當(dāng)我們的產(chǎn)品還不是很穩(wěn)定的時候,當(dāng)我們的產(chǎn)品漏洞被"歹人"先發(fā)現(xiàn)后, 當(dāng)我們的產(chǎn)品加密技術(shù)還不過成熟的時候??我們拿什么來保衛(wèi)我們的數(shù)據(jù)安全??我們拿什么和其他品牌比優(yōu)勢??答案就是做個安全的終極服務(wù)器。按我個人實施經(jīng)驗來劃分的話，安全的終極服務(wù)器包括如下幾個方面：1、硬件的安全，2、服務(wù)器系統(tǒng)的安全，3、數(shù)據(jù)庫的安全，4、在維護上采用嚴(yán)格的服務(wù)器規(guī)范操作。接下來我們將對這四個方面進行分析。
硬件安全：一套好的軟件，需要配備一臺適合加穩(wěn)定的電腦，如果電腦不穩(wěn)定，經(jīng)常許硬件維護，何談數(shù)據(jù)安全？？？？？在我們實施軟件之前，我們要事先考慮我們這套軟件用戶數(shù)是多少、日操作數(shù)據(jù)量的大小、年數(shù)據(jù)量的大小、客戶經(jīng)費預(yù)算多少、打算用幾年（我們中國有句話是這么說的：百年大計，質(zhì)量為先，可是著句話太假，考慮了100年質(zhì)量能好到哪呢？？個人認為配備的服務(wù)器一般在5到10年內(nèi)），在綜合考慮了以上的5個方面后，我們就可以很好的選用我們需要的服務(wù)器了：建議選用品牌，穩(wěn)定性比較好。在這里就不多闡述服務(wù)器選擇了。
服務(wù)器系統(tǒng)的安全：系統(tǒng)首選2003系統(tǒng)。2003系統(tǒng)的安裝與主要配置在這里就不多說了。對于我們天通產(chǎn)品來說，建議把數(shù)據(jù)庫與B/S程序不放在同一文件路徑下。通常我安裝完天通產(chǎn)品，會在另外新建一個DATABASE的文件夾。產(chǎn)品的安裝目錄只給讀取的權(quán)限，數(shù)據(jù)庫目錄才給以讀取與寫入權(quán)限。對于我們產(chǎn)品安裝完后在IIS新建的虛擬目錄，我們通常需要新建一個用戶APPLE（給于GUEST權(quán)限），讓這個虛擬目錄以APPLE的用戶名去運行。但在目前，我們發(fā)天通產(chǎn)品在2003下找狗需要把IIS運行用戶設(shè)置成Administrator，這對于我們軟件的安全性來說是非常不好的，建議總公司改進。
數(shù)據(jù)庫安全：當(dāng)一套軟件運行起來后，我們要確保數(shù)據(jù)庫的安全：1、防止因為數(shù)據(jù)庫漏洞被入侵，2、防止數(shù)據(jù)庫被拷貝、復(fù)制等，3、防止數(shù)據(jù)庫被掛馬。對于我們天通系列產(chǎn)品來說，我們用的是目前最大眾化的數(shù)據(jù)庫——SQL。我們的技術(shù)人員通常裝上SQL2000后并不一定會去打SP4補丁，亦或許打了SP4補丁確忘記刪除CMDSHELL。就我們公司目前的測試服務(wù)器來說：HIPS一天可以接收到5到10次的SQL攻擊（測試服務(wù)器處于局域網(wǎng)，對外開放的只是80端口）。如果是大型的公司或許攻擊次數(shù)就不是這個數(shù)了。這就要求我們的實施人員做好如下幾點：a、在裝SQL2000記得設(shè)置好SA密碼：數(shù)字英文混合形式，千萬不敢是通用；b、裝完SQL2000后記得打上SP4補丁，把SA更改成其他用戶名，并刪除Xp_cmdshell(這個一定是要刪除的)、Xp_regaddmultistring、Xp_regdeletekey、Xp_regdeletevalue、Xp_regenumvalues、Xp_regread、Xp_regwrite、Xp_regremovemultistring ，具體刪除命令百度上自己看，c、對數(shù)據(jù)庫的執(zhí)行角色千萬不能是SA用戶，一般我是新建個SQL數(shù)據(jù)庫用戶（權(quán)限分配為只管理當(dāng)前數(shù)據(jù)庫）。但是千萬不能建了用戶忘記上密碼，我們的服裝版2008就是犯了這個錯。對于我們代理來說前段時間服裝版本老是受人攻擊，不知道個位代理是否有想過這樣一個問題：你的SQL數(shù)據(jù)庫被掛馬了嗎？？？一般的黑客只會寫在作業(yè)里，我們只需要經(jīng)常察看SQL的作業(yè)任務(wù)就可以了。遇到比較厲害的，直接寫SQL數(shù)據(jù)庫里頭，我們就只能一個表的查，目前針對這個我也沒什么特殊的處理方法。對于SQL數(shù)據(jù)庫防拷貝：對于這個只能以規(guī)范服務(wù)器的行為操作與強而有力的系統(tǒng)的安全做為基礎(chǔ)，再屏蔽掉所有USB接口。
規(guī)范化的操作：為了保證數(shù)據(jù)的100%安全，我們需要一套完整的審核程序，即每次管理員連接或者在服務(wù)器上做操作時，需要寫份操作記錄，方便日后出問題進行審核。 | |