應(yīng)用系統(tǒng)安全規(guī)范制定建議(編輯修改稿)
2025-05-04 23:08 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 補(bǔ)丁管理，反病毒，單機(jī)防火墻，HIPS，IPSEC,防篡改都能有一些幫助。但也有些問(wèn)題。 1，補(bǔ)丁不及時(shí)，不全面。還是被溢出了？？ 2，殺毒軟件殺不了毒。 3,由于應(yīng)用的復(fù)雜性，防火墻設(shè)置時(shí)候往往不能達(dá)到權(quán)限最小化。 。 要解決所有這些問(wèn)題。一是每個(gè)方面都要加強(qiáng)，同時(shí)不要忽略任意一方面。安全在這里可以說(shuō)是木桶原理的最好體現(xiàn)了。 應(yīng)用層面：主要就是代碼本身了。代碼本身若不安全，做太多的措施也是，只要一個(gè)sql注入就全玩玩了。如何編寫安全的web 代碼，可以參照owasp。 個(gè)人認(rèn)為在配iis也有很多的安全竅門。【比如urlscan過(guò)濾啊等】 數(shù)據(jù)庫(kù)層：數(shù)據(jù)庫(kù)的安全加固往往大家容易忽略。這方面可以參考cis相關(guān)資料。 另外：重中之重：是要建立一套完整的風(fēng)險(xiǎn)管理體系。風(fēng)險(xiǎn)評(píng)估，滲透測(cè)試，安全加固等等等等。網(wǎng)站架構(gòu)和訪問(wèn)控制權(quán)限上下手，如果為前臺(tái)靜態(tài)發(fā)布+管理發(fā)布生成控制臺(tái)+后臺(tái)數(shù)據(jù)庫(kù)+各模塊，架構(gòu)安全了，再談其他的首先看一下三層架構(gòu)的組成： 一：界面層 界面層提供給用戶一個(gè)視覺(jué)上的界面，通過(guò)界面層，用戶輸入數(shù)據(jù)、獲取數(shù)據(jù)。界面層同時(shí)也提供一定的安全性，確保用戶有會(huì)看到機(jī)密的信息。 二：邏輯層 邏輯層是界面層和數(shù)據(jù)層的橋梁，它響應(yīng)界面層的用戶請(qǐng)求，執(zhí)行任務(wù)并從數(shù)據(jù)層抓取數(shù)據(jù)，并將必要的數(shù)據(jù)傳送給界面層。 三：數(shù)據(jù)層 數(shù)據(jù)層定義、維護(hù)數(shù)據(jù)的完整性、安全性，它響應(yīng)邏輯層的請(qǐng)求，訪問(wèn)數(shù)據(jù)。這一層通常由大型的數(shù)據(jù)庫(kù)服務(wù)器實(shí)現(xiàn)，如Oracle 、Sybase、MS SQl Server等。 下面是三層架構(gòu)的優(yōu)勢(shì)分析： 從開(kāi)發(fā)角度和應(yīng)用角度來(lái)看，三層架構(gòu)比雙層或單層結(jié)構(gòu)都有更大的優(yōu)勢(shì)。三層結(jié)構(gòu)適合群體開(kāi)發(fā)，每人可以有不同的分工，協(xié)同工作使效率倍增。開(kāi)發(fā)雙層或單層應(yīng)用時(shí)，每個(gè)開(kāi)發(fā)人員都應(yīng)對(duì)系統(tǒng)有較深的理解，能力要求很高，開(kāi)發(fā)三層應(yīng)用時(shí)，則可以結(jié)合多方面的人才，只需少數(shù)人對(duì)系統(tǒng)全面了解，從一定程度工降低了開(kāi)發(fā)的難度。 三層架構(gòu)屬于瘦客戶的模式，用戶端只需一個(gè)較小的硬盤、較小的內(nèi)存、較慢的CPU就可以獲得不錯(cuò)的性能。相比之下，單層或胖客戶對(duì)面器的要求太高。 三層架構(gòu)的另一個(gè)優(yōu)點(diǎn)在于可以更好的支持分布式計(jì)算環(huán)境。邏輯層的應(yīng)用程序可以有多個(gè)機(jī)器上運(yùn)行，充分利用網(wǎng)絡(luò)的計(jì)算功能。分布式計(jì)算的潛力巨大，遠(yuǎn)比升級(jí)CPU有效。 三層架構(gòu)的最大優(yōu)點(diǎn)是它的安全性。用戶端只能通過(guò)邏輯層來(lái)訪問(wèn)數(shù)據(jù)層，減少了入口點(diǎn)，把很多危險(xiǎn)的系統(tǒng)功能都屏蔽了。 另外三層架構(gòu)還可以支持如下功能：Remote Access(遠(yuǎn)程訪問(wèn)資料)，例如可透過(guò)Internet存取遠(yuǎn)程數(shù)據(jù)庫(kù)；High Performance(提升運(yùn)算效率)解決集中式運(yùn)算(Centralize)及主從式架構(gòu)(ClientServer)中，數(shù)據(jù)庫(kù)主機(jī)的運(yùn)算負(fù)擔(dān)，降低數(shù)據(jù)庫(kù)主機(jī)的Connection Load，并可藉由增加App Server處理眾多的數(shù)據(jù)處理要求，這一點(diǎn)跟前面講到的分布式計(jì)算提高運(yùn)算能力是一個(gè)道理；Client端發(fā)出Request(工作要求)后，便可離線，交由App Server和DataBase Server共同把工作完成，減少Client端 的等待時(shí)間；這個(gè)功能我覺(jué)得應(yīng)用場(chǎng)合不是很多，自己感受也不是很深刻，從理論上是成立的； 這方面的專家請(qǐng)補(bǔ)充和分析一下三層架構(gòu)在安全性方面的影響，水漲船高?。