Vvmebel.com

Новости с мира ПК
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Система безопасности сервера данных

ИТ безопасность сайта и сервера

Делая первые шаги в Интернет – бизнесе либо уже имея в наличии действующее «дело» подобного характера, практически каждому владельцу приходится столкнуться (причем, зачастую неоднократно) с угрозами безопасности сайта, на котором они зарабатывают деньги.

Сразу хотелось бы уточнить, что защита сайта может быть предусмотрена уже на этапе его разработки. Хотя, нередко о данной функции вспоминают только при наличии уже каких-то проблем в данном вопросе.

Основная цель защиты сайта – это разработка достойного ресурса, который будет в состоянии предельно удовлетворить все требования безопасности либо же приведения к данным требованиям уже функционирующего Интернет – ресурса путем проведения анализа потенциально опасных или используемых уязвимостей с их последующей ликвидацией.

Необходимо четко осознавать, что безопасность сайта под собой подразумевает не только лишь защищенный надежно код и используемое ПО, но также максимально возможную безопасность сервера, на котором непосредственно он и запущен.

Основные цели проведения аудита безопасности:

  • Поиск и выявление «слабых мест», через которые злоумышленник получит возможность попасть в обход имеющихся легитимных инструментов управления к административным функциям определенного сайта или даже всего сервера (вот здесь-то и будет очень актуальная упомянутое выше обеспечение безопасности сервера);
  • Проведение анализа всех возможных рисков, которые связаны с осуществлением реальных угроз безопасности;
  • Внедрение надежных средств, которые смогут гарантированно обеспечить безопасность сервера и сайта;
  • Предоставление каждому клиенту полезных рекомендаций на тему внедрения самых действенных механизмов для обеспечения защиты сайта;
  • Оценка фактического соответствия уровня имеющейся защищенности системы действующим стандартам в сфере информационной безопасности.

Работа по обеспечению безопасности сервера включает в себя:

  • Своевременное обновление CMS, а также очистку самого кода сайта;
  • Обновление операционной системы сервера;
  • Поиск и последующее устранение вирусов и бэкдоров, угрожающих безопасности сайтов;
  • Обеспечение защиты всех имеющихся данных;
  • Антиспам, а также настройка SPF и DKIM;
  • Защита от опасных DDOS;
  • Установка патчей и всех обновлений;
  • Настройка специальной программы – антивируса;
  • Гарантированная защита практически от всех существующих на сегодняшний день векторов атак;
  • Выполнение php-кода без малейшей угрозы безопасности и пр.

Кому будет полезен аудит ИБ

Ответ на данный вопрос прост – абсолютно всем организациям, нацеленным на успешную и продуктивную работу. Никогда не получится построить действительно успешный бизнес, если безопасность сайта оставляет желать лучшего. Вполне логично, что в подобной ситуации значительно снижается уровень доверия пользователей, а вместе с тем и понижается посещаемость ресурса. Проще говоря, если безопасность сервера или же сайта не на высоте, владелец рискует довольно большими деньгами (потерей прибыли).

С учетом того, что злоумышленником привлекают абсолютно все современные Интернет – ресурсы, предложенный аудит ИБ все-таки нельзя назвать бесполезной тратой денег. Скорее это вложения в гарантированную стабильность.

С чем связана невостребованность аудита безопасности

К сожалению, в подавляющем большинстве случаев только лишь из-за непонимания того, какое важное значение имеет грамотно организованная защита сайта. Да, очень мало компаний готовы сегодня платить (правда, достаточно большие суммы) за «одно лишь только» проведение проверки на угрозы компрометации всей системы (то есть, определение реального уровня безопасности сайта). И это все происходит потому, что никто не информирует владельцев ресурсов о том, насколько распространены хакерские атаки. Слишком часто организацию начинает беспокоить защита сайта только тогда, когда уже имеют место быть реальные материальные потери. Однако гораздо лучше делать свои выводы все же из чужих ошибок, а не терять при этом собственные деньги!

