求教架设web服务器如何做安全防护

第一步：选择系统平台

1 这里推荐 Windows Server 2003/32位，原因：该版操作系统成熟可靠，可用软件丰富，能支持超大内存；

2 安装操作系统时，请不要安装网上下载的Ghost版或精简版，不能安装有病毒的系统，否则可能前功尽弃。

第二步：部署所需环境

1 安装操作系统后，顺便安装好IIS和FTP，方便建立WEB和FTP用。（如果没有安装IIS，可以下载IIS组件自行安装）；

2 如果需要ASP环境，请开启ASP运行条件；

3 如果需要SQL Server数据库，请安装对应软件，建议SQL Server 2005，根据自己的系统要求进行选择。

4 如果需要Net环境，请下载对应的Net安装包版本安装。

5 安装其他软件，如入侵防护系统，杀毒软件等。

第三步：配置所需安全

1 所需环境部署后，需要设置系统安全，包括磁盘权限和数据库，以及其他组件，这里2 设置磁盘权限，包括系统盘和其他磁盘；

3 变更系统账户，如将 Administrator 重命名，尽可能设置复杂密码。

第四步：配置管理工具

1 安装主机管理系统，建议安装免费，方便开设站点，并可方便备份和恢复的主机管理系统；

2 用主机系统开设站点，绑定域名，部署网页文件，测试能否正常访问；

3 安装其他主机管理软件，比如一些被控端，但注意做好权限设置工作。

第五步：部署运营监控

1 部署远程监控系统，如：代维系统，方便统一监控服务器状况，如IO、CPU、内存、带宽等使用情况，及时预警；

2 查杀网页木马，找出原来存在的网页木马文件，可以用：云查杀系统或入侵防护系统扫描，发现木马文件妥善处理；

3 入侵防护系统可以实时监控网页木马、畸形文件、远程登录、用户提权、防注入、进程限制、防篡改限制、非法内容生成控制等，推荐；

4 如果数据重要，建议安装安全套装，提高安全系数。

第六步：注意事项

1 不建议开启服务器上软件的自动升级功能，比如杀毒软件/输入法等，因为很可能破坏系统的安全体系；

2 不要在服务器安装不必要的软件，比如QQ，以及有些杀毒软件，特别消耗资源；

3 不要轻易在服务器上打开未知软件和客户网站，否则可能造成中毒；

4 其他影响服务器安全的事项。

由于病毒摧毁计算机所造成的威胁有越来越严重的趋势，企业对于功能更强大的防毒软件的需求也越来越迫切。许多的企业也因为之前没有对网络架构作好防毒措施，付出了惨痛而昂贵的代价。前几天我们这里的行政部门的的所有计算机由于感染了尼姆达病毒，搞得整个局域网瘫痪了，我们几个整整忙了两天才完全恢复正常。在工作期间，我发现这个单位网络安全意识低得真让人不敢相信，大多数计算机没有安装防火墙，就算安装了也好久没有升级了。（同志们，这可是我们政府机关啊！）所以建构一个全面的防毒策略，成为了大多数单位的一个重要问题，大面我和大家谈谈企业如何构建一个电脑病毒防护的安全策略。

企业的防毒策略

在早期的计算机环境中，其实病毒并不是一个非常令人头痛的事，只要我不用来路不明的磁盘，基本上可以防止 80％ 的病毒入侵，但是进入互联网的新世纪，绝大部分的信息经由互联网交换，那么更容易从互联网上染上病毒，因此企业防毒策略的制定，更是绝对不能没有的计划。一般而言，一个需要作好防毒措施的网络架构可以分成以下三个不同的阶层：

1、网络（SMTP）网关（Internet Gateways）防毒机制

首先针对病毒可能会入侵的通道加以防堵，第一步就是企业的大门，在企业的局域网络中，网关扮演了举足轻重的角色，通常企业的网关就是通往内部网络的门，或者是安全性更高防护措施更完善的企业网络架构中，会有一个非军事区网络 ( DMZ， De-Militarized Zone ) ，在这个地方就是一个非常重要的部署防毒墙或者是防毒过滤软件的地方。

