cisp0206數(shù)據(jù)庫(kù)及應(yīng)用安全_v30(編輯修改稿)
2025-01-26 02:00 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 況審計(jì)（用戶級(jí)） 審計(jì)報(bào)表 剩余信息保護(hù) 空間釋放及信息清除 組合鑒別技術(shù) 敏感標(biāo)記的設(shè)置及操作 審計(jì)過(guò)程的保護(hù) 通信完整性 校驗(yàn)碼技術(shù) 密碼技術(shù) 軟件容錯(cuò) 自動(dòng)保護(hù)功能 資源控制 資源分配限制、資源分配優(yōu)先級(jí) 最小服務(wù)水平的檢測(cè)及報(bào)警 數(shù)據(jù)有效性檢驗(yàn)、部分運(yùn)行保護(hù) 對(duì)用戶會(huì)話數(shù)及 系統(tǒng)最大并發(fā)會(huì)話數(shù)的限制 審計(jì)記錄的保護(hù) 通信保密性 初始化驗(yàn)證 整個(gè)報(bào)文及會(huì)話過(guò)程加密 敏感信息加密 抗抵賴 35 知識(shí)域：應(yīng)用安全 ?知識(shí)子域： Web應(yīng)用安全 ? 理解 Web工作機(jī)制及 Web應(yīng)用安全問(wèn)題產(chǎn)生的原因 ? 了解常見(jiàn) Web服務(wù)運(yùn)行平臺(tái)的安全配置要點(diǎn) ? 了解互聯(lián)網(wǎng)瀏覽面臨的安全威脅及應(yīng)對(duì)方法 ? 了解 Web安全防護(hù)產(chǎn)品如 Web應(yīng)用防火墻和網(wǎng)頁(yè)防篡改產(chǎn)品的功能和特點(diǎn) 36 Web安全問(wèn)題根源 ?WEB服務(wù)器端安全問(wèn)題（支撐軟件、應(yīng)用程序） ?Web客戶端（瀏覽器） ?Web協(xié)議（ Http） 37 終端用戶 應(yīng)用服務(wù)器 數(shù)據(jù)庫(kù)服務(wù)器 Web應(yīng)用 （ IIS、 Apache） …… 應(yīng)用傳輸協(xié)議 HTTP …… 應(yīng)用客戶端 瀏覽器 （ IE、 Firefox） Web服務(wù)支撐軟件安全問(wèn)題 ?Web服務(wù)支撐軟件 ? 軟件自身安全漏洞 ? 例： IIS URL拒絕服務(wù)漏洞 ? 例： Unicode解 碼漏洞 ? 軟 件配置缺陷 ? 默 認(rèn)賬號(hào)、口令 ? 不安全的配置 – 例： IIS配置允許遠(yuǎn)程寫入 注：講師可根據(jù)自己經(jīng)驗(yàn)給學(xué)員介紹幾個(gè)典型漏洞或者演示 38 Web程序安全問(wèn)題 ?輸入輸出處理 ?會(huì)話控制 ?文件系統(tǒng)處理 ?用戶訪問(wèn)機(jī)制 ?日志處理 ?… 39 是人開發(fā)的就可能存在安全隱患 WEB應(yīng)用程序 是程序員開發(fā)的 WEB協(xié)議安全問(wèn)題 ?信息泄漏 ? 明文傳輸（用戶名和口令、向服務(wù)器提交的數(shù)據(jù)） ?弱驗(yàn)證 ? 簡(jiǎn)單的認(rèn)證 ?缺乏狀態(tài)跟蹤 ? 無(wú)狀態(tài)的協(xié)議 ? Session存在安全隱患 40 Web應(yīng)用協(xié)議 HTTP ?HTTP(超 文本傳輸 協(xié)議 ) ? 一 種通信協(xié)議 ? 使 用 超文本標(biāo)記語(yǔ)言 (HTML) 將資源從服務(wù)器傳送到客戶端 ?超 文本傳輸協(xié)議特點(diǎn) ? 請(qǐng)求、響應(yīng)模式 ? 協(xié)議簡(jiǎn)單，客戶端只需傳輸請(qǐng)求方法和路徑 ? 無(wú)連接（一個(gè)請(qǐng)求一個(gè)連接，完成后斷開） ? 無(wú)狀態(tài) 41 HTTP協(xié)議工作過(guò)程 ?HTTP 請(qǐng)求（ Requests） ? 一個(gè) HTTP請(qǐng)求包含三個(gè)部分 ? 