如何做好一個(gè)網(wǎng)站管理后臺(tái)的安全？

時(shí)間：2023-11-10 15:36:01 | 來(lái)源：網(wǎng)站運(yùn)營(yíng)

時(shí)間：2023-11-10 15:36:01 來(lái)源：網(wǎng)站運(yùn)營(yíng)

如何做好一個(gè)網(wǎng)站管理后臺(tái)的安全？：網(wǎng)站的組成，基本上可以劃分為三個(gè)部分，server端、服務(wù)器、用戶clients，在建設(shè)網(wǎng)站時(shí)，應(yīng)該兼顧這三個(gè)部分，每部分都有明確的規(guī)則，才可以打造一個(gè)相對(duì)比較安全的網(wǎng)站。畢竟，網(wǎng)站的安全有木桶效應(yīng)，一個(gè)部分優(yōu)化不夠，這個(gè)網(wǎng)站就是一個(gè)不夠安全的網(wǎng)站。

一、對(duì)Server端的管控：

開(kāi)發(fā)團(tuán)隊(duì)必須要有基本的網(wǎng)站安全開(kāi)發(fā)常識(shí)，比如0day，sql-injection、XSS、CSRF、惡意上傳（腳本語(yǔ)言的網(wǎng)站尤其要注意）等。對(duì)于用戶的敏感信息需要加密保存（salt-hash）；

測(cè)試團(tuán)隊(duì)的滲透測(cè)試要到位，也可與第三方的安全團(tuán)隊(duì)進(jìn)行合作，采用定制化的安全方案。

運(yùn)維團(tuán)隊(duì)要妥善保管各個(gè)主機(jī)及軟件的賬號(hào)密碼，維護(hù)主機(jī)的日常健康檢查，和日常更新。

二、選擇可靠的云空間：

網(wǎng)站在選擇空間時(shí)需要注意，網(wǎng)上有很多不知名的空間商給出的網(wǎng)站空間價(jià)格很低，往往這種便宜的空間，安全性極差，因?yàn)榭臻g/服務(wù)器需要專門的人員去進(jìn)行維護(hù)，需要對(duì)服務(wù)器進(jìn)行配置，設(shè)置服務(wù)器文件的權(quán)限等等。

如果是自建機(jī)房，建議由經(jīng)驗(yàn)豐富的運(yùn)維人員來(lái)管理維護(hù)。

某些主機(jī)如果只是內(nèi)部人員訪問(wèn)的，應(yīng)該增設(shè)ip訪問(wèn)權(quán)限（VPN網(wǎng)絡(luò)的管理也要加強(qiáng)）。可以避免被nmap等工具掃描

另外建議可以選擇一款高效的web應(yīng)用防火墻，開(kāi)放式Web應(yīng)用程序安全項(xiàng)目(OWASP)是一個(gè)側(cè)重于促進(jìn)應(yīng)用軟件安全發(fā)展的開(kāi)發(fā)式非營(yíng)利性組織，OWASP建議在選擇Web應(yīng)用防火墻時(shí)應(yīng)該考量以下標(biāo)準(zhǔn)：很少出現(xiàn)誤報(bào)(例如，不應(yīng)該拒絕授權(quán)請(qǐng)求等)；默認(rèn)防御的強(qiáng)度；容易操作模式；；可以預(yù)防的漏洞類型；能夠限制個(gè)人用戶只能在當(dāng)前對(duì)話中所看到的內(nèi)容；配置預(yù)防特定問(wèn)題的能力，如緊急補(bǔ)丁等。

三、用戶client：

對(duì)于一些涉及支付交易的網(wǎng)站，給出明確的提示如（不可以在公共場(chǎng)所的電腦登錄，并妥善保管密碼）?；驈?qiáng)制用戶使用強(qiáng)密碼登錄

加強(qiáng)終端控制。由于部分終端可能是以APP的形式存在，那么業(yè)務(wù)開(kāi)發(fā)的時(shí)候也要考慮到終端版本，強(qiáng)制用戶升級(jí)或者推熱修復(fù)補(bǔ)丁，強(qiáng)烈建議留push通道，不要只留pull通道，這樣可以大大提高推新版本的覆蓋率，便于實(shí)施安全手段。

控制訪問(wèn)網(wǎng)絡(luò)權(quán)限、強(qiáng)化數(shù)據(jù)加密和智能終端加固也是保障信息安全的有效手段。

隨著人們的隱私保護(hù)意識(shí)越來(lái)越高，未來(lái)的網(wǎng)站安全與隱私保護(hù)將成為新的機(jī)遇。完善大數(shù)據(jù)時(shí)代的隱私保護(hù)機(jī)制，建立完備的數(shù)據(jù)保護(hù)體系，未來(lái)還需要政府、社會(huì)和企業(yè)、用戶共同努力，這也是大安全時(shí)代最需要關(guān)注的新課題。