什么是網(wǎng)站安全?

網(wǎng)站安全是指保護個人和組織面向公眾的網(wǎng)站免受網(wǎng)絡(luò)攻擊。

為什么要關(guān)心網(wǎng)站安全?

針對面向公眾的網(wǎng)站(無論規(guī)模大小)的網(wǎng)絡(luò)攻擊很常見，可能會導(dǎo)致：

• 網(wǎng)站污損，
• 失去網(wǎng)站可用性或拒絕服務(wù) (DoS) 條件，
• 泄露敏感的客戶或組織數(shù)據(jù)，
• 攻擊者控制受影響的網(wǎng)站，或
• 使用網(wǎng)站作為水坑攻擊的中轉(zhuǎn)站。

這些威脅會影響信息安全的所有方面——機密性、完整性和可用性——并可能嚴重損害網(wǎng)站及其所有者的聲譽。例如，成為污損、DoS 或數(shù)據(jù)泄露受害者的組織和個人網(wǎng)站可能會因用戶信任度下降或網(wǎng)站訪問者減少而遭受經(jīng)濟損失。

組織可以采取哪些步驟來防止網(wǎng)站攻擊?

組織和安全專業(yè)人員應(yīng)該采取多個步驟來正確保護他們的網(wǎng)站。注意：組織應(yīng)與其網(wǎng)站托管提供商或托管服務(wù)提供商交談，以討論實施安全措施的角色和責任。

1. 保護域生態(tài)系統(tǒng)。

• 查看所有域的注冊商和域名系統(tǒng) (DNS) 記錄。
• 更改您的域注冊商和 DNS 提供的所有默認密碼。

• 默認憑據(jù)并不安全——它們通常很容易在 Internet 上獲得。更改默認用戶名和密碼將防止利用默認憑據(jù)的攻擊。(有關(guān)創(chuàng)建強密碼的信息，請參閱選擇和保護密碼。)

• 強制執(zhí)行多重身份驗證 (MFA)。(有關(guān)更多信息，請參閱補充密碼)
• 監(jiān)控證書透明度日志。

查看CISA 緊急指令 19-01和CISA Cyber Insights：Mitigate DNS Infrastructure Tampering了解更多信息。

2. 保護用戶帳戶。

• 對所有可訪問 Internet 的帳戶強制執(zhí)行 MFA — 優(yōu)先考慮具有特權(quán)訪問權(quán)限的帳戶。
• 執(zhí)行最小權(quán)限原則，禁用不必要的賬戶和權(quán)限。
• 更改所有默認用戶名和密碼。

查看CISA Cyber Insights：增強電子郵件和網(wǎng)絡(luò)安全以了解更多信息。

3. 持續(xù)掃描并修復(fù)關(guān)鍵和高漏洞。

• 分別在 15 天和 30 天內(nèi)修補可訪問互聯(lián)網(wǎng)的系統(tǒng)上的所有關(guān)鍵漏洞和高漏洞。除了軟件漏洞之外，請務(wù)必掃描配置漏洞。

• 盡可能啟用自動更新。

替換不受支持的操作系統(tǒng)、應(yīng)用程序和硬件。

• 查看CISA 緊急指令 19-01和CISA Cyber Insights：修復(fù)互聯(lián)網(wǎng)可訪問系統(tǒng)的漏洞以了解更多信息。

4. 保護傳輸中的數(shù)據(jù)。

• 禁用超文本傳輸協(xié)議 (HTTP);強制執(zhí)行超文本傳輸協(xié)議安全 (HTTPS) 和 HTTP 嚴格傳輸安全 (HSTS)。

• 網(wǎng)站訪問者希望他們的隱私得到保護。為確保網(wǎng)站和用戶之間的通信是加密的，請始終強制使用 HTTPS，并在可能的情況下強制使用 HSTS。如需更多信息和指導(dǎo)，請參閱美國首席信息官 (CIO) 和聯(lián)邦 CIO 委員會關(guān)于HTTPS-Only Standard的網(wǎng)頁。如果可能，為所有域預(yù)加載 HSTS。
  

• 禁用弱密碼(SSLv2、SSlv3、3DES、RC4)。

查看CISA Binding Operational Directive 18-01和CISA Cyber Insights：Enhanced Email and Web Security了解更多信息。