Безопасность серверной

Безопасность — один из ведущих трендов на современном серверном рынке. Что касается обеспечения безопасности данных в локальной сети, то этому стоит посвятить даже не отдельную статью, а целую библиотеку. Однако азы безопасности, требуемой в каждом серверном зале, уместятся и в небольшую статью.

Конечно, это не будет всеобъемлющим руководством, однако указать, на что стоит обратить внимание относительно безопасности серверной вне рамок системного администрирования, мы сможем.

Моя серверная — моя крепость

Обеспечение питания и аварийной подачи электроэнергии, охлаждения, укладки проводки, даже то, как будут расставлены стойки, создавать ли фальшпол — все это проектируется на самом раннем этапе создания серверной комнаты. Именно в тот момент будет необходимо задуматься и о безопасности вашего оборудования!

Что же нужно предусмотреть в первую очередь?

  1. Уровни доступа — ключи и замки. Даже если речь не идет еще о серверном зале, а только о телекоммуникационном шкафе, вам все равно нужно запереть его на ключ! А уж если у вас есть своя серверная, то нужно будет установить замки и на само помещение, и, желательно, на каждую стойку. Стойки, правда, для этого понадобятся особенные, со стеклянными дверями, чтобы можно было наблюдать состояние оборудования. Зато на разные ключи можно закрывать отдельно стойки, а отдельно сам зал, и ключи от зала нужно будет отдать также охране и начальству.
  2. Уровни доступа — электронный доступ. Это — более продвинутая система безопасности, в которой можно настраивать разные уровни доступа даже для разных администраторов, охранников, начальства и пожарной безопасности. Однако тут вы можете встретиться с дополнительными возможностями — и сложностями, поэтому перед решением об установке такой системы проконсультируйтесь с профессионалом.
  3. Сигнализация. Это — продолжение первых двух пунктов. Любую систему можно взломать, тем более если речь идет об обычном замке, но если на пульт охраны будет приходить сигнал о несанкционированном доступе, то взломщика будет ждать неожиданный сюрприз.
  4. Системы слежения. Не всегда угроза исходит из внешнего источника, да и не всегда это осознанная угроза, может быть, это будет неосторожность, непредсказуемая случайность или даже халатность. В любом из этих случаев будет лучше, если у вас будет запись того, что произошло! Организация видеонаблюдения — это тема для отдельной статьи, и если уж за нее браться, то организовать нужно не только для серверной, но и для всех ключевых точек предприятия — входов и выходов, коридоров, залов совещания и т.д.
  5. Собственные системы безопасности серверов. Это — очень любопытная черта некоторых современных устройств: они могут быть оснащены собственной системой безопасности! Это может быть сигнализирующее устройство, замок, не дающий просто вскрыть корпус и даже микропрограммное обеспечение. Однако такие серверы — оборудование отнюдь не дешевое, так что нужно подумать, так ли оно необходимо в вашем конкретном случае.
  6. Системы аварийного уничтожения оборудования. Да-да, на современном рынке есть системы, способные мгновенно уничтожить инфраструктуру в случае опасности! Правда, в основном уничтожаются жесткие диски, после чего «пустые» серверы уже не представляют ценности — например, после успешно совершенного рейдерского захвата. Обычно в тайном месте при этом есть хранилище, куда ежедневно копируются все данные. Таким образом, злоумышленникам ничего не достанется, даже если вашу серверную возьмут штурмом, а серверы вынесут целиком — главное вовремя нажать кнопку. Другое дело — а нужно ли кому-то штурмовать ваш серверный зал.
Читать еще:  Проверка системы безопасности

Выводы

Современный рынок представляет просто огромное количество возможностей защитить свои данные. Однако вам нужно понимать, какие из них вам понадобятся.

Даже в нашей стране есть десятки корпораций и даже средних фирм, которым неплохо будет защититься и от рейдерского захвата оборудования, но в большинстве случаев, может, хватит и связки ключей и пары камер видеонаблюдения.

