Web利用法度比客戶端利用法度更難包管安然性，因?yàn)樗幌駑eb辦事器有四五個(gè)首要供給商的web辦事器，它有大年夜量的web利用法度和自定義腳本數(shù)量，并且每個(gè)都可能包含暗藏的縫隙。對(duì)開辟人員來講，確保利用法度安然的最好編制是利用建議的安然辦法和可以掃描代碼的軟件，并提示用戶暗藏的安然標(biāo)題問題。治理員需要按期掃描其Web站點(diǎn)中的縫隙。
利用法度的安然性主如果由利用法度的開辟者節(jié)制的。治理員可以緊固一些利用法度的安然性，可是假定利用法度本身不服安，便不成能確保其安然。
編寫安然的利用法度是堅(jiān)苦的，因?yàn)槔梅ǘ鹊母鱾€(gè)方面，如圖形用戶界面，收集連接，把持系統(tǒng)交互，和敏感數(shù)據(jù)的治理，需要大年夜量的安然常識(shí)以確保其安然。大年夜大都法度員不具有這方面的常識(shí)或不考慮用利用法度安然的首要性來衡量額外工作。
但從治理者的角度來看，有一些安然標(biāo)題問題要謹(jǐn)記在心：
◆運(yùn)行權(quán)限權(quán)限
◆利用法度治理
◆利用法度更新
◆與把持系統(tǒng)集成的安然性
◆長途治理安然
◆會(huì)話安然
要素一：運(yùn)行權(quán)限治理
治理員應(yīng)當(dāng)盡可能設(shè)置利用法度的低權(quán)限性。如許做可以避免多種電腦威脅：
◆假定利用法度被報(bào)復(fù)打擊者操縱，他們將具有益用法度的特權(quán)。假定該權(quán)限是足夠低的，報(bào)復(fù)打擊者將不克不及進(jìn)一步的報(bào)復(fù)打擊。
◆低權(quán)限呵護(hù)計(jì)較機(jī)免受嵌進(jìn)式木馬(在利用法度中)，因?yàn)榇胫媚抉R時(shí)具有較少的權(quán)限。
◆當(dāng)利用法度具有較低的權(quán)限，用戶將沒法保留敏感據(jù)區(qū)域的數(shù)據(jù)(如把持系統(tǒng)范疇)，乃至不克不及進(jìn)進(jìn)核心資本。
在開辟利用法度時(shí)，為了節(jié)流開辟時(shí)候，法度員常常做出臆斷。此中的一些假定，需要治理權(quán)限才能拜候。這當(dāng)然削減了編程時(shí)候，但它降落了治理員呵護(hù)系統(tǒng)安然的能力。當(dāng)通俗用戶被授予治理權(quán)限，可以刪除或拜候周圍的建設(shè)，威脅安然。
當(dāng)安裝法度時(shí)，因?yàn)榘惭b法度可能需要拜候敏感的把持系統(tǒng)目次，它凡是需要有更高的權(quán)限，乃至治理權(quán)限。最好是先在一個(gè)類似建設(shè)的測試計(jì)較機(jī)上安裝利用法度。如許，安裝在正式計(jì)較機(jī)之前，你可以看到是不是有標(biāo)題問題。假定利用法度并沒有較著啟事需要治理員權(quán)限，或你不信賴該利用法度，可以在沙盒中運(yùn)行它。沙盒是一個(gè)安然利用法度，它可以反對(duì)正在運(yùn)行的利用法度的系統(tǒng)調(diào)用，確保利用法度將只能拜候治理員承諾的資本。沙盒可以限制拜候注冊表，把持系統(tǒng)數(shù)據(jù)的目次和收集。將利用法度與敏感OS區(qū)域和其它用戶定義的敏感數(shù)據(jù)域隔分開來。
對(duì)開辟人員來講，確保利用法度安然的最好編制是利用建議的安然辦法和可以掃描代碼的軟件，并提示用戶暗藏的安然標(biāo)題問題。治理員需要按期掃描其Web站點(diǎn)中的縫隙。
要素二：利用法度治理
