作為人類早期發(fā)明的最重要一項(xiàng)技術(shù)之一，互聯(lián)網(wǎng)的普及使得我們可以更加方便和高效地獲取各種信息。 WEB網(wǎng)站作為互聯(lián)網(wǎng)上的一個(gè)重要元素，面對(duì)著諸多安全威脅，如網(wǎng)絡(luò)攻擊、黑客入侵、信息泄露等等，因此建立完善的安全管理與策略對(duì)保障WEB網(wǎng)站的正常運(yùn)營(yíng)及用戶信息的保護(hù)十分重要。
一、常見的WEB網(wǎng)站安全問題
1. SQL注入攻擊
SQL注入攻擊是常見的WEB網(wǎng)站攻擊方式之一，該種攻擊方式利用了應(yīng)用程序未正確檢驗(yàn)用戶輸入的數(shù)據(jù)而導(dǎo)致攻擊者可操縱數(shù)據(jù)庫(kù)的漏洞。一旦攻擊成功，攻擊者可利用系統(tǒng)漏洞從數(shù)據(jù)庫(kù)中獲取機(jī)密信息，甚至控制服務(wù)器。因此，切勿在程序或數(shù)據(jù)庫(kù)查詢中直接使用用戶輸入的數(shù)據(jù)。
2. XSS攻擊
XSS攻擊指的是攻擊者通過注入惡意腳本，利用WEB網(wǎng)站對(duì)用戶輸入數(shù)據(jù)的信任，竊取用戶登錄信息或其他敏感信息。網(wǎng)頁(yè)中輸入框、搜索框等用戶交互區(qū)域都是XSS攻擊的主要入口。
3. CSRF攻擊
CSRF攻擊指的是攻擊者將偽造的請(qǐng)求發(fā)送給用戶瀏覽器，利用用戶在目標(biāo)WEB網(wǎng)站中已經(jīng)登錄的身份，進(jìn)行惡意操作。常見的例子是在郵件中放置惡意鏈接，用戶點(diǎn)擊后跳轉(zhuǎn)到目標(biāo)網(wǎng)站進(jìn)行登錄，在用戶進(jìn)行登錄驗(yàn)證操作時(shí)，攻擊者就可在用戶不知情的情況下獲取用戶信息并進(jìn)行操作。
二、完善的WEB網(wǎng)站安全管理與策略
1. WEB網(wǎng)站的安全意識(shí)與培訓(xùn)
提高員工安全意識(shí)及程序編寫人員安全素質(zhì)，對(duì)安全風(fēng)險(xiǎn)進(jìn)行評(píng)估，進(jìn)行計(jì)劃性的安全培訓(xùn)，幫助員工了解安全策略以及如何在設(shè)計(jì)開發(fā)階段考慮安全因素，這樣可以有效地降低安全風(fēng)險(xiǎn)。
2. 建立安全審查機(jī)制
開發(fā)完成后，對(duì)代碼進(jìn)行安全審查，及時(shí)發(fā)現(xiàn)并解決潛在的安全問題?；趯彶榻Y(jié)果，實(shí)施代碼修復(fù)，測(cè)試修改后的程序。參考安全審計(jì)規(guī)范來做好安全審查，如OWASP Top 10建議，以及國(guó)際標(biāo)準(zhǔn)ISO 27001等。
3. 控制用戶訪問權(quán)限
控制用戶的訪問權(quán)限，以避免未經(jīng)授權(quán)的訪問，建立完善的訪問控制機(jī)制。設(shè)置用戶角色、權(quán)限、認(rèn)證等等手段來達(dá)成粒度控制，即時(shí)將不法用戶加入到黑名單中，預(yù)防黑客攻擊。同時(shí)針對(duì)不同用戶，設(shè)置差異化的安全策略。
4. 數(shù)據(jù)庫(kù)安全策略
對(duì)于WEB網(wǎng)站來說，數(shù)據(jù)庫(kù)是最重要組成部分。對(duì)數(shù)據(jù)庫(kù)的安全管控是整個(gè)系統(tǒng)安全的基石。建立完善的數(shù)據(jù)庫(kù)安全策略，開啟SSL通訊、強(qiáng)制登錄密碼規(guī)范、數(shù)據(jù)加密，還可以將敏感的信息進(jìn)行加密處理，實(shí)現(xiàn)數(shù)據(jù)庫(kù)防火墻的設(shè)置，以此來預(yù)防數(shù)據(jù)庫(kù)攻擊。
5. 安全備份機(jī)制
建立WEB網(wǎng)站數(shù)據(jù)的安全備份機(jī)制，實(shí)時(shí)備份重要數(shù)據(jù)，設(shè)置合適的備份參數(shù)和備份周期，開辟獨(dú)立的系統(tǒng)備份服務(wù)器來進(jìn)行存儲(chǔ)，即時(shí)防范數(shù)據(jù)丟失的風(fēng)險(xiǎn)。
三、總結(jié)
WEB網(wǎng)站作為重要商業(yè)承載平臺(tái)和網(wǎng)絡(luò)交互渠道，安全問題的重要性不言而喻。通過WEB網(wǎng)站安全審查、控制用戶訪問權(quán)限、數(shù)據(jù)庫(kù)安全策略等解決方案，可全面把控網(wǎng)站安全。當(dāng)然，對(duì)于可能發(fā)生的安全事故，建立應(yīng)急預(yù)案，規(guī)定應(yīng)對(duì)流程也是不可跨越的關(guān)鍵環(huán)節(jié)。在大量工作的基礎(chǔ)上，逐步完善建立安全常態(tài)化培訓(xùn)機(jī)制，保證每個(gè)程序編寫人員都能出色完成任務(wù)且具備良好的安全素質(zhì)，以便交付安全、穩(wěn)定、可靠的WEB網(wǎng)站。