以网关或是DMZ部分的部署，通常可以分为两种模式：

第一种为网关模式，也就是将防毒服务器或是防毒墙(例如McAfee WebShield e50 硬件式防毒墙 ) 当成内部路由器的部署方式，此种配置方式乃是将防毒网关配置在防火墙装置的内部或是所有内部主机系统的最外部，也就是防毒墙或防毒服务器将成为名符其实的一个资料网关(有点像是路由器)，如此一来所有进出企业体的封包，将一一被扫描过滤，一个都不会错过。

我以一般企业简单的网络架构来说明，一般来说位在网关的防毒机制，考虑到运作效能的问题，是不需要负责太复杂的防毒，通常是专门针对某些通讯协议加以侦测扫描，例如针对SMTP、FTP、HTTP 等通讯协议。在图1的架构中，共分为两个部分，由外部进来的封包，通过防火墙的控制，只能到达 DMZ 的部分，所有邮件都能够被扫描侦测，并且能够过滤垃圾邮件及防止邮件服务器被来自Internet的使用 ( Anti-Relay )，因此针对邮件我们就有了第一层的保护。

而另一部份则是内部网络，基于安全的理由，一般在防火墙的设定是不允许直接由 Internet 前往内部网络的，因此这部分是针对客户端计算机因浏览网站，或者是FTP站台所受到一些恶意站台的威胁，所做的防护措施因此针对来自Internet的威胁，我们就有了初步的病毒防护机制。

第二种模式则是代理模式，以如此模式建构的话，基本上防毒服务器是以代理服务器的型态存在。如果某家公司不管理自己的 Internet 网关，那防护的工作就得交由 ISP 来提供了。如果 ISP 不提供防毒服务或者它索取很高的费用，那么就应当考虑更换服务提供商。

一般情况下如果一个企业设置了第一层的病毒防护，那么公司只要在一两个网关上替整个公司捕捉和拦截病毒就可以了。一旦病毒通过了网关，公司就必须依靠服务器代理程序（server agents）对众多的服务器进行扫描和修复，而不再只是处理一个网关。倘若由于某种原因病毒穿透了服务器层，那就必须依靠客户端这一层的防毒软件，这可能会影响到成千上万的节点（nodes）。所以，立即在第一层阻止病毒是最行У慕饩龇椒ā

2、服务器防毒机制

接下来就是服务器这一层。单单依靠桌上型计算机上的防毒软件是不够的，因为不管是在什么时候，都一定会有好几十台的计算机的防毒软件不是取消功能，就是解除安装，或者是其它原因而让防毒软件不能运作。在企业之中，有着不同的服务器提供着不同的服务，其中最容易遭数受病毒的攻击的服务器，首推群组服务器以及档案服务器，档案服务器有着档案集中的特性，提供企业体制中档案储存及交换的便利性，正是这种特性，更容易让病毒有机可乘，更容易散播开来。

而邮件服务器几乎可以称的现代企业的通信管道，很多资料、重要讯息大都是通过电子邮件这种最普遍亦是最方便的一种共通方式，所以也是病毒传染最快的方式，但这不是全部，病毒不只是通过邮件传递达到散播的目的，更利用群组中的信息共享机制，如电子公告栏，共享资料夹等等的讯息共享机制来散播病毒，因此我们更应该针对所有可能的通道价以防护，这就是架构中的第二层防护：你需要在每台存放文件和 e-mail 的服务器上作好病毒的防护工作，在这些服务器上，防毒软件都必须设置成提供实时防护和定期的防毒扫描（scheduled scanning）。注意：如果你只使用定期扫描这一种方法，而病毒在成功入侵一台开放的服务器时，它可能在你准备在夜间通过扫描过程来对付它之前，已经复制并感染了多台工作站。

3、客户端计算机防毒机制

在整个网络的最末端，客户端的计算机是企业网络中为数最多也是容易遭受到病毒感染的一个环节，也是最大、最难防护的一层，而且并非所有使用者都具有病毒防治的观念，因此在客户端的病毒防护策略，除了必须考虑环境及病毒入侵的防护外，还必须考虑到人为因素及管理因素，在如此复杂的环境中，我们先从病毒可能进行感染的通道防堵。