大年夜大都利用法度供給了一些接口進(jìn)行治理(首要用于利用法度建設(shè))，且每次施用編制會(huì)產(chǎn)生須解決的安然風(fēng)險(xiǎn)，如這些：
◆INI/ conf文件
◆GUI
◆基于Web的節(jié)制
治理的一個(gè)利用法度的最根基的編制是經(jīng)由過程基于文本的文件來節(jié)制它。為了呵護(hù)如許的利用法度，治理員需要限制拜候權(quán)限。假定文件存儲(chǔ)在本地，可以經(jīng)由過程內(nèi)置的OS權(quán)限治理系統(tǒng);假定文件存儲(chǔ)在其他處所，可以經(jīng)由過程利用身份驗(yàn)證登錄到長途存儲(chǔ)位置(確保認(rèn)證編制受呵護(hù))。
大年夜大都利用法度有一個(gè)圖形用戶界面用于治理它們。除在供給GUI級(jí)別的安然性，治理員應(yīng)當(dāng)對(duì)圖形用戶界面和利用法度之間的通信供給安然保障。
當(dāng)GUI和利用法度的物理位置在統(tǒng)一臺(tái)計(jì)較機(jī)時(shí)，治理員應(yīng)當(dāng)給GUI盡可能少的權(quán)限(如有需要，利用法度可以具有較高的權(quán)限)。
要素三：利用法度更新
利用最新的安然補(bǔ)丁使利用法度保持更新是你可以采納的最首要的安然辦法之一。本節(jié)會(huì)商一些輕松地更新利用法度的機(jī)制：
◆手動(dòng)更新
◆主動(dòng)更新
◆半主動(dòng)更新
◆物理更新
手動(dòng)更新
手動(dòng)更新需要治理員手工下載一個(gè)文件(或利用所供給的媒體,如CD)和相干的系統(tǒng)上安裝更新。這個(gè)選項(xiàng)是最不成取的,因?yàn)樗仁怪卫碚呋~外的時(shí)候來修補(bǔ)一個(gè)工作系統(tǒng)。手動(dòng)更新長短常常見的開源項(xiàng)目(好比Apache)。
主動(dòng)更新
當(dāng)利用法度利用主動(dòng)更新，它會(huì)按期在網(wǎng)站長進(jìn)行檢測，假定存在的話，它會(huì)下載并在系統(tǒng)上安裝它。用這類編制有兩個(gè)標(biāo)題問題：
帶寬利用：考慮上千臺(tái)計(jì)較機(jī)組織運(yùn)行不異的每天主動(dòng)更新的防病毒軟件。每天，統(tǒng)一個(gè)不異更新的副本被下載到不計(jì)其數(shù)運(yùn)行此法度的計(jì)較機(jī)。
安裝有標(biāo)題問題標(biāo)補(bǔ)?。河袝r(shí)補(bǔ)丁(廠商經(jīng)由過程發(fā)布更新軟件修復(fù)安然標(biāo)題問題和縫隙)會(huì)導(dǎo)致弊大年夜于利，因?yàn)檠a(bǔ)丁急于解決關(guān)頭標(biāo)題問題。開辟商不克不及預(yù)感所有可能的環(huán)境，補(bǔ)丁可以遏制利用法度或?qū)е路ǘ然靵y。這就是為甚么測試是需要的。
半主動(dòng)更新
有些利用法度承諾治理員決定甚么時(shí)辰下載更新。更新下載以后，利用法度將更新的下載的分派到所有連接的客戶端。
物理更新
利用實(shí)際收到的更新來更新系統(tǒng)。一個(gè)有目標(biāo)的報(bào)復(fù)打擊者可以經(jīng)由過程捏造一個(gè)看起來就像原版的但包含了木馬或其他歹意軟件的更新，成立一個(gè)“假的”補(bǔ)丁。為了抵擋此類報(bào)復(fù)打擊，治理員可以在廠商的網(wǎng)站查抄更新的大年夜小和CRC32簽名，并與實(shí)際副底蘊(yùn)比較。
要素四：與把持系統(tǒng)安然集成
