web構建方案

web系統風險分析：

1.用戶側和傳輸網絡側

 1.1 使用***工具構造惡意報文，對公網進行拒絕服務***

 1.2經過web頁面的登錄，猜解用戶名和密碼

 1.3構造非法的，可能被網上系統錯誤識別和執行的代碼嵌入到提交的表單中，引發信息泄露或系統崩潰。

1.4在傳輸網絡中竊取通訊報文而泄露信息。

 1.5用戶被引導向非法網站如釣魚網站等。

2.系統服務器側

2.1面臨來自用戶側的拒絕服務***和分佈式拒絕服務***

2.2遭受***後，因爲服務器端網絡架構劃分和隔離的措施不嚴謹，可能形成「雪崩效應」。形成服務器羣的癱瘓。

2.3服務器側軟件實現不合理，尤爲是數據庫權限和視圖的不合理，致使用戶的錯誤或是非法輸入形成機密信息泄露或是遭受sql injection***等。

2.4服務器遭受***後，沒有備份的服務器。

2.5沒有健全的災難備份和恢復措施對關鍵業務數據及其業務進行恢復

方案的原則和思路

1.網路拓撲結構。合理的拓撲結構能有效地抑制******，使受影響最低

2.安全原則。用戶認證，帳號管理，加密傳輸等原則的綜合部署和使用，加強網絡健壯性，數據的完整性和可靠性保證網絡和信息的安全

3.審計和追蹤：強大和適時的審計和追蹤，能使網站的防護體系儘快的從***的***中解脫出來，完成追蹤，使用相應的手段來加強網站的抗***性。

4.備份和災難恢復

5.自我漏洞挖掘機防禦

 

方案的制定：

一）web系統用戶身份驗證和鑑權機制

1.採用用戶名+密碼驗證，確認用戶身份，並根據數據庫中預約的權限向用戶展現相應的視圖和表單。

2.對重要的web系統應用，採用證書對用戶身份驗證。

   2.1文本證書，有必定風險，但免費

  2.2usb設備存儲的證書

二）web系統數據的加密傳輸和用戶對web系統服務器的驗證

使用https機制保證安全

三）基於用戶帳號的使用行爲的日誌記錄及其審計

四）惡意用戶流量的檢側，過濾和阻斷

系統服務器側應該部署IDS（檢測），IPS（防禦），防火牆等或是UTM（同一威脅管理）。

五）對用戶非正常應用請求的過濾和處理

系統的服務器端，尤爲是數據庫服務器端，應該經過配置和增長對用戶非正常應用請求的過濾和處理模塊，避免數據庫的漏洞遭受sql注入***等

六）web系統服務器側的合理子網劃分及流量分割

經過子網劃分，dmz設定等方式。

七）  web服務器側的負載均衡及負載防禦機制

  1.巨大的訪問量，須要多臺業務分擔，採用合理的負載均衡和負載保護機制

 2.對業務流量進行有效地分擔能夠按照Round  Robin和LRU等方式

 3.負載保護機制須要實時對每臺服務器的CPu資源，內存資源等進行評估，一旦超過筏值，立刻進行過載保護

八）web系統服務器側的災難備份及恢復策略

1.選擇合適的備份策略，提早作好備份，包括全備份，差分備份和增量備份

2.選擇合適的備份介質  磁帶，光盤RAID磁盤陣列等

3.選擇合適的備份地點  本地備份和遠程備份

4.選擇合適的備份技術 包括NAS，SAN，DAS等

5.作好備份的後期維護和安全審計跟蹤

九）web系統服務器的安全管理

1.嚴格劃分管理人員的較色及其對應權限，避免一權獨攬，引發安全隱患

2.作好機房物理條件的管理，避免靜電故障

3.作好服務器管理員的帳號、口令管理，使用強口令，避免內部人員調用

4.作好服務器的端口最小化管理，避免內部人員掃描出服務器的沒必要要的開發端口及漏洞實施內部***

5.作好服務器系統軟件，應用軟件的日誌管理和補丁管理工做，以便審計，避免安全漏洞遭受內部人員***

6.根據業務和數據的機密等級需求，嚴格劃分服務器的安全域，避免信息泄露

十）網站漏洞的自我挖掘和防禦

網絡拓撲及要點剖析

1.網絡拓撲

 

2.部署要點解析

2.1防火牆設置

1.採用內部和外部防禦牆的雙重設置，以切實保證外部流量進入http反向代理服務器（DMZ）和內部網絡前均經過安全監測

2.內部和外部防火牆應採用不一樣廠商和不一樣型號的防禦牆設備，提升防火牆的防禦性能

2.2http反向代理服務器設置

1.隱藏內部web服務器的ip地址，外部用戶感受不到代理服務器的存在，極大的下降了網絡內部web服務器被***的風險。

2.反向代理服務器能夠緩存內部web服務器的部分數據，減輕內部服務器負擔。

3.做爲一個堡壘主機，即便反向代理服務器遭受***，因爲內外防火牆的設置也不會影響到內部主機

3.IPS設置

1.從反向代理服務器流向內部的流量和請求在內部的端口進行過濾，成爲防火牆後的第二層防禦墊，從源頭上保證內部安全

2.對內網的異常情況能夠進行實時的檢測，即便內部有威脅和異常，對服務器發生破壞，如篡改網頁和刪除文件等，都能有效地監控，審計和記錄，保證內網安全