Сервер систем безопасности

Обеспечение бесперебойной работы системы безопасности — ключевой приоритет для многих организаций. К столь ответственному делу подходить стоит серьезно и обстоятельно, соответственно, заранее спланировать всю инфраструктуру. В противном случае объект может оказаться без защиты. В столь непростом деле может помочь сервер для систем безопасности. Он станет ключевым компонентом в инфраструктуре и поможет централизовать системы управления всеми необходимыми интерфейсами.

Для заказа просто оформите заявку, мы рассмотрим ваши требования и предложим наиболее целесообразную конфигурацию.

Безопасность компании

В компании могут быть размещены:

сканеры отпечатков пальцев и (или) сетчатки;

и множество других компонентов.

Банально, посмотрите инфраструктуру банков. Интеркомы, разнообразные средства связи, сигнализации и прочее. Все откуда-то управляется, все данные о срабатываниях и прочая информация должна где-то храниться. А там требования серьезные, потому, выделяются серверы систем безопасности. В противном случае данные будут разрознены, при любом происшествии их будет тяжело структурировать и предоставить информацию. Это займет гораздо больше времени, а ведь бывают случаи, когда каждая секунда на вес золота.

И вычислительная техника помогает экономить время и максимально эффективно управлять всеми системами обеспечения безопасности в организации, как раз-таки за счет централизации. Пожалуй, стоит рассказать, как устроена подобная система. Конечно, приблизительно, ведь все будет разниться в зависимости от требований и задач.

Применение сервера для систем безопасности

Датчики, видеокамеры, средства для переговоров, сканеры и прочая аппаратура имеет собственные методы анализа информации, а также частенько уникальные интерфейсы, которые совместить с современной вычислительной техникой трудоемко. Дешевле будет использовать технику, рассчитанную на передачу данных в сервер. В противном случае затраты на централизацию возрастут за счет создания интерфейсов передачи данных и попыток объединить это в единую структуру.

К счастью, большая часть аппаратуры, рассчитанная на обеспечение безопасности, заточена под работу с вычислительной техникой. Производители прекрасно понимают, что это жизненно-важный функционал.

С ам сервер систем безопасности располагается в недоступном для рядового персонала и других людей защищенном помещении. Обычно таких серверов несколько и они условно-изолированы друг от друга, чтобы второй мог подхватить работу при отказе первого. В будке охраны или непосредственно на охраняемом объекте такое оборудование лучше не располагать, тогда нарушители смогут получить к нему доступ. Идеальный вариант — аренда стойки в центре обработки данных. Вероятность, что будет отключено питание или доступ получат недоброжелатели неисчерпаемо мала.

Соответственно, на сервере размещают программное обеспечение для работы с компонентами системы безопасности. Это позволяет отслеживать работу системы, следить за состоянием отдельных устройств, а также управлять. Информация обычно хранится в базе данных и периодически записывается на отдельную систему хранения данных в виде бэкапа, чтобы защитить базу от потери. Да, для обеспечения высокой степени защиты требуется обеспечить максимальную отказоустойчивость , это дорого, но часто без столь серьезного подхода попросту не обойтись. Потому, серверы для систем безопасности обычно дублируются и используются системы хранения для резервного копирования.

К онечно, не все так просто. У каждого типа аппаратуры есть терминалы, собственные методы управления, чтобы наладить взаимодействие, придется все учесть и настроить реагирование на событие. Конечно, это гораздо более сложная система и требует серьезной и вдумчивой работы специалистов.

Защита сервера от взлома

Невозможно защитить сервер от внешнего доступа раз и навсегда, ведь каждый день обнаруживаются новые уязвимости и появляются новые способы взлома сервера. О защите серверов от несанкционированного доступа мы и расскажем в этой статье.

Сервера любой компании рано или поздно могут стать мишенью для взлома или вирусной атаки. Обычно результатом такой атаки становится потеря данных, репутационный или финансовый ущерб, поэтому вопросам обеспечения безопасности серверов стоит уделить внимание в первую очередь.