首先针对一般感染路径，档案的存取及网络的存取，已经是一种基本应有的功能，它必须在幕后随时监视及扫描你所存取的所有档案，包含压缩档及较不为一般人所注意的office 宏文件，以防止一般性的病毒威胁。在电子邮件的传染途径中，除了针对 SMTP 的通讯协议作保护外，还必须考虑到一些使用者必须由外部的邮件服务器收取邮件，或者是下载互联网上的档案，因此在下载档案的部分以及 POP3、MAPI 等通讯协议上必须加强防护。同样的来自于浏览网站或者是利用FTP上传或下载档案也是必须防护的重点，如此构成了严密的三层病毒防护策略。

作为网络管理人员的你也可以在登录描述程序（logon scripts）中加入了一些智能型的机制，以确保安装的防毒软件的版本是最新的。如果不是最新的版本，那么一个正确的（且升级后的）版本就会安装进来。未经正确病毒防护的设定，任何一台工作站都不允许放在网络上，这包括通过拨号的方式远程访问网络的计算机。此外，新一代的防毒软件，如 McAfee's ePolicy Orchestrator（相关网址： http://corporatemcafeecom/content/software_products/avd_epolicyasp ），能自动为你进行版本的检测和升级。拥有一个能够针对「工作站上的防毒软件并非最新」这一情况做出报告的系统，对你的企业来说也是相对重要的一环。

4、补充--管理机制

前面我已经讨论了关于防毒的三层架构，其中大家可以发现一点，当企业体制越大，所需要维护及管理的工作也越趋重要，维护及管理病毒防护机制是一件绝对不可缺的事，不然纵使你拥有全球最强的防毒机制，一样形同虚设无法发挥它应有防治病毒的功能，因此在制定你的病毒防护计划的同时，你必须考虑到针对所有防毒软件或硬件，必须要具备易于管理及维护的特性。想想假如你的企业规模是具有50台计算机的单位，也许你认为只要大约三个人就可以担负所有的防毒软件的病毒码更新、病毒扫描引擎更新、以及照顾一些只会使用office的文书人员的防毒机制，但是这并不是一个永久的办法，当你企业不断的成长，终究会面临信息人员的负担越来越重，但是效率却越来越差窘境，因此把这些繁复琐碎的事情交给计算机来管理，而你的信息人员就能够更有效率的完成其它你所交付的工作。如此才能周全你的病毒防护计划，为你的企业带来最完善的防护。

结束语

病毒防护计划在现今的企业体制中已经是不可或缺的事，如何运用最少的人力物力完成最大的防护效能，才是你考虑的重点，对于防毒软件的选择，我综合了以下几个观点供大家参考：

1、全方位的防毒功能，能够考虑到所有可能的入侵通道；

2、具有多层架构的防毒机制；

3、易于集中管理及维护，具有自动更新升级的能力；

4、中央控管的防毒规则，完全不需使用者设定，提高信息人员效率；

5、具有病毒防护统计报告能力，使你易于掌握整个防护计划。

互联网高度发展的现今社会，互联网带给人们更快速的信息取得通道，同样的也给

算机病毒具有快速传播的能力，如今其危害已经不是只有个人，而是扩及到企业损失，如果你依然不重视这个问题，那么所带来的危害将是无法估计的。 采纳我把 (^__^) 嘻嘻

1）物理安全。物理安全主要包括环境安全、设备安全、媒体安全等方面。处理秘密信息的系统中心机房应采用有效的技术防范措施，重要的系统还应配备警卫人员进行区域保护。

（2）运行安全。运行安全主要包括备份与恢复、病毒的检测与消除、电磁兼容等。涉密系统的主要设备、软件、数据、电源等应有备份，并具有在较短时间内恢复系统运行的能力。应采用国家有关主管部门批准的查毒杀毒软件适时查毒杀毒，包括服务器和客户端的查毒杀毒。

（3）信息安全。确保信息的保密性、完整性、可用性和抗抵赖性是信息安全保密的中心任务。

（4）安全保密管理。涉密计算机信息系统的安全保密管理包括各级管理组织机构、管理制度和管理技术三个方面。要通过组建完整的安全管理组织机构，设置安全保密管理人员，制定严格的安全保密管理制度，利用先进的安全保密管理技术对整个涉密计算机信息系统进行管理。

