應用系統(tǒng)安全規(guī)范制定建議(編輯修改稿)
2025-05-04 23:08 本頁面
【文章內容簡介】 補丁管理，反病毒，單機防火墻，HIPS，IPSEC,防篡改都能有一些幫助。但也有些問題。 1，補丁不及時，不全面。還是被溢出了？？ 2，殺毒軟件殺不了毒。 3,由于應用的復雜性，防火墻設置時候往往不能達到權限最小化。 。 要解決所有這些問題。一是每個方面都要加強，同時不要忽略任意一方面。安全在這里可以說是木桶原理的最好體現(xiàn)了。 應用層面：主要就是代碼本身了。代碼本身若不安全，做太多的措施也是，只要一個sql注入就全玩玩了。如何編寫安全的web 代碼，可以參照owasp。 個人認為在配iis也有很多的安全竅門?！颈热鐄rlscan過濾啊等】 數(shù)據(jù)庫層：數(shù)據(jù)庫的安全加固往往大家容易忽略。這方面可以參考cis相關資料。 另外：重中之重：是要建立一套完整的風險管理體系。風險評估，滲透測試，安全加固等等等等。網(wǎng)站架構和訪問控制權限上下手，如果為前臺靜態(tài)發(fā)布+管理發(fā)布生成控制臺+后臺數(shù)據(jù)庫+各模塊，架構安全了，再談其他的首先看一下三層架構的組成： 一：界面層 界面層提供給用戶一個視覺上的界面，通過界面層，用戶輸入數(shù)據(jù)、獲取數(shù)據(jù)。界面層同時也提供一定的安全性，確保用戶有會看到機密的信息。 二：邏輯層 邏輯層是界面層和數(shù)據(jù)層的橋梁，它響應界面層的用戶請求，執(zhí)行任務并從數(shù)據(jù)層抓取數(shù)據(jù)，并將必要的數(shù)據(jù)傳送給界面層。 三：數(shù)據(jù)層 數(shù)據(jù)層定義、維護數(shù)據(jù)的完整性、安全性，它響應邏輯層的請求，訪問數(shù)據(jù)。這一層通常由大型的數(shù)據(jù)庫服務器實現(xiàn)，如Oracle 、Sybase、MS SQl Server等。 下面是三層架構的優(yōu)勢分析： 從開發(fā)角度和應用角度來看，三層架構比雙層或單層結構都有更大的優(yōu)勢。三層結構適合群體開發(fā)，每人可以有不同的分工，協(xié)同工作使效率倍增。開發(fā)雙層或單層應用時，每個開發(fā)人員都應對系統(tǒng)有較深的理解，能力要求很高，開發(fā)三層應用時，則可以結合多方面的人才，只需少數(shù)人對系統(tǒng)全面了解，從一定程度工降低了開發(fā)的難度。 三層架構屬于瘦客戶的模式，用戶端只需一個較小的硬盤、較小的內存、較慢的CPU就可以獲得不錯的性能。相比之下，單層或胖客戶對面器的要求太高。 三層架構的另一個優(yōu)點在于可以更好的支持分布式計算環(huán)境。邏輯層的應用程序可以有多個機器上運行，充分利用網(wǎng)絡的計算功能。分布式計算的潛力巨大，遠比升級CPU有效。 三層架構的最大優(yōu)點是它的安全性。用戶端只能通過邏輯層來訪問數(shù)據(jù)層，減少了入口點，把很多危險的系統(tǒng)功能都屏蔽了。 