粚?duì)于asp .net沒(méi)有專門的研究，僅提供如下思路，供參考： 對(duì)數(shù)據(jù)庫(kù)進(jìn)行安全配置，例如你的程序連接數(shù)據(jù)庫(kù)所使用的帳戶/口令/權(quán)限，如果是瀏覽新聞的，用只讀權(quán)限即可；可以對(duì)不同的模塊使用不同的帳戶/權(quán)限；另外，數(shù)據(jù)庫(kù)的哪些存儲(chǔ)過(guò)程可以調(diào)用，也要進(jìn)行嚴(yán)格地配置，用不到的全部禁用（特別是cmd這種），防止注入后利用數(shù)據(jù)庫(kù)的存儲(chǔ)過(guò)程進(jìn)行系統(tǒng)調(diào)用； 在獲取客戶端提交的參數(shù)時(shí)，進(jìn)行嚴(yán)格的過(guò)濾，包括參數(shù)長(zhǎng)短、參數(shù)類型等等； 對(duì)管理員后臺(tái)進(jìn)行嚴(yán)格的保護(hù)，有條件的話，應(yīng)該設(shè)置為只允許特定的IP訪問(wèn)（例如只允許管理員網(wǎng)段訪問(wèn)）——這個(gè)要根據(jù)實(shí)際情況來(lái)看的； 對(duì)操作系統(tǒng)進(jìn)行安全配置，防止注入后調(diào)用系統(tǒng)的功能，并對(duì)目錄進(jìn)行嚴(yán)格的權(quán)限指派； 設(shè)置網(wǎng)絡(luò)訪問(wèn)控制； 有條件的話，配置針對(duì)HTTP的內(nèi)容過(guò)濾，過(guò)濾病毒、惡意腳本等； 如果有必要，可以考慮選擇HTTPS（這樣可以防止很多的注入工具掃描，我以前自己開(kāi)發(fā)注入檢測(cè)工具的時(shí)候，考慮過(guò)做支持HTTPS方式的，但目前還沒(méi)付諸實(shí)施，相信其他兄弟姐妹考慮到這一點(diǎn)的也不多:）； …… 相信你也看出來(lái)了，總的來(lái)說(shuō)程序方面主要考慮權(quán)限、參數(shù)過(guò)濾等問(wèn)題；權(quán)限主要包括IIS瀏覽權(quán)限、數(shù)據(jù)庫(kù)調(diào)用權(quán)限。除此以外，還要考慮數(shù)據(jù)庫(kù)、操作系統(tǒng)的安全配置。另外，不知道你們?cè)陂_(kāi)發(fā)過(guò)程中會(huì)不會(huì)用到其他人開(kāi)發(fā)的組件，例如圖片上傳之類的，這類組件你們研究過(guò)其安全性么？或者開(kāi)發(fā)的過(guò)程中，絕大多數(shù)人會(huì)使用網(wǎng)上、書上提供的現(xiàn)成代碼，例如用戶登錄驗(yàn)證等等，這些公開(kāi)代碼，也要研究其安全性問(wèn)題。只是一個(gè)普通的思路而已，談不上建設(shè)性，希望對(duì)你有幫助； 要做信息安全規(guī)劃當(dāng)然不能憑空去想，去寫；我覺(jué)得你要做如下幾個(gè)作業(yè)：那就是你要明確三個(gè)問(wèn)題：要去哪里？現(xiàn)在在哪里？如何去你那里？ ，例如iso17799，等；對(duì)信息安全管理有一個(gè)全貌的了解，心中要裝有藍(lán)圖；證券行業(yè)歸口證監(jiān)會(huì)管，證監(jiān)會(huì)的一些針對(duì)證券行業(yè)的監(jiān)管要求也要看的，了解外部環(huán)境的要求，這些你都是要裝到肚子里面的，你叫他藍(lán)圖也好，你叫他基線也行，這是你做事情的基準(zhǔn)；否則你不知道要去哪里對(duì)吧？ ，以及來(lái)自你的管理層的期望（如果是一些戰(zhàn)略性的指示那就最好不過(guò)了）；這樣你會(huì)了解到同藍(lán)圖相比你們的差距以及高層面的指導(dǎo)，如果這種指導(dǎo)是業(yè)務(wù)層面的，那么你要想好實(shí)現(xiàn)業(yè)務(wù)層面的目標(biāo)，信息安全如何幫助你們證券公司去實(shí)現(xiàn)業(yè)務(wù)目標(biāo)；在這里，你就是要搞清楚，我現(xiàn)在在哪里的問(wèn)題。 ，以及領(lǐng)導(dǎo)的期望，結(jié)合你們現(xiàn)在的實(shí)際情況（例如資源、范圍等）整理出近期、中期、遠(yuǎn)期的建設(shè)路線，或者叫安
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1