方法， URL，協(xié)議 /版本（ MethodURIProtocol/Version） ? 請(qǐng)求包頭 (Request headers) ? 實(shí)體包（ Entity body） ?HTTP 響應(yīng)（ Responses） ? 一個(gè) HTTP響應(yīng)也包含三個(gè)部分 ? 協(xié)議狀態(tài)代碼描敘（ ProtocolStatus codeDescription） ? 響應(yīng)包頭（ Response headers） ? 實(shí)體包（ Entity body） 42 HTTP協(xié)議工作過(guò)程 43 HTTP協(xié)議工作過(guò)程 響應(yīng)范例 ?HTTP響應(yīng) 范例 HTTP/ 200 OK Server: MicrosoftIIS/ Date: Mon, 3 Jan 2023 13:13:33 GMT ContentType: text/HTML LastModified: Mon, 11 Jan 2023 13:23:42 GMT ContentLength: 112 Wele to CISP. 44 第一行的響應(yīng)包頭和請(qǐng)求包頭很相似。第一行說(shuō)明協(xié)議是使用的 ，響應(yīng)請(qǐng)求已成功(200表示成功 )，一切已 OK 響應(yīng)包頭和請(qǐng)求包頭相似，也包含一些有用的信息。響應(yīng)的實(shí)體是 HTML那一部分的內(nèi)容。包頭和實(shí)體也都是被 CRLF序列分離開的 Web應(yīng)用安全解決 ?Web支撐軟件 ? 安裝安全補(bǔ)丁或升級(jí)軟件 ? 安全配置 ?Web應(yīng)用程序 ? 安全軟件開發(fā) ?Web客戶端 ? 安全補(bǔ)丁或者升級(jí)軟件 ? 安全瀏覽 ?Web協(xié)議 ? 安全協(xié)議（ Https） 45 Web支撐軟件 IIS安全配置 ?身份驗(yàn)證 ?傳輸安全 ?目錄安全 ?日志安全 ?性能調(diào)整 46 IIS安全配置 身份驗(yàn)證 ?Web訪問(wèn)用戶身份設(shè)置 ? 啟用匿名（默認(rèn)） ? 匿名身份： iuser_計(jì)算機(jī)名稱 ? 案例：錯(cuò)誤的匿名訪問(wèn) ? 需要身份驗(yàn)證 ?訪問(wèn)控制 ? IP地址訪問(wèn)控制 47 IIS安全配置 傳輸安全 ?使用 保證會(huì)話安全 ? 登錄驗(yàn)證 ? 重要操作 ?Https的優(yōu)點(diǎn) ? 使用 SSL加密傳輸信息 ? 端口 443，會(huì)話過(guò)程中包括傳輸加密、身份認(rèn)證等 48 IIS安全配置 目錄安全 ?主目錄設(shè)置 ? Web文件存放在非系統(tǒng)分區(qū) ?刪除不使用的虛擬目錄 ?目錄權(quán)限控制 ? 不允許遠(yuǎn)程目錄寫入 ? 具備修改權(quán)限的目錄去掉執(zhí)行權(quán)限 ? 具備執(zhí)行權(quán)限的目錄盡量不允許修改 ? 注意： IIS的權(quán)限是與 NTFS權(quán)限分開的，講師可做演示說(shuō)清楚該概念 49 主目錄及目錄安全性 50 Web文件存放位置（不宜使用默認(rèn)目錄） 嚴(yán)格控制權(quán)限 嚴(yán)禁寫入！ 慎用目錄瀏覽 主目錄 建議設(shè)置 腳本源訪問(wèn) 不允許 讀取 允許 寫入 不允許 目錄瀏覽 建議關(guān)閉 記錄訪問(wèn) 建議關(guān)閉 索引資源 建議關(guān)閉 執(zhí)行權(quán)限 純腳本 IIS安全配置 日志安全 ?日志記 錄項(xiàng)盡可能多 ?日志的路徑 ? 非系統(tǒng)盤 ? 足夠大的空間 ? 單獨(dú)的日志分區(qū) ?日志的訪問(wèn)權(quán)限 ?System可以寫入，不可讀 ?Administrator可讀不可修改 ?其他用戶無(wú)權(quán)限 51 IIS安全配置
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1