1、首先要充分認(rèn)識(shí)和理解Internet服務(wù)器上存在的弱點(diǎn)：
除非是已經(jīng)采取了特殊措施，Internet服務(wù)器都有主機(jī)名和IP地址，Internet上的任何人都能很容易地查找到這些信息。
許多組織都不把防火墻放在Internet服務(wù)器之前，這樣即使是防火墻能夠輕易阻止的探測(cè)和攻擊也無(wú)法阻擋。
默認(rèn)狀態(tài)下，服務(wù)器監(jiān)聽(tīng)來(lái)自標(biāo)準(zhǔn)端口的服務(wù)請(qǐng)求，并很自然地試圖處理這些請(qǐng)求。
服務(wù)器本來(lái)就是要在無(wú)人照料的情況下運(yùn)行的，所有一般不會(huì)有一個(gè)用戶現(xiàn)身來(lái)尋找不正常的動(dòng)作。
服務(wù)器還經(jīng)常需要遠(yuǎn)程管理，因此它們要接受來(lái)自用戶的遠(yuǎn)程連接，這些用戶通常具有非常強(qiáng)大的權(quán)限。
許多服務(wù)器都會(huì)在關(guān)機(jī)之后自動(dòng)重新啟動(dòng)，而這正是那些攻擊者在利用它的時(shí)候所希望的。
2、如果系統(tǒng)已經(jīng)受到了威脅，立即備份文件系統(tǒng)，然后重新安裝操作系統(tǒng)并恢復(fù)文件系統(tǒng)。
3、安裝軟件產(chǎn)商提供的操作系統(tǒng)升級(jí)程序。如果升級(jí)程序是與系統(tǒng)安全相關(guān)的，那在安裝的時(shí)候尤其要注意。一定要仔細(xì)閱讀軟件產(chǎn)商的升級(jí)文件readme，因?yàn)橛行┥?jí)程序并不是測(cè)試得那么好，其中有些缺點(diǎn)可能反而對(duì)你的系統(tǒng)造成危害。
4、對(duì)服務(wù)器進(jìn)行保護(hù)。
關(guān)閉所有不必要的系統(tǒng)服務(wù)。操作系統(tǒng)所提供的許多服務(wù)并不是Web服務(wù)器所需要的，例如基于RPC的服務(wù)。要采取"先拒絕，再允許"的策略。除非這個(gè)服務(wù)是完全必要的，就先將其關(guān)閉。
首先要確定哪些基于程序的服務(wù)可以關(guān)閉，如FTP、 telnet等。在文件系統(tǒng)中，這些服務(wù)很容易找到，都是可執(zhí)行程序。 很多系統(tǒng)都曾受到緩沖區(qū)溢出漏洞的威脅。 檢測(cè)操作系統(tǒng)文檔，看看它是否在內(nèi)核級(jí)提供了以不可視的單獨(dú)程序形式存在的服務(wù)。例如，netmask服務(wù)就可以在內(nèi)核級(jí)運(yùn)行。這種情況下，首先確定可以設(shè)置哪些參數(shù)，然后關(guān)閉不必要的內(nèi)核級(jí)服務(wù)。 聯(lián)系操作系統(tǒng)供應(yīng)商，看看是否還有其它內(nèi)核級(jí)服務(wù)不在系統(tǒng)文檔內(nèi)，如果有的話,就應(yīng)該禁止它們。
一旦將所有這些不必要的服務(wù)都禁止之后，要對(duì)整個(gè)系統(tǒng)作一個(gè)加密校驗(yàn)和操作，以備今后出現(xiàn)疑點(diǎn)時(shí)使用。對(duì)于基于UNIX的系統(tǒng)，Tripwire能夠完成這個(gè)功能，詳細(xì)資料請(qǐng)參閱：http://www.tripwiresecurity.com/。http://www.cert.org/security-improvement/practices/p043.html有關(guān)于加密檢驗(yàn)和的詳細(xì)信息。 配置Web服務(wù)器軟件。首先要驗(yàn)證已經(jīng)安裝了最新版本的Web 服務(wù)器軟件。
其次，關(guān)閉Web 服務(wù)器軟件所提供的所有不必要服務(wù)，比如關(guān)閉不是必須的Java支持、CGI支持和服務(wù)器端腳本支持。 限制對(duì)服務(wù)器的物理訪問(wèn)。要采取適當(dāng)行動(dòng)，確保服務(wù)器只能被指定的系統(tǒng)管理員訪問(wèn)。如果侵入者能夠?qū)Ψ⻊?wù)器進(jìn)行物理訪問(wèn)的話，只需一張軟盤(pán)就能打敗全世界的安全保衛(wèi)措施。
