在層次化防御保證企業門戶網站安全（上）中，我們介紹了企業門戶網站系統面臨的威脅，并針對這個問題提供了如何設計安全網絡拓撲的具體原則和技術。本文將繼續介紹方案的其他部分，包括強化用戶訪問控制，加密通信數據，做好風險控制等。
2.2 強化用戶訪問控制
設計好的訪問控制策略和手段，可以從很大程度上避免非法用戶的訪問，從而保護企業門戶網站安全。目前適合企業門戶網站的認證方式如下，可以采用一種或者結合幾種方式：
用戶名+密碼：最為傳統的驗證方式；
數字證書：對于重要的Web系統應用，需要根據PKI（Public Key Infrastructure，公鑰體制）機制，驗證用戶提供的證書，從而對用戶身份認證（通常情況下是服務器對客戶端認證，也可以建立雙向認證，即用戶對服務器進行認證，以防止假冒的非法網站），并確保交易的不可抵賴性。證書的提供可以采用兩種方式：
1）文件證書：保存在用戶磁盤和文件系統上，有一定的安全風險；
2）USB設備存儲的證書：保存在USB設備上，安全性很高。
2.3 加密通信數據
可以采用成熟的SSL（Secure Socket Layer，安全套接字層）機制，來保證Web系統數據的加密傳輸和用戶對Web系統服務器的驗證。對于使用Web瀏覽器的網上系統應用，采用SSL+數字證書結合的方式（即HTTPS協議），保證通信數據的加密傳輸，同時也保證了用戶端對服務器端的認證，避免用戶被冒充合法網站的“釣魚網站”欺騙，從而泄露機密信息（用戶名和密碼等），造成不可挽回的經濟損失。
在使用SSL的過程中，首先需要申請好相應的數字證書。一般來說，有兩種處理方法。
1）一種是申請權威機構頒發的數字證書，如VeriSign，GlobalSign等機構頒發的數字證書，這需要一定的費用，好處是當前幾乎所有的主流瀏覽器都能夠很好地支持，也就是只需要在企業門戶網站的服務器上部署該證書即能在客戶端和服務器端建立SSL加密通道；
2）另一種是由企業使用OpenSSL等開源工具來生成相應的根證書和服務器證書，這樣能夠節約一大筆費用，但是缺點是主流瀏覽器并不能很好地支持，需要在客戶端和服務器端分別部署根證書和服務器證書，這樣在客戶端非常多的時候不好處理，同時用戶體驗也很差。
2.4 做好風險控制
風險控制是在攻擊發生前對企業門戶網站使用滲透測試等技術手段來挖掘、分析、評價，并使用打補丁、實施安全技術和設備的辦法來解決網站可能存在的各種風險、漏洞。這需要周期性、自發地對Web系統的漏洞進行自我挖掘，并根據挖掘的漏洞通過各種安全機制和補丁等方式進行防護，以有效地避免“零日攻擊”等。
目前，企業門戶網站可以通過使用端口掃描、攻擊模擬等方式來對企業門戶網站的開放端口、服務、操作系統類型等進行獲取，并利用其相關漏洞進行攻擊測試。并根據測試的結果來通過各種方式加固該系統的安全，以避免被黑客等利用來進行攻擊。
2.5 健全訪問日志審計
企業門戶網站作為開放門戶，且基于HTTP協議，因此在用戶訪問時會產生大量的訪問日志。網站管理者需要對這些日志進行詳細地記錄、存儲，并以備日后的分析取證。實踐證明，很多的拒絕服務攻擊以及其他攻擊方式都會在系統中留下日志，比如IP地址信息、訪問的URL鏈接等，這都可以作為網站管理員的審計素材，為阻斷黑客的下一次進攻，保證網站安全打下基礎。
2.6 事前災難備份
任何系統都不能說100%的安全，都需要考慮在遭受攻擊或者是經受自然災害后的備份恢復工作，需要著重考慮如下幾點：
1）選擇合適的備份策略，做好提前備份，包括全備份、差分備份、增量備份等等
2）選擇合適的備份介質，包括磁帶、光盤、RAID磁盤陣列等
3）選擇合適的備份地點，包括本地備份、遠程備份等等
4）選擇合適的備份技術，包括NAS、SAN、DAS等等
5）做好備份的后期維護和安全審計跟蹤
2.7 統籌安全管理
企業門戶網站系統一般功能復雜，業務數據敏感，保密級別比較高，并且對不同管理人員的權限、角色要求都不盡相同，為了保證安全管理，避免內部管理中出現安全問題，建議作如下要求：
1）嚴格劃分管理人員的角色及其對應的權限，避免一權獨攬，引起安全隱患；
2）做好服務器機房的物理條件管理，避免電子泄露、避免由于靜電等引起的故障；
3）做好服務器管理員的帳號/口令管理，要求使用強口令，避免內部人員盜用；
4）做好服務器的端口最小化管理，避免內部人員掃描得出服務器的不必要的開放端口及其漏洞，實行內部攻擊；
5）做好服務器系統軟件、應用軟件的日志管理和補丁管理工作，便于審計和避免由于安全漏洞而遭受到內部人員的攻擊；
6）根據業務和數據的機密等級需求，嚴格劃分服務器的安全域，避免信息泄露。
TechTarget中國原創內容，原文鏈接：http://www.searchsecurity.com.cn/showcontent_56249.htm
京公網安備 11010502049343號