[其他信息]phpwind 官方论坛：第50期插播访谈-站长朋友们如何做好服务器和网站安全 [复制链接]

  
Php访谈预告：
第50期phpwind在线访谈即将全球同步直播：
访谈时间： 2012年10月31日 下午14：00-15：50
主题：站长朋友们如何做好服务器和网站安全
主持人：客串  @骨头
嘉宾：安全狗 技术总监 陈奋
嘉宾介绍
安全狗（www.safedog.cn）是国内首款支持Windows全系列服务器操作系统（Windows2003/Windows2008 32位 64位）和Linux系统的基于内核级的服务器安全防护软件，软件采用NDIS中间层驱动模式，从驱动层直接屏蔽攻击，可以将针对服务器的攻击带来的损失降低到最小，最大程度地保护用户服务器的安全。

主题内容包括：
1、分享安全狗软件和安全狗云安全中心的主要功能
2、与站长朋友们分享如何做好服务器和网站安全
3、站长在选择使用phpwind后，需要注意哪些安全问题

1、phpwind高端站长俱乐部
2、东北地区地方门户群：39882425
3、西北地区地方门户群：105017646
4、华北地区地方门户群：28680596
5、华东地区地方门户群：84693271  
6、中南地区地方门户群：81617290
7、西南地区地方门户群：104761608
8、行业社区发展讨论1群：110121522
9、行业社区发展讨论2群：79198468
10、在线访谈直播群：173845246会议内容记录：
主持人（骨头）：
大家好！phpwind访谈又跟大家见面了，大家都知道网站安全一直是站长关注的问题，服务器是否稳定，服务器安全问题如何设置，如何进行服务器的主动防护，有了流量以后如何保证网站安全问题等等，这些都是个人站长想熟悉但又了解相对较少的问题。　　10月31日周三PHP访谈活动邀请安全狗技术总监-陈奋与我们一起分享服务器和网站安全相关问题。

鉴于本次访谈约万人互联网从业朋友在线阅读，为了给所有关注的朋友一个良好的观阅体验，在主持人和嘉宾访谈过程中，请尽量不要发言以免干扰嘉宾（欢迎掌声给力）有问题需要向嘉宾探讨的朋友，提问http://www.phpwind.net/read-htm-tid-2756312.html

您好，陈总，给大家介绍一下安全狗吧？