許多組織都不把防火墻放在Internet服務(wù)器之前，這樣即使是防火墻能夠輕易阻止的探測(cè)和攻擊也無(wú)法阻擋。
默認(rèn)狀態(tài)下，服務(wù)器監(jiān)聽(tīng)來(lái)自標(biāo)準(zhǔn)端口的服務(wù)請(qǐng)求，并很自然地試圖處理這些請(qǐng)求。
服務(wù)器本來(lái)就是要在無(wú)人照料的情況下運(yùn)行的，所有一般不會(huì)有一個(gè)用戶現(xiàn)身來(lái)尋找不正常的動(dòng)作。
服務(wù)器還經(jīng)常需要遠(yuǎn)程管理，因此它們要接受來(lái)自用戶的遠(yuǎn)程連接，這些用戶通常具有非常強(qiáng)大的權(quán)限。
許多服務(wù)器都會(huì)在關(guān)機(jī)之后自動(dòng)重新啟動(dòng)，而這正是那些攻擊者在利用它的時(shí)候所希望的。
2、如果系統(tǒng)已經(jīng)受到了威脅，立即備份文件系統(tǒng)，然后重新安裝操作系統(tǒng)并恢復(fù)文件系統(tǒng)。
3、安裝軟件產(chǎn)商提供的操作系統(tǒng)升級(jí)程序。如果升級(jí)程序是與系統(tǒng)安全相關(guān)的，那在安裝的時(shí)候尤其要注意。一定要仔細(xì)閱讀軟件產(chǎn)商的升級(jí)文件readme，因?yàn)橛行┥?jí)程序并不是測(cè)試得那么好，其中有些缺點(diǎn)可能反而對(duì)你的系統(tǒng)造成危害。
4、對(duì)服務(wù)器進(jìn)行保護(hù)。
關(guān)閉所有不必要的系統(tǒng)服務(wù)。操作系統(tǒng)所提供的許多服務(wù)并不是Web服務(wù)器所需要的，例如基于RPC的服務(wù)。要采取"先拒絕，再允許"的策略。除非這個(gè)服務(wù)是完全必要的，就先將其關(guān)閉。
首先要確定哪些基于程序的服務(wù)可以關(guān)閉，如FTP、 telnet等。在文件系統(tǒng)中，這些服務(wù)很容易找到，都是可執(zhí)行程序。 很多系統(tǒng)都曾受到緩沖區(qū)溢出漏洞的威脅。 檢測(cè)操作系統(tǒng)文檔，看看它是否在內(nèi)核級(jí)提供了以不可視的單獨(dú)程序形式存在的服務(wù)。例如，netmask服務(wù)就可以在內(nèi)核級(jí)運(yùn)行。這種情況下，首先確定可以設(shè)置哪些參數(shù)，然后關(guān)閉不必要的內(nèi)核級(jí)服務(wù)。 聯(lián)系操作系統(tǒng)供應(yīng)商，看看是否還有其它內(nèi)核級(jí)服務(wù)不在系統(tǒng)文檔內(nèi)，如果有的話,就應(yīng)該禁止它們。
一旦將所有這些不必要的服務(wù)都禁止之后，要對(duì)整個(gè)系統(tǒng)作一個(gè)加密校驗(yàn)和操作，以備今后出現(xiàn)疑點(diǎn)時(shí)使用。對(duì)于基于UNIX的系統(tǒng)，Tripwire能夠完成這個(gè)功能，詳細(xì)資料請(qǐng)參閱：http://www.tripwiresecurity.com/。http://www.cert.org/security-improvement/practices/p043.html有關(guān)于加密檢驗(yàn)和的詳細(xì)信息。 配置Web服務(wù)器軟件。首先要驗(yàn)證已經(jīng)安裝了最新版本的Web 服務(wù)器軟件。
其次，關(guān)閉Web 服務(wù)器軟件所提供的所有不必要服務(wù)，比如關(guān)閉不是必須的Java支持、CGI支持和服務(wù)器端腳本支持。 限制對(duì)服務(wù)器的物理訪問(wèn)。要采取適當(dāng)行動(dòng)，確保服務(wù)器只能被指定的系統(tǒng)管理員訪問(wèn)。如果侵入者能夠?qū)Ψ⻊?wù)器進(jìn)行物理訪問(wèn)的話，只需一張軟盤(pán)就能打敗全世界的安全保衛(wèi)措施。