技术在近年来获得前所未有的增长。云技术如今已被运用到银行、学校、政府以及大量的商业组织。但是云计算也并非万能的，和其他IT部署架构一样存在某些难以弥补的缺陷。例如公有云典型代表：服务器，用户数据存储在云计算基础平台的存储系统中，但敏感的信息和应用程序同样面临着网络攻击和黑客入侵的威胁。以下就是壹基比小喻要讲的服务器面临的九大安全威胁。

哪些因素会对服务器安全有危害？

一、数据漏洞

云环境面临着许多和传统企业网络相同的安全威胁，但由于极大量的数据被储存在服务器上，服务器供应商则很可能成为**数据的目标。供应商通常会部署安全控件来保护其环境，但最终还需要企业自己来负责保护云中的数据。公司可能会面临：诉讼、犯罪指控、调查和商业损失。

二、密码和证书

数据漏洞和其他攻击通常来源于不严格的认证、较弱的口令和密钥或者证书管理。企业应当权衡集中身份的便利性和使储存地点变成攻击者首要目标的风险性。使用服务器，建议采用多种形式的认证，例如：一次性密码、手机认证和智能卡保护。

三、界面和API的入侵

IT团队使用界面和API来管理和与服务器互动，包括云的供应、管理、编制和监管。API和界面是系统中最暴露在外的一部分，因为它们通常可以通过开放的互联网进入。服务器供应商，应做好安全方面的编码检查和严格的进入检测。运用API安全成分，例如：认证、进入控制和活动监管。

四、已开发的系统的脆弱性

企业和其他企业之间共享经验、数据库和其他一些资源，形成了新的攻击对象。幸运的是，对系统脆弱性的攻击可以通过使用“基本IT过程”来减轻。尽快添加补丁——进行紧急补丁的变化控制过程保证了补救措施可以被正确记录，并被技术团队复查。容易被攻击的目标：可开发的bug和系统脆弱性。

五、账户劫持

钓鱼网站、诈骗和软件开发仍旧在肆虐，服务器又使威胁上升了新的层次，因为攻击者一旦成功、操控业务以及篡改数据，将造成严重后果。因此所有云服务器的管理账户，甚至是服务账户，都应该形成严格监管，这样每一笔交易都可以追踪到一个所有者。关键点在于保护账户绑定的安全认证不被窃取。有效的攻击载体：钓鱼网站、诈骗、软件开发。

六、居心叵测的内部人员

内部人员的威胁来自诸多方面：现任或前员工、系统管理者、承包商或者是商业伙伴。恶意的来源十分广泛，包括窃取数据和报复。单一的依靠服务器供应商来保证安全的系统，例如加密，是最为危险的。有效的日志、监管和审查管理者的活动十分重要。企业必须最小化暴露在外的访问：加密过程和密钥、最小化访问。

七、APT病毒

APT通过渗透服务器中的系统来建立立足点，然后在很长的一段时间内悄悄地窃取数据和知识产权。IT部门必须及时了解最新的高级攻击，针对服务器部署相关保护策略（ID:ydotpub）。此外，经常地强化通知程序来警示用户，可以减少被APT的迷惑使之进入。进入的常见方式：鱼叉式网络钓鱼、直接攻击、USB驱动。

八、永久性的数据丢失

关于供应商出错导致的永久性数据丢失的报告已经鲜少出现。但居心叵测的黑客仍会采用永久删除云数据的方式来伤害企业和云数据中心。遵循政策中通常规定了企必须保留多久的审计记录及其他文件。丢失这些数据会导致严重的监管后果。建议云服务器供应商分散数据和应用程序来加强保护：每日备份、线下储存。

九、共享引发潜在危机

共享技术的脆弱性为服务器带来了很大的威胁。服务器供应商共享基础设施、平台以及应用程序，如果脆弱性出现在任何一层内，就会影响所有。如果一个整体的部分被损坏——例如管理程序、共享的平台部分或者应用程序——就会将整个环境暴露在潜在的威胁和漏洞下

