一个安全WEB服务器的安装(2)

　　服务区定义需要哪些服务。通过“如果不是指定需要的全部禁止”的安全策略，服务器上仅仅配置完成必要的操作所必需的服务，否则就会为攻击者提供更多的攻击点。

　　仅适用可以保证足够安全级的服务：没有充分认证能力的服务（如：rexec）或者传输未经过加密的敏感数据的服务（如telnet、ftp或通过WWW传输信用卡敏感数据）都应该用更安全的相应服务所替代（如SSH、SSLftp或HTTPS）。

　　4. 应用区

　　为安全起见，每个服务都必需单独配置。一个配置的不好的邮件服务器可能会被用来发送垃圾邮件，配置不好的Web服务器可以执行所有的系统命令。注意，千万不要创建具有高特权的服务（root）。

　　您必需仔细研读您所适用的软件的操作手册中的相关内容才可以更安全地配置您的应用。

　　5. 操作系统区

　　最后的保护机制是操作系统自身。如果如果应用区的安全方法配置合理的话，即使入侵者成功地进入计算机系统也没有足够的管理权限完成破坏工作。程序的安装，尤其是高特权的程序，应该限制在系统操作的绝对需要范围内。许多高特权的程序可以通过更高级别的认证来限制用户的滥用，因为系统中的标准用户帐号根本不需要使用这些程序。但这还远远不够，万一攻击者成功地进入计算机系统，应该存在一个检测入侵的机制。这被称为“基于主机的入侵检测”。当然，最好还要能够监视和记录系统中的文件操作，以便了解入侵者的真正意图。当然也不能忽视经常性地备份，并且不要丢弃旧的备份文件。这种做法不仅可以用来配置备份服务器和避免数据丢失，它还可以用来跟踪系统中文件的操作情况。如果有几个管理员同时管理一个服务器，那么一个记录谁执行过哪些操作的机制可以在下面提及。

　　想定

　　Internet需要配置一台自己的WEB服务器，由于没有自己的安全基础设施，应该在WEB服务器前面放一台配置了相应过滤规则的路由器。这台WEB服务器仅仅提供WWW和HTTPS服务，但是，它当然也需要具有远程控制特性。另外，这台Web服务器最好还能够发送邮件。由于Linux服务器和网页是由三个不同的管理员维护的，所有的管理操作都应该保证在以后进行日志分析是更容易理解。

　　实现

　　前面段落中说明的安全WEB服务器的需求如何实现呢？下面的例子说明了一种在SuSE Linux 6.4发布的服务器上的实现方法。为了实现上述想定，我们决定选择SSH管理和Apache Web服务器。

　　第一步：配置路由器

　　每一个流行的路由器都提供配置过滤列表的功能。您必需配置下面的简单规则：

　　+---------------------------------------------------------------+
　　|-----------------------过滤规则--------------------------------|
　　+------------------+------------------+-------------------------+
　　|--------来源------|--------目标------|---------服务------------|
　　+------------------+------------------+-------------------------+
　　|任何位置----------|Web服务器---------|WWW, HTTPS, UDP highport,|
　　|------------------|------------------|ICMP types 0 + 3---------|
　　+------------------+------------------+-------------------------+
　　|管理员------------|Web服务器---------|SSH----------------------|
　　+------------------+------------------+-------------------------+
　　|Web服务器---------|任何位置----------|DNS, SMTP----------------|
　　+------------------+------------------+-------------------------+
　　|Web服务器---------|路由器------------|SSH或telnet--------------|
　　+------------------+------------------+-------------------------+

　　路由器的操作手册会提供如何进行上述配置的详细信息。这里我建议使用Cisco路由器，因为对于这种情况它非常容易配置，并且还在IOS的第12版以后提供了SSH的加密服务。