Следует понимать, что защита от взлома серверов – это комплекс мер, в том числе подразумевающий постоянный мониторинг работы сервера и работу по совершенствованию защиты. Невозможно защитить сервер от внешнего доступа раз и навсегда, ведь каждый день обнаруживаются новые уязвимости и появляются новые способы взлома сервера.

О защите серверов от несанкционированного доступа мы и расскажем в этой статье.

Способы и методы защиты серверов от несанкционированного доступа

Физическая защита сервера

Физическая защита. Желательно, чтобы сервер находился в защищенном ЦОДе, закрытом и охраняемом помещении, у посторонних не должно быть доступа к серверу.

Установите аутентификацию по SSH

При настройке доступа к серверу используйте аутентификацию по ключам SSH вместо пароля, поскольку такие ключи гораздо сложнее, а иногда и попросту невозможно взломать с помощью перебора вариантов.

Если же считаете, что вам все-таки требуется пароль, обязательно ограничьте число попыток его ввода.

Обратите внимание, если при входе вы видите подобное сообщение:

Last failed login: Tue Sep 28 12:42:35 MSK 2017 from 52.15.194.10 on ssh:notty
There were 8243 failed login attempts since the last successful login.

Оно может свидетельствовать, что ваш сервер пытались взломать. В таком случае для настройки безопасности сервера смените порт SSH, ограничьте список IP, с которых возможен доступ к серверу или установите ПО, автоматически блокирующее чрезмерно частую и подозрительную активность.

Читать еще:  Протоколы информационной безопасности

Регулярно устанавливайте последние обновления

Для обеспечения защиты сервера вовремя устанавливайте последние патчи и обновления серверного ПО, которое используете – операционной системы, гипервизора, сервера баз данных.

Желательно проверять наличие новых патчей, обновлений и сообщения об обнаруженных ошибках / уязвимостях каждый день, чтобы предотвратить атаки, использующие уязвимости нулевого дня. Для этого подпишитесь на новости от компании-разработчика ПО, следите за ее страницами в соцсетях.

Защищайте пароли

До сих пор одним их самых распространенных способов получить доступ к серверу является взлом пароля сервера. Поэтому придерживайтесь общеизвестных, но тем не менее актуальных рекомендаций, чтобы не оставить сервер без защиты:

  • не используйте пароли, которые легко подобрать, такие как название компании;
  • если вы до сих пор используете дефолтный пароль для консоли администратора – немедленно измените его;
  • пароли на разные сервисы должны быть разными;
  • если вам необходимо передать пароль кому-либо, никогда не отправляйте IP-адрес, логин и пароль в одном и том же письме или сообщении в мессенджере;
  • для входа в учетную запись администратора можно установить двухэтапную аутентификацию.

Файрвол

  • Убедитесь, что на сервере есть файрвол, он настроен и он работает все время.
  • Защищайте и входящий, и исходящий трафик.
  • Следите за тем, какие порты открыты и для каких целей, не открывайте ничего лишнего, чтобы снизить число вероятных уязвимых мест для взлома сервера.

В частности, файрвол очень помогает в защите сервера от ddos атак, т.к. можно быстро создавать запрещающие правила файрвола и вносить в них IP-адреса, с которых идет атака, или блокировать доступ к определенным приложениям, по определенным протоколам.

Мониторинг и обнаружение вторжений

  • Ограничьте ПО и службы, работающие у вас на сервере. Периодически проверяйте все, что у вас запущено, и если обнаружатся какие-то незнакомые вам процессы, удаляйте их немедленно и начинайте проверку на вирусы.
  • Периодически проверяйте наличие следов взлома. О взломе могут свидетельствовать новые учетные записи пользователей, которые вы не создавали, перемещение или удаление файла /etc/syslog.conf, удаленные файлы /etc/shadow и /etc/passwrd .
  • Мониторьте работу вашего сервера, следите за его обычной скоростью и пропускной способностью, так вы сможете заметить отклонения, например, когда нагрузка на сервер стала значительно больше обычного.