系统安全：

1设置较为复杂的主机密码，建议8位数以上，大小写混合带数字、特殊字符，不要使用123456、password等弱口令。

2开启系统自动更新功能，定期给系统打补丁。

3windows主机安装安全狗、360主机卫士等防入侵的产品。

4做好网站的注入漏洞检查，做好网站目录访问权限控制。(建议将网站设置为只读状态，对需要上传附件等目录单独开通写权限功能，对上传文件目录设置为禁止脚本执行权限)

5如果用于网站服务，建议安装我们预装“网站管理助手”的操作系统模板，该系统我们做过安全加固，比纯净版要更安全。新建网站强烈建议用网站管理助手创建，本系统创建的网站会相互隔离，避免一个网站被入侵就导致其他网站也受影响。

6关闭不需要的服务，如server,worksation等服务一般用不上，建议禁用。

7启用TCP/IP筛选功能,关闭危险端口,防止远程扫描、蠕虫和溢出攻击。 比如mssql数据库的1433端口，一般用不上远程连接的话，建议封掉，只允许本机连接。

8如果自己安装数据库，建议修改为普通用户运行，默认是system权限运行的，非常不安全。查看帮助

9如果是自主安装纯净版的系统，建议修改掉3389、22等默认端口，用其他非标准端口可以减少被黑的几率。

云技术的出现确实带给了现代企业非常大的便利。但是与好处伴随而来的，当然也有不愿触及的信息安全隐患。既然企业想要利用云技术带来的好处，那么自然也要想办法解决云中安全隐患，降低企业面临的风险。酷酷云给您七个秘诀。

秘诀一：从基本做起，及时安装系统补丁。不论是Windows还是Linux，任何操作系统都有漏洞，及时打上补丁避免漏洞被蓄意攻击利用，是服务器安全重要的保证之一。

秘诀二：安装和设置防火墙。对服务器安全而言，安装防火墙非常必要。防火墙对于非法访问具有很好的预防作用，但是安装了防火墙并不等于服务器安全了。在安装防火墙之后，还需要根据自身的网络环境，对防火墙进行适当的配置以达到最好的防护效果。

秘诀三：安装杀毒软件。现在网络上的病毒非常猖獗，这就需要在网络服务器上安装网络版的杀毒软件来控制病毒传播。同时，在网络杀毒软件的使用中，要定期或及时升级杀毒软件，并且每天自动更新病毒库。

秘诀四：关闭不需要的服务和端口。服务器操作系统在安装时，会启动一些不需要的服务，这样会占用系统的资源，而且也会增加系统的安全隐患。对于一段时间内完全不会用到的服务器，可以完全关闭；对于其间要使用的服务器，也应该关闭不需要的服务，如Telnet等。另外，还要关掉没有必要开的TCP端口。

秘诀五：定期对服务器进行备份。为防止不能预料的系统故障或用户不小心的非法操作，必须对系统进行安全备份。除了对全系统进行每月一次的备份外，还应对修改过的数据进行每周一次的备份。同时，应该将修改过的重要系统文件存放在不同服务器上，以便出现系统崩溃时（通常是硬盘出错），可以及时地将系统恢复到正常状态

秘诀六：账号和密码保护。账号和密码保护可以说是服务器系统的第一道防线，目前网上大部分对服务器系统的攻击都是从截获或猜测密码开始的。一旦黑客进入了系统，那么前面的防卫措施几乎就失去了作用，所以对服务器系统管理员的账号和密码进行管理是保证系统安全非常重要的措施。

秘诀七：监测系统日志。通过运行系统日志程序，∞系统会记录下所有用户使用系统的情形，包括最近登录时间、使用的账号、进行的活动等。日志程序会定期生成报表，通过对报表进行分析，就可以知道是否有异常现象。

从以上7个秘诀中，我们可以了解到服务器安全防护的技巧，同时我们也了解了构成云服务器的安全问题。都说云可能引发一场数据安全防护的变革，只要确保云本身的安全，其大数据和处理效率高的特性让传统的IT安全防护等级提升了好几倍，安全系数自然也会提高不少。

酷酷云服务器为您诚意解答，服务器租户的选择，酷酷云值得信赖。