當(dāng)一個(gè)利用法度集成了把持系統(tǒng)的安然性，它可利用的把持系統(tǒng)的安然信息，乃至在需要的時(shí)辰點(diǎn)竄把持系統(tǒng)。這有時(shí)是一個(gè)利用法度的需求，或是它可能會(huì)供給一個(gè)可選功能。把持系統(tǒng)安然集成承諾利用法度不管是在及時(shí)把持系統(tǒng)的進(jìn)口或拜候用戶及其權(quán)限的列表。想象一下，一個(gè)組織有幾千名員工的需要拜候中間企業(yè)資本打算(ERP )利用法度。治理員可以手動(dòng)輸進(jìn)上千個(gè)用戶進(jìn)進(jìn)ERP的治理節(jié)制臺(tái)，和他們的權(quán)限，但這類編制耗時(shí)且需要兩重治理。假定組織有一個(gè)以上的中間系統(tǒng)，需要用戶手動(dòng)錄進(jìn)，這類環(huán)境會(huì)更糟。
安然信息人工錄進(jìn)
一個(gè)利用法度可以承諾治理員導(dǎo)進(jìn)所有的用戶信息，并用它來治理利用法度認(rèn)證。當(dāng)然這類編制可能會(huì)加快利用擺設(shè)，以后還會(huì)有兩重治理。例如，當(dāng)一個(gè)雇員分開了組織，治理員既要從組織用戶列表中刪除用戶，也要從利用法度列表中刪除。
另外一個(gè)需要考慮的標(biāo)題問題是利用法度若何存儲(chǔ)用戶信息。它受呵護(hù)的嗎?加密?明文存儲(chǔ)?假定你不信賴你的利用法度的數(shù)據(jù)存儲(chǔ)安然，可以加密全部硬盤。
安然信息的主動(dòng)集成
安然信息的主動(dòng)集成承諾利用法度及時(shí)查詢把持系統(tǒng)的用戶憑證。如許，不管是最初的擺設(shè)時(shí)候和兩重治理標(biāo)題問題都解決了。不外，在這類環(huán)境下有兩個(gè)標(biāo)題問題：
假定OS的用戶數(shù)據(jù)庫被刪除或丟掉，利用法度不克不及拜候。
利用法度和把持系統(tǒng)之間的收集連接的用戶數(shù)據(jù)庫必需被呵護(hù)以避免報(bào)復(fù)打擊者***或利用假的辦事器獲得信息用戶的根據(jù)。
利用把持系統(tǒng)的安然授權(quán)
利用法度可利用把持系統(tǒng)安然授權(quán)。在這類環(huán)境下,利用法度設(shè)置一個(gè)特別的目次或資本(猶如享內(nèi)存，一個(gè)信道或定名管道)只能由用戶誰具有某些特權(quán)拜候和把持系統(tǒng)的呵護(hù)，拜候該目次或資本。
保持把持系統(tǒng)安然集成可選而不是需要
有時(shí)有需要擺設(shè)一個(gè)小型利用法度，該利用法度將利用只有一個(gè)或兩個(gè)把持系統(tǒng)的安然選項(xiàng)。假定利用法度迫使我們利用與把持系統(tǒng)安然集成的選項(xiàng)而掉落臂具體的利用處景的話，那么它成果只會(huì)降落安然(假定它利用一個(gè)不服安的編制)和降落擺設(shè)速度(因?yàn)槲覀冎挥幸粋€(gè)或兩個(gè)用戶)。別的,治理員可能不肯使利用法度可以或許點(diǎn)竄用戶目次(和暗藏的侵害)。
要素五：長途治理安然
今天的大年夜大都利用法度供給長途治理作為其功能的一部門， 關(guān)頭它是安然的。假定報(bào)復(fù)打擊者設(shè)法滲入到治理舉措措施，其他安然辦法可以被粉碎或繞過。各類啟事證實(shí)需要長途治理：
◆轉(zhuǎn)移辦事器:治理員需要一個(gè)接口來治理所有的轉(zhuǎn)移Web辦事器(那些屬于組織系統(tǒng)的電腦，實(shí)際位于ISP)。