5. 備份數(shù)據(jù)。

• 采用備份解決方案，自動、持續(xù)地從您的網(wǎng)站備份關(guān)鍵數(shù)據(jù)和系統(tǒng)配置。
• 將您的備份媒體保存在安全且物理遠程的環(huán)境中。
• 測試災(zāi)難恢復(fù)場景。

6. 保護網(wǎng)絡(luò)應(yīng)用程序。

• 識別并修復(fù)前 10 名最關(guān)鍵的 Web 應(yīng)用程序安全風險;然后轉(zhuǎn)向其他不太嚴重的漏洞。(有關(guān)最關(guān)鍵的 Web 應(yīng)用程序安全風險的列表，請參閱OWASP Top 10。)
• 啟用日志記錄并定期審核網(wǎng)站日志以檢測安全事件或不當訪問。

• 將日志發(fā)送到集中式日志服務(wù)器。

• 為用戶登錄 Web 應(yīng)用程序和底層網(wǎng)站基礎(chǔ)設(shè)施實施 MFA。

7. 保護網(wǎng)絡(luò)服務(wù)器。

• 使用安全檢查表。

• 根據(jù)特定于系統(tǒng)上每個應(yīng)用程序(例如，Apache、MySQL)的安全檢查表審核和強化配置。

• 使用應(yīng)用程序允許列出和禁用提供業(yè)務(wù)需求不需要的功能的模塊或功能。
• 實施網(wǎng)絡(luò)分段和隔離。

• 網(wǎng)絡(luò)分段和隔離使攻擊者更難在連接的網(wǎng)絡(luò)中橫向移動。例如，將 Web 服務(wù)器放置在正確配置的非軍事區(qū) (DMZ) 中會限制 DMZ 中的系統(tǒng)與內(nèi)部公司網(wǎng)絡(luò)中的系統(tǒng)之間允許的網(wǎng)絡(luò)流量類型。

• 了解您的資產(chǎn)在哪里。

• 您必須知道您的資產(chǎn)在哪里才能保護它們。例如，如果您的數(shù)據(jù)不需要位于 Web 服務(wù)器上，請將其刪除以防止公共訪問。

有哪些額外的步驟可以防止網(wǎng)站攻擊?

• 清理所有用戶輸入。在客戶端和服務(wù)器端清理用戶輸入，例如特殊字符和空字符。當用戶輸入被合并到腳本或結(jié)構(gòu)化查詢語言語句中時，清理用戶輸入尤其重要。
• 提高資源可用性。配置網(wǎng)站緩存以優(yōu)化資源可用性。優(yōu)化網(wǎng)站的資源可用性會增加它在 DoS 攻擊期間承受意外高流量的機會。
• 實施跨站點腳本 (XSS) 和跨站點請求偽造 (XSRF) 保護。通過實施 XSS 和 XSRF 保護來保護網(wǎng)站系統(tǒng)以及網(wǎng)站訪問者。
• 實施內(nèi)容安全策略 (CSP)。網(wǎng)站所有者還應(yīng)考慮實施 CSP。實施 CSP 可以減少攻擊者在最終用戶機器上成功加載和運行惡意 JavaScript 的機會。
• 審計第三方代碼。審核第三方服務(wù)(例如，廣告、分析)以驗證沒有向最終用戶提供意外代碼。網(wǎng)站所有者應(yīng)該權(quán)衡審查第三方代碼并將其托管在 Web 服務(wù)器上(而不是從第三方加載代碼)的利弊。
• 實施額外的安全措施。其他措施包括：

• 針對網(wǎng)站代碼和系統(tǒng)運行靜態(tài)和動態(tài)安全掃描，
• 部署 Web 應(yīng)用程序防火墻，
• 利用內(nèi)容交付網(wǎng)絡(luò)來防范惡意網(wǎng)絡(luò)流量，以及
• 針對大量流量提供負載平衡和彈性。

附加信息

如需更多參考：

• CISA 網(wǎng)絡(luò)基礎(chǔ)
• 美國國家標準與技術(shù)研究院 (NIST)特別出版物 (SP) 800-44：公共 Web 服務(wù)器安全指南
• NIST SP 800-95：安全 Web 服務(wù)指南。

參考來源：美國CISA