另外三層架構還可以支持如下功能：Remote Access(遠程訪問資料)，例如可透過Internet存取遠程數(shù)據(jù)庫；High Performance(提升運算效率)解決集中式運算(Centralize)及主從式架構(ClientServer)中，數(shù)據(jù)庫主機的運算負擔，降低數(shù)據(jù)庫主機的Connection Load，并可藉由增加App Server處理眾多的數(shù)據(jù)處理要求，這一點跟前面講到的分布式計算提高運算能力是一個道理；Client端發(fā)出Request(工作要求)后，便可離線，交由App Server和DataBase Server共同把工作完成，減少Client端 的等待時間；這個功能我覺得應用場合不是很多，自己感受也不是很深刻，從理論上是成立的； 這方面的專家請補充和分析一下三層架構在安全性方面的影響，水漲船高?。粚τ赼sp .net沒有專門的研究，僅提供如下思路，供參考： 對數(shù)據(jù)庫進行安全配置，例如你的程序連接數(shù)據(jù)庫所使用的帳戶/口令/權限，如果是瀏覽新聞的，用只讀權限即可；可以對不同的模塊使用不同的帳戶/權限；另外，數(shù)據(jù)庫的哪些存儲過程可以調用，也要進行嚴格地配置，用不到的全部禁用（特別是cmd這種），防止注入后利用數(shù)據(jù)庫的存儲過程進行系統(tǒng)調用； 在獲取客戶端提交的參數(shù)時，進行嚴格的過濾，包括參數(shù)長短、參數(shù)類型等等； 對管理員后臺進行嚴格的保護，有條件的話，應該設置為只允許特定的IP訪問（例如只允許管理員網(wǎng)段訪問）——這個要根據(jù)實際情況來看的； 對操作系統(tǒng)進行安全配置，防止注入后調用系統(tǒng)的功能，并對目錄進行嚴格的權限指派； 設置網(wǎng)絡訪問控制； 有條件的話，配置針對HTTP的內容過濾，過濾病毒、惡意腳本等； 如果有必要，可以考慮選擇HTTPS（這樣可以防止很多的注入工具掃描，我以前自己開發(fā)注入檢測工具的時候，考慮過做支持HTTPS方式的，但目前還沒付諸實施，相信其他兄弟姐妹考慮到這一點的也不多:）； …… 相信你也看出來了，總的來說程序方面主要考慮權限、參數(shù)過濾等問題；權限主要包括IIS瀏覽權限、數(shù)據(jù)庫調用權限。除此以外，還要考慮數(shù)據(jù)庫、操作系統(tǒng)的安全配置。另外，不知道你們在開發(fā)過程中會不會用到其他人開發(fā)的組件，例如圖片上傳之類的，這類組件你們研究過其安全性么？或者開發(fā)的過程中，絕大多數(shù)人會使用網(wǎng)上、書上提供的現(xiàn)成代碼，例如用戶登錄驗證等等，這些公開代碼，也要研究其安全性問題。只是一個普通的思路而已，談不上建設性，希望對你有幫助； 要做信息安全規(guī)劃當然不能憑空去想，去寫；我覺得你要做如下幾個作業(yè)：那就是你要明確三個問題：要去哪里？現(xiàn)在在哪里？如何去你那里？ ，例如iso17799，等；對信息安全管理有一個全貌的了解，心中要裝有藍圖；證券行業(yè)歸口證監(jiān)會管，證監(jiān)會的一些針對證券行業(yè)的監(jiān)管要求也要看的，了解外部環(huán)境的要求，這些你都是要裝到肚子里面的，你叫他藍圖也好，你叫他基線也行，這是你做事情的基準；否則你不知道要去哪里對吧？ ，以及來自你的管理層的期望（如果是一些戰(zhàn)略性的指示那就最好不過了）；這樣你會了解到同藍圖相比你們的差距以及高層面的指導，如果這種指導是業(yè)務層面的，那么你要想好實現(xiàn)業(yè)務層面的目標，信息安全如何幫助你們證券公司去實現(xiàn)業(yè)務目標；在這里，你就是要搞清楚，我現(xiàn)在在哪里的問題。 ，以及領導的期望，結合你們現(xiàn)在的實際情況（例如資源、范圍等）整理出近期、中期、遠期的建設路線，或者叫安
公司管理相關推薦
鄂ICP備17016276號-1