◆外包辦事:治理安然產(chǎn)品需要一些組織不具有的常識(shí)，所以他們常常將他們的全部安然治理外包給專門從事該范疇的公司。為了節(jié)儉成本，該公司需要經(jīng)由過程互聯(lián)網(wǎng)來治理所有的安然產(chǎn)品。
◆物理距離:治理員可能需要治理組織中大年夜量的計(jì)較機(jī)。有些組織超越幾棟建筑(或城市)進(jìn)進(jìn)計(jì)較機(jī) ，是一個(gè)繁瑣而耗時(shí)的任務(wù)。別的，物理拜候可以被限制為實(shí)際的數(shù)據(jù)中間。
利用Web界面進(jìn)行長途治理
利用Web界面來長途治理利用法度或計(jì)較機(jī)有良多的長處，但它也有成本，和一些優(yōu)錯(cuò)誤謬誤。以下為長途W(wǎng)eb治理的一些長處：
◆快速的開辟時(shí)候:在開辟，調(diào)試和擺設(shè)方面，開辟一個(gè)web界面比開辟一個(gè)GUI客戶端快。
◆把持系統(tǒng)撐持:可以經(jīng)由過程瀏覽器從所有首要的把持系統(tǒng)拜候Web接口(除非開辟人員利用的特定把持系統(tǒng)解決方案，如ActiveX ，這只能在Windows上運(yùn)行)。
◆可拜候性:一個(gè)Web界面可以從Internet上的任何位置進(jìn)行拜候。即便治理員不在辦公室也能夠進(jìn)行治理。
◆用戶的進(jìn)修曲線:治理員知道若何利用瀏覽器，是以治理員進(jìn)修曲線會(huì)更短。
◆當(dāng)然長途W(wǎng)eb治理有一些錯(cuò)誤謬誤，但對(duì)大年夜大都治理員他們都眇乎小哉。但仍是該當(dāng)寄望：
◆可拜候性:因?yàn)閃eb治理可以從任何處所拜候，是以黑客想要報(bào)復(fù)打擊也是可以的。
◆瀏覽器節(jié)制:因?yàn)闉g覽器節(jié)制接口，報(bào)復(fù)打擊者不需要設(shè)計(jì)特別的產(chǎn)品來節(jié)制GUI (可能很難超越的) 。
◆撐持:基于Web的利用法度凡是更容易于撐持和保護(hù)。
驗(yàn)證基于Web的長途治理
當(dāng)連接到長途web治理界面，第一關(guān)要明白的是認(rèn)證過程。假定驗(yàn)證較弱，報(bào)復(fù)打擊者可以繞過它節(jié)制利用法度或計(jì)較機(jī)。
HTTP身份驗(yàn)證編制
深進(jìn)研究長途治理的標(biāo)題問題，經(jīng)由過程現(xiàn)有可用來驗(yàn)證HTTP連接今朝的編制是很是首要的：
◆基本身份驗(yàn)證:當(dāng)一個(gè)頁面需要基本身份驗(yàn)證，它答復(fù)到瀏覽器的弊端代碼為401 (未授權(quán)) ，并指定基本身份驗(yàn)證是必需的。瀏覽器利用BASE64的編碼用戶名和暗碼編碼，并將其發(fā)送回辦事器。假定登錄成功，辦事器返回代碼200 ，這意味著一切順利 。假定登錄掉敗，則答復(fù)和之前不異的401弊端代碼。
◆簡要身份驗(yàn)證:簡要身份驗(yàn)證經(jīng)由過程由Web辦事器供給的一個(gè)挑戰(zhàn)，用MD5分化用戶名和暗碼。
◆安然套接層(SSL ): SSL可以被建設(shè)為要求供給客戶端證書(可選)，當(dāng)他們有一個(gè)已知的證書的時(shí)辰驗(yàn)證用戶身份。
◆加密的基本身份驗(yàn)證:基本身份驗(yàn)證可以與常規(guī)的SSL(安然套接層)連絡(luò)起來利用。由此對(duì)包含BASE64編碼(這是一種很是虧弱的編碼，很等閑被解碼是以不是加密)的用戶名及暗碼在內(nèi)的全部會(huì)話進(jìn)行加密。
