上部署网页防篡改系统，针对Web 应用网页和文件进行防护。
(4) 网站应用防护。通过Web 应用防火墙代理互联网客户端对Web 服务器的所有请求，清洗异常流量，有效控制政务网站应用的各类安全威胁。
(5) 入侵防御和病毒防护。通过入侵防御系统和防病毒网关系统实现对非法入侵行为和网络病毒的有效检测和阻断。
(6) 网络／数据库审计。通过网络／数据库审计系统实现对政务网站访问行为和网站后台数据库的访问行为进行监控、记录和审计。
(7) 网站安全监控。通过网站安全监控系统实现漏洞扫描、网页木马监测、网页篡改监测、网页敏感信息监测等功能，同时系统与Web 应用防火墙进行联动，进一步提升政府网站的全防护能力。
2. 网上银行安全保护
略...