Рекомендуем использовать специализированные системы обнаружения и предотвращения вторжений (IDS/IPS). Например, межсетевые экраны Cisco ASA Firepower оснащены соответствующим модулем, требуется только его правильно настроить.

Использование VPN и шифрования SSL/TLS

Если необходим удаленный доступ к серверу, он должен быть разрешен только с определенных IP-адресов и происходить по VPN.

Следующим этапом обеспечения безопасности может быть настройка SSL, которая позволит не только шифровать данные, но и проверять идентичность других участников сетевой инфраструктуры, выдавая им соответствующие сертификаты.

Проверка безопасности сервера

Хорошей идеей будет самостоятельная проверка безопасности сервера методом пентеста, т.е. моделирование атаки, чтобы найти потенциальные уязвимости и вовремя их ликвидировать. Желательно привлечь к этому специалистов по информационной безопасности, однако некоторые тесты можно проделать и самостоятельно, используя программы для взлома серверов.

Что еще грозит серверам кроме взлома

Сервер может выйти из строя по ряду других причин, кроме взлома. Например, это может быть заражение вредоносным ПО или просто физическая поломка какого-либо из компонентов.

Поэтому мероприятия по защите сервера должны включать:

  • Установку и обновление программ для защиты сервера – антивирусов.
  • Регулярные зашифрованные копии данных, по меньшей мере, раз в неделю, поскольку, согласно статистике, жесткие диски сервера на первом месте по частоте поломок. Убедитесь, что резервная копия хранится в физически безопасной среде.
  • Обеспечение бесперебойного электропитания серверной.
  • Своевременная физическая профилактика серверов, включающая их чистку от пыли и замену термопасты.

Опыт специалистов “Интегруса” говорит нам, что лучшая защита от такого рода угроз – это применение лучших практик в области систем защиты серверов.

Для обеспечения безопасности серверов наших заказчиков мы применяем сочетание инструментов: брандмауэры, антивирусы, технологии безопасности / управления событиями (SIM / SEM), технологии обнаружения вторжений / защиты (IDS / IPS), технологии сетевого поведенческого анализа (NBA), конечно же регулярное профилактическое обслуживание серверов и обустройство защищенных серверных под ключ. Это позволяет свести риски взлома или отказа сервера по другим причинам к минимуму.

Готовы провести аудит безопасности серверов вашей компании, провести консультирование специалистов, выполнить все виды работ по настройке защиты серверного оборудования.

Обеспечение безопасности web-серверов

Введение

В самом общем виде web можно разделить на два основных компонента: web-серверы — они являются приложениями, которые формируют информацию, доступную по протоколу НТТР, и web -браузеры (клиенты) — они используются для доступа и показа информации, хранящейся на web-серверах . В основном будем рассматривать проблемы безопасности, касающиеся web-серверов .

К сожалению, web-серверы часто являются целями атак . Вследствие этого важно гарантировать безопасность web-серверов , а также сетевой инфраструктуры, которая их поддерживает. Угрозы безопасности , специфичные для web-серверов в общем случае можно разделить на следующие категории:

Враждебно настроенные пользователи интернета могут использовать ошибки ПО в web-серверах лежащей в основе ОС или в программах, создающих динамические web-страницы, для получения неавторизованного доступа к web-серверу .

  1. Результатом этого может быть получение доступа к файлам или каталогам, которые не предназначены для открытого доступа, либо выполнение привилегированных команд и/или установка ПО на web-сервер .
  2. Информация на web-сервере может быть преднамеренно изменена с враждебными целями. Наиболее общим примером такой угрозы является подмена содержимого web-сайта.

Рассмотрим проблемы, связанные с безопасностью при инсталлировании, конфигурировании и сопровождении web-серверов . Перечислим кратко основные вопросы:

  • Безопасное инсталлирование и конфигурирование лежащей в основе ОС.
  • Безопасное инсталлирование и конфигурирование ПО web-сервера .

Развертывание соответствующих сетевых механизмов защиты:

  • Firewall’ы;
  • Intrusion detection systems (IDS);
  • DNS.