◆驗(yàn)證碼:這是一個(gè)比較風(fēng)行的編制用來驗(yàn)證人的另外一端是一小我類。它經(jīng)由過程揭示一個(gè)被扭曲的人體圖象的字母和數(shù)字,要求用戶準(zhǔn)確輸進(jìn)以達(dá)到驗(yàn)證目標(biāo)。
呵護(hù)收集層面的長途治理
安然登錄到收集治理的辦事器的最好解決方案是要么利用常規(guī)SSL或是加密的基本身份驗(yàn)證，此中常規(guī)SSL可以查抄客戶端證書(SSL同時(shí)還可以針對(duì)第三方證書權(quán)勢巨子機(jī)構(gòu)來驗(yàn)證這個(gè)辦事器是不是就是你想要連接的那一個(gè))。另外一個(gè)選擇是利用安然的自定義登岸(需要與辦事器腳本一路實(shí)施)，但這可能包含收集報(bào)復(fù)打擊。
自定義長途治理
網(wǎng)管會(huì)用GUI(圖形用戶界面)或利用法度節(jié)制臺(tái)來對(duì)一些法度過程長途節(jié)制，這類類型的法度包含SQL(數(shù)據(jù)庫)辦事器、互換辦事器、防火墻和進(jìn)侵檢測系統(tǒng)(IDS)等等。一個(gè)利用也可能用探頭節(jié)制客戶端，一個(gè)IDS便可以做到。專有收集連接有一些安然標(biāo)題問題需要解決(收集連接就是此中一個(gè))。與收集長途治理一樣，自定義長途治理也是既有長處也有錯(cuò)誤謬誤。
自定義長途治理的長處：
◆復(fù)雜的圖形:有時(shí)節(jié)制臺(tái)需要閃現(xiàn)的復(fù)雜圖形在通俗的收集治理界面中沒法顯示
◆身份驗(yàn)證和加密:利用法度可利用一個(gè)更強(qiáng)大年夜驗(yàn)證編制或更強(qiáng)的加密編制來確保會(huì)話的安然(好比利用SSL不撐持的更大年夜的密鑰長度)
◆可用性:這類利用只能被專門的GUI來節(jié)制，報(bào)復(fù)打擊者必需要將這類專門的GUI安裝在本身的電腦上(而進(jìn)進(jìn)和安裝這類GUI都不必然能實(shí)現(xiàn))
◆當(dāng)然自定義的長途治理也有一些錯(cuò)誤謬誤，但他們對(duì)大年夜大都治理員來講凡是不是出格首要。但是，它們也值得寄望:
◆特定的把持系統(tǒng):一些供給商要求用特定的OS來運(yùn)行節(jié)制GUI，假定這類特定的OS沒有被安裝，治理者必需要本身安裝(假定把持系統(tǒng)不是免費(fèi)，治理者還需要破鈔額外的成本)。
◆不成用性:只有裝有GUI的電腦才可以治理該利用，假定治理員不在辦公室，那么很有可能沒有編制在其他電腦上治理該利用。
要素六:會(huì)話安然
客戶端(GUI或節(jié)制臺(tái))與利用法度之間的會(huì)話安然十分首要，不然，報(bào)復(fù)打擊者可能可以或許獲得信息，盜取根據(jù)，乃至進(jìn)行重放報(bào)復(fù)打擊。假定會(huì)話被稱為是不服安的，治理員可以很等閑地經(jīng)由過程VPN或安然地道(SSH)將其傳遞到安然位置。
有些利用法度利用把持系統(tǒng)的收集辦事，如長途過程調(diào)用(RPC)或漫衍式組件對(duì)象模型(DCOM)，它承諾治理員添加數(shù)據(jù)的完全性，加密和身份驗(yàn)證。假定你不信賴的把持系統(tǒng)安然的辦法，你可以經(jīng)由過程VPN連接來打通收集連接的通道。
總的來講，就像Web利用法度的連接，假定是利用法度不撐持的選項(xiàng)，我們不克不及逼迫其安然通信。解決的編制是要么利用VPN或經(jīng)由過程一個(gè)安然會(huì)話(SSH)打通數(shù)據(jù)會(huì)話的通道。