Web建站安全防护建议

发布时间：2020-06-08 18:02:54 来源：网络阅读：307 作者：Sides8 栏目：安全技术

最近自己建了个网站，网站安全搞了一阵，闲来没事就写写总结，方便以后查看。

服务器上能少开的端口就少开
服务器最好禁ping
服务器最好使用秘钥登录，禁止root账号登录
应用程序千万不要使用root启动！！mysql、nginx、java程序这些最好用其他用户启动。还有，运行的用户不允许对源代码有修改的权限！
程序如果有上传文件的功能，相应的目录不能有执行的权限。
关于暴露服务器真实ip的问题，如果作为web网站，除了购买高仿IP，好像别无选择。。我的网站目前没管，用cdn好像也没多大作用
对于公开访问的网站，一定要做好防xss、CSRF、sql注入***，具体如何防御，请百度。对于ddos***，就别想防了，不过阿里云有5G的免费防御可以用，超了没法，早点洗洗睡吧！有钱人另说
千万不要以为用户的输入是合法的，一定要控制输入的内容。要采取防御式的方式去处理应用。确保应用的安全。一般我们提倡的是：防御式架构和防御式编程
服务器最好装个fail2ban，开启sshd、sshd-ddos、mysql防护，另外配合nginx监控日志来防护，目前记得的就这些
nginx做好网站限流配置
修改linux系统内核参数配置，sysctl.conf

现在的技术已经很发达了，网络安全防不胜防，没有百分百的安全，上面的建议对于一般的公司网站来说，差不多够用了。暂时想到这么多，后面想到再补充吧！

向AI问一下细节

猜你喜欢