Здесь нужно придерживаться следующих принципов.

Следует реализовать соответствующую практику управления безопасностью и контроль за функционированием системы.

Соответствующая практика управления является критичной для функционирования и поддержки безопасного web-сервера . Необходимо определить требования к развертыванию, документированию и реализации политик, стандартов, процедур и руководств, которые гарантируют конфиденциальность , целостность и доступность информационных ресурсов.

Для гарантирования безопасности web-сервера и поддержки сетевой инфраструктуры должны быть рассмотрены и реализованы следующие основные моменты:

  • Политика безопасности информационной системы организации.
  • Принципы управления и контроля конфигурации и ее изменений.
  • Анализ риска и определенные подходы к управлению риском.
  • Стандартные конфигурации ПО, которые удовлетворяют политике безопасности информационной системы.
  • Необходимый объем знаний и тренинги, обеспечивающие требуемый объем знаний.
  • Способы восстановления после внезапных сбоев.
  • Соответствующая сертификация и аккредитация.

Следует гарантировать, что ОС, на которой выполняется web-сервер , развернута, сконфигурирована и управляется в соответствии с требованиями безопасности.

Первым шагом в обеспечении безопасности web-сервера является безопасность лежащей в основе ОС. Большинство доступных web-серверов выполняются на ОС общего назначения. Многих проблем безопасности можно избежать, если ОС, лежащая в основе web-сервера , сконфигурирована соответствующим образом. Конфигурации по умолчанию для аппаратуры и ПО обычно устанавливаются производителями, при этом, как правило, делается упор на использование возможностей, функциональностей исходного ПО , а также на простоту использования возможностей, связанных с безопасностью. Также следует понимать, что производители не знают требований безопасности каждой организации, поэтому web -администратор должен сконфигурировать новые серверы в соответствии с требованиями безопасности и переконфигурировать их каждый раз при изменении этих требований. Обеспечение безопасности ОС как минимум должна включать следующие шаги:

  • выполнение patch’ей и upgrade’ов ОС;
  • удаление или запрещение ненужных сервисов и приложений;
  • конфигурирование управления ресурсами;
  • тестирование безопасности ОС.

Следует гарантировать, что ПО web-сервера развернуто, сконфигурировано и управляется в соответствии с требованиями безопасности, определенными в организации.

Во многих аспектах инсталляция и конфигурирование безопасности ПО web-сервера аналогично процессу инсталляции и конфигурирования ОС. Главным принципом, как и раньше, является инсталляция минимального числа требуемых сервисов web-сервера и удаление всех известных уязвимостей с помощью patche’ей и upgrade’ов. Если инсталляционная программа устанавливает какие-то ненужные приложения, сервисы или скрипты, они должны быть удалены немедленно после завершения процесса установки. Обеспечение безопасности web-сервера как минимум должно включать следующие шаги:

  • выполнение patch’ей и upgrade’ов ПО web-сервера – удаление или запрещение ненужных сервисов, приложений и примеров содержимого;
  • конфигурирование аутентификации пользователей web-сервера ;
  • конфигурирование управления ресурсами web-сервера ;
  • тестирование безопасности приложения web-сервера и конкретного содержимого web-сервера .

Следует предпринять шаги для гарантирования того, что на web-сайте публикуется только корректное содержимое.

Должна существовать четкая политика в определении того, какой тип информации является открытым, к какой информации следует ограничить доступ и какая информация не должна публиковаться в публично доступном репозитории.

Следует гарантировать защиту web-содержимого от неавторизованного доступа или модификации.

