面临各路威胁 盘点如何构建安全服务器
2008-6-23 9:54:00 文/ 出处：比特网
企业服务器上必然存有一些不能随意公开的重要数据，近来服务器面临的威胁日益加剧，越来越多的病毒、居心叵测的黑客，以及那些商业间谍都将服务器当作目标。显然，服务器的安全问题一刻都不容忽然。构建安全服务器环境是抵御黑客攻击的首要环节。构建安全的服务器环境来抵御黑客攻击，其涉及面相当广，但就中小型网站而言，大致可从三个方面来进行：(一)：技术层面：采用软硬件防火墙、杀毒软件、页面防篡改系统来建立一个结构上较完善的Web服务器环境；(二)：服务方面，进行网络拓扑分析；建立中心机房管理制度；建立操作系统以及防病毒软件定期升级机制；对重要服务器的访问日志进行备份，通过这些服务，增强网络的抗干扰性；(三)：支持方面，要求服务商提供故障排除服务，以提高网络的可靠性。
目前大多数中小型网站都是以虚拟主机的形式托管的，要提高网站安全性，降低黑客攻击风险，网站管理员就应及时给自己的网站程序打上最新的补丁，在开发的时候应加强安全意识，注意防止注入漏洞、上传漏洞等问题，同时把网站托管在技术实力强、安全系数高、能主动帮客户解决安全的服务商处，以确保网站安全运行环境的安全。
下面我们来关注几条构建安全服务器的技巧：
技巧一：从基本做起
从基本做起是最保险的方式。你必须将服务器上含有机密数据的区域通通转换成NTFS格式；同理，防毒程序也必须按时更新。建议同时在服务器和桌面电脑上安装防毒软件。这些软件还应该设定成每天自动下载最新的病毒定义文件。另外，邮件服务器也应该安装防毒软件，这类软件可扫描所有寄进来的电子邮件，寻找被病毒感染的附件，若发现病毒，邮件马上会被隔离，减低使用者被感染的机会。
另一个保护网络的好方法是依员工上班时间来限定使用者登录网络的权限。例如，上白天班的员工不该有权限在三更半夜登录网络。
技巧二：保护备份
大多数人都没有意识到，备份本身就是一个巨大的安全漏洞，大多数的备份工作多在晚上10点或 11点开始，依数据多寡，备份完成后大概也是夜半时分了。想象一下，现在是凌晨四点，备份工作已经结束。有心人士正好可趁此时偷走备份磁盘，并在自己家中或是你竞争对手办公室里的服务器上恢复。不过，你可以阻止这种事情发生。首先，可利用密码保护磁盘，若备份程序支持加密功能，还可以将数据进行加密。
其次，可以将备份完成的时间定在你早上进办公室的时间，这样的话，即使有人半夜想溜进来偷走磁盘的话也无法了，因为磁盘正在使用中；如果窃贼强行把磁盘拿走，他一样无法读取那些损毁的数据。
技巧三：构建好你的硬件安全防御系统
选用一套好的安全系统模型。一套完善的安全模型应该包括以下一些必要的组件：防火墙、入侵检测系统、路由系统等。
防火墙在安全系统中扮演一个保安的角色，可以很大程度上保证来自网络的非法访问以及数据流量攻击，如拒绝服务攻击等;入侵检测系统则是扮演一个监视器的角色，监视你的服务器出入口，非常智能地过滤掉那些带有入侵和攻击性质的访问。
技巧四：开启事件日志
虽然开启日志服务虽然说对阻止黑客的入侵并没有直接的作用，但是通过他记录黑客的行踪，我们可以分析入侵者在我们的系统上到底做过什么手脚，给我们的系统到底造成了哪些破坏及隐患，黑客到底在我们的系统上留了什么样的后门，我们的服务器到底还存在哪些安全漏洞等等。如果你是高手的话，你还可以设置蜜罐，等待黑客来入侵，在他入侵的时候把他逮个正着。
技巧五：颁布严格的安全政策
另一个提高安全性的方式就是制定强有力的安全策略，确保每一个人都了解，并强制执行。你可以将部分权限授权给特定代理人，而无须将全部的网管权利交出。即使你核定代理人某些权限，你依然可县制其权限大小，例如无法开设新的使用者账号，或改变权限等。
技巧六：防火墙，检查，再检查
最后一个技巧是仔细检查防火墙的设置。防火墙是网络规划中很重要的一部份，因为它能使公司电脑不受外界恶意破坏。
首先，不要公布不必要的IP地址。你至少要有一个对外的IP地址，所有的网络通讯都须经由此地址。如果你还有DNS注册的Web服务器或是电子邮件服务器，这些IP地址也要穿过防火墙对外公布。但是，工作站和其他服务器的IP地址则必须隐藏。
你还可以查看所有的通讯端口，确定不常用的已经全数关闭。例如，TCP/IP port 80是用于HTTP流量，因此不能堵掉这个端口，也许port 81应该永远都用不着吧，所以就应该关掉。你可以在网络上查到每个端口的详细用途。
除了这些技巧之外，选择合适的防护方案也是保障服务器安全的先决条件。例如IBM易捷服务器管理防护服务为企业核心业务提供警卫般的严密保护。它拥有丰富实践的IBM安全专家7×24不间断为您服务，保护服务器不被攻击，并提供监视和管理服务以及用户服务水平等级(SLA)承诺，降低安全成本最高达55%。企业经营管理人员应该选择能够解决问题，并针对各种环境提供端点对端点的安全基础架构的解决方案。另外，在选购这类产品时也应该考虑其整合性与支持性，除了能够提供这类入侵监测与防治的产品外，也应该能让防火墙与计算机病毒防治的软件整合在一起，并可以定期提供病毒码与入侵攻击模式数据库的更新以及完整的企业安全防护。
2006 经营许可证编号： 粤B2-20050807
