当前位置：首页 > 会展 > 维护知识

网站维护知识：网站维护之网站安全措施

网站安全是指出于防止网站受到外来电脑入侵者对其网站进行挂马，篡改网页等行为而做出一系列的防御工作。由于一个网站设计者更多地考虑满足用户应用，如何实现业务。很少考虑网站应用开发过程中所存在的漏洞，这些漏洞在不关注安全代码设计的人员眼里几乎不可见，大多数网站设计开发者、网站维护人员对网站攻防技术的了解甚少;在正常使用过程中，即便存在安全漏洞，正常的使用者并不会察觉。

1. 登录页面必须加密

　　在登录之后实施加密有可能有用，这就像把大门关上以防止马儿跑出去一样，不过他们并没有对登录会话加密，这就有点儿像在你锁上大门时却将钥匙放在了锁眼里一样。即使你的登录会话被传输到了一个加密的资源，在许多情况下，这仍有可能被一个恶意的黑客攻克，他会精心地伪造一个登录表单，借以访问同样的资源，并访问敏感数据。通常加密方式有MD5加密、数据库加密等。

2. 采取专业工具辅助

　　在市面目前有许多针对于网站安全的品聚社，不过这些大多数是收费的，而目前标榜免费就只有亿思网站安全检测平台（iiscan）。通过这些网站安全检测平台能够迅速找到网站的安全隐患，而且这些平台都会提供针对其隐患做出相应措施。

3. 通过加密连接管理你的站点

　　使用不加密的连接(或仅使用轻度加密的连接)，如使用不加密的FTP或HTTP用于Web站点或Web服务器的管理，就会将自己的大门向“中间人”攻击和登录/口令的嗅探等手段敞开大门。因此请务必使用加密的协议，如SSH等来访问安全资源，要使用经证实的一些安全工具如某人截获了你的登录和口令信息，他就可以执行你可做的一切操作。

4. 使用强健的、跨平台的兼容性加密

　　根据目前的发展情况，SSL已经不再是Web网站加密的最先进技术。可以考虑TLS，即传输层安全，它是安全套接字层加密的继承者。要保证你所选择的任何加密方案不会限制你的用户基础。同样的原则也适用于后端的管理，在这里HSS等跨平台的强加密方案要比微软的Windows远程桌面等较弱的加密工具要更可取、更有优越性。

5. 只连接安全有保障的网络

　　避免连接安全特性不可知或不确定的网络，也不要连接一些安全性差劲的网络，如一些未知的开放的无线访问点等。无论何时，只要你必须登录到服务器或Web站点实施管理，或访问其它的安全资源时，这一点尤其重要。如果你连接到一个没有安全保障的网络时，还必须访问Web站点或Web服务器，就必须使用一个安全代理，这样你到安全资源的连接就会来自于一个有安全保障的网络代理。

6. 不要共享登录的机要信息

　　共享登录机要信息会引起诸多安全问题。这不但适用于网站管理员或Web服务器管理员，还适用于在网站拥有登录凭证的人员，客户也不应当共享其登录凭证。登录凭证共享得越多，就越可能更公开地共享，甚至对不应当访问系统的人员也是如此；登录机要信息共享得越多，要建立一个跟踪索引借以跟踪、追查问题的源头就越困难，而且如果安全性受到损害或威胁因而需要改变登录信息时，就会有更多的人受到影响。

7. 采用基于密钥的认证而不是口令认证

　　口令认证要比基于密钥的认证更容易被攻破。设置口令的目的是在需要访问一个安全的资源时能够更容易地记住登录信息。不过如果使用基于密钥的认证，并仅将密钥复制到预定义的、授权的系统（或复制到一个与授权的系统相分离的独立介质中，直接需要它时才取回），你将会得到并使用一个更强健的难于破解的认证凭证。

8. 维护一个安全的工作站

　　如果你从一个客户端系统连接到一个安全的资源站点，而你又不能完全保证其安全性，你就不能保证某人并没有在监听你所做的一切。因此键盘记录器、受到恶意损害的网络加密客户以及黑客们的其它一些破坏安全性的伎俩都会准许某个未得到授权的个人访问敏感数据，而不管网络是否有安全措施，是否采用加密通信，也不管你是否部署了其它的网络保护。因此保障工作站的安全性是至关重要的。

9. 运用冗余性保护网站

　　备份和服务器的失效转移可有助于维持最长的正常运行时间。虽然失效转移可以极大地减少服务器的宕机时间，但这并不是冗余性的唯一价值。用于失效转移计划中的备份服务器可以保持服务器配置的最新，这样在发生灾难时你就不必从头开始重新构建你的服务器。备份可以确保客户端数据不会丢失，而且如果你担心受到损害系统上的数据落于不法之徒手中，就会毫不犹豫地删除这种数据。当然，你还必须保障失效转移和备份方案的安全，并定期地检查以确保在需要这些方案时不至于使你无所适从。

10. 确保对所有的系统都实施强健的安全措施，而不仅运用特定的Web安全措施

　　在这方面，可以采用一些通用的手段，如采用强口令，采用强健的外围防御系统，及时更新软件和为系统打补丁，关闭不使用的服务，使用数据加密等手段保证系统的安全等。

网站安全维护不是指对网站内容的修改，而是负责对网站安全的维护，网络设备的安装、管理及日常维护（包括防火墙、路由器、交换机、服务器等）。

◆电话受理中心（用户综合窗口）
为了给广大客户提供更优质、快捷的网站维护服务，在中国业界率先设立了全天候服务式的电话受理中心，并始终坚持“快速”“准确”“亲切”的服务理念。走过风雨兼程的10年，我们尝尽酸甜苦辣，但是为客户服务的心，却一刻也不曾停歇，为了您的欢笑，我们仍将继续前行。

◆全国统一免费网站维护电话:400-670-5808（支持任何用户拨打）邮箱：xieaijiao@cdsheji.com QQ:284888576

◆营业时间：365天·24小时，年中无休。
◆对应业务：与网站维护有关的任何商谈和咨询（网站维护、网站修改、网页修改、网站安全、网站杀毒、网站中毒、网站备份、网站恢复、网站备案、网站建设、技术咨询、网站域名、网站空间、企业邮箱等）

【关闭窗口】

会展

访谈对话