Должна существовать определенная политика, гарантирующая невозможность модификации без выполнения авторизации. Требуется обеспечить гарантию целостности, даже если информация не является конфиденциальной. Необходимо защищать содержимое web посредством выполнения соответствующего управления ресурсами web-сервера . Некоторые примеры управления ресурсами включают:

  • инсталлирование только необходимых сервисов;
  • инсталлирование web-содержимого на выделенном жестком диске или в выделенном разделе;
  • возможность выполнять запись (uploads) только в директории, которые не являются читаемыми из web-сервера , а доступны по некоторому другому протоколу (например, ftp);
  • определение единственной директории для всех скриптов или программ, которые выполняются для создания web-содержимого и являются внешними по отношению к web-серверу ;
  • запрещение использования жестких или символических ссылок в файловой системе ОС, на которой выполняется web-сервер ;
  • создание матрицы доступа к web-содержимому, которая определяет, какие папки и файлы внутри директории web-сервера имеют ограничения по доступу;
  • запрет просмотра директории в файловой системе;
  • использование аутентификации пользователей с помощью цифровых подписей и других криптографических механизмов;
  • использование систем обнаружения проникновений, основанных на хосте и /или проверки целостности файлов, для обнаружения проникновения и проверки целостности web-содержимого.

Следует использовать активное содержимое только после тщательного взвешивания получаемых при этом преимуществ в сравнении с увеличением рисков.

Вначале большинство web -сайтов представляли собой статическую информацию, расположенную на сервере, обычно в форме текстовых документов, имеющих соответствующую разметку ( HTML ). В дальнейшем вводились различные интерактивные элементы. К сожалению, эти интерактивные элементы вносят новые уязвимости, так как они предполагают пересылку определенного рода информации как от web-сервера к клиенту для выполнения на стороне клиента, так и от клиента к web-серверу для обработки информации на стороне сервера. Различные технологии создания активного содержимого имеют различные уязвимости, которые должны быть оценены в сравнении с получаемыми преимуществами.

Следует использовать аутентификацию, основанную на криптографических технологиях, для обеспечения соответствующей защиты чувствительных данных.

Публичные web-серверы обычно поддерживают широкий спектр технологий идентификации и аутентификации пользователей и определения различных привилегий для доступа к информации. Некоторые из этих технологий основаны на криптографических функциях, которые могут обеспечивать тот или иной тип зашифрованного канала между клиентом web -браузера и web-сервером . Web-серверы могут быть сконфигурированы для использования различных криптографических алгоритмов, обеспечивающих различные уровни безопасности.

Без наличия аутентификации пользователей нет возможности обеспечить разграничение доступа к чувствительной информации. Без наличия сильных механизмов аутентификации вся информация , которая расположена в web -пространстве сервера, может стать доступной любому. Кроме того, без процесса аутентификации сервера пользователи не имеют возможности определить, что сервер является требуемым, а не поддельным, созданным враждебно настроенным участником для перехвата конфиденциальной информации о пользователе.

Следует обеспечивать безопасность сетевой инфраструктуры для защиты web-серверов .

Сетевая инфраструктура , в которой функционирует web-сервер , играет важную роль в обеспечении безопасности web-сервера . Во многом сетевая инфраструктура является первой линией обороны web-сервера . Однако только тщательное проектирование сети не является достаточным для защиты web-сервера . Частота и варианты web -атак, совершаемых сегодня, говорят о том, что безопасность web-серверов может быть обеспечена только с использованием различных и расположенных на разных уровнях механизмов обороны (так называемая «оборона вглубь»).

Следует гарантировать постоянное функционирование системы обеспечения безопасности.

Поддержание безопасного функционирования web-сервера требует постоянных усилий и наличия достаточного количества ресурсов. Поддержание безопасности web-сервера обычно включает следующие шаги:

  • своевременное применение patch’ей и upgrade’ов;
  • конфигурирование, защита и анализ лог файлов;
  • частое выполнение back up’а критической информации;
  • поддержка защищенных копий web-содержимого;
  • определение процедур восстановления при компрометации и следование им при обнаружении проникновения;
  • периодическое тестирование безопасности .

Рассмотрим общие принципы, которые применимы ко всем системам.

Причины уязвимости web-сервера

Основные проблемы, связанные с безопасностью функционирования публично доступного web -сайта, возникают по следующим причинам:

голоса
Рейтинг статьи
Ссылка на основную публикацию
Adblock
detector