维护web服务器安全是信息安全中最费力不讨好的任务之一。您需要在冲突的角色之间找到一个平衡点，允许合法访问网络资源，同时防止恶意破坏。
您甚至可以考虑双重身份认证，如RSA SecurID，以确保身份认证系统的高度信任，但这对于所有网站用户来说可能不实用或不划算。尽管有这些相互冲突的目标，仍然有六个步骤来帮助Web服务器安全。
内部和外部应用程序使用不同的服务器。
假设组织有两种独立的网络应用程序，为外部用户服务和为内部用户服务，这些应用程序应该小心地部署在不同的服务器上。这可以防止恶意用户突破外部服务器来访问敏感的内部信息。如果您没有可用的部署工具，您至少应该考虑使用技术控制(例如，处理隔离)，以便内部和外部应用程序不会相互涉及。
使用单独的开发服务器来测试和调试应用软件。
在单独的Web服务器上测试应用软件听起来像是常识。就是——。不幸的是，许多组织没有遵循这个基本规则。相反，它们允许开发人员在生产服务器上调试代码，甚至开发新软件。这对安全性和可靠性是很可怕的。在生产服务器上测试代码会导致用户遇到失败，当开发人员提交未经测试的易受攻击的代码时，就会引入安全漏洞。大多数现代版本控制系统(如微软的Visual SourceSafe)有助于自动化编码/测试/调试过程。
查看网站活动并安全存储日志。
每个安全专家都知道维护服务器活动日志的重要性。由于大多数Web服务器都是开放的，因此审核所有Internet服务非常重要。审核有助于您检测和抵御攻击，并使您能够排除服务器性能故障。在高级安全环境中，确保您的日志存储在物理安全位置3354的最安全(但最不方便)的方法是在日志生成后立即打印，并建立不能被入侵者修改的纸质记录，前提是入侵者没有物理访问权限。您可能希望使用电子备份，如登录到安全主机并用数字签名加密，以防止日志被盗和修改。
培训开发人员进行可靠的安全编码。
软件开发人员致力于创建满足业务需求的应用软件，但他们往往忽略了信息安全也是一项重要的业务需求。作为安全专业人员，您有责任就影响Web服务器的安全问题对开发人员进行培训。你要让开发者了解网络中的安全机制，确保他们开发的软件不会违反这些机制；还需要训练概念，比如内存泄漏攻击和处理隔离3354，这对编码和生成安全的应用软件很有帮助。
修补操作系统和Web服务器
这是另一个常识，但是当管理员被其他任务压得喘不过气来时，这一点经常被忽视。安全公告，如CERT或微软发布的公告，提醒人们软件供应商发布特定安全漏洞补丁的频率。一些工具，如微软的SUS和RedHat的升级服务，有助于自动完成这项任务。简而言之，漏洞一旦发布，如果不修复，迟早会被发现和利用。
用应用软件扫描
如果负担得起，可以考虑使用应用程序扫描仪来验证内部代码。Watchfire的AppScan等工具有助于确保生产环境中的代码没有错误。切记，注意安全。设计良好的Web服务器结构应该基于完善的安全策略。实施这六个方法将帮助你建立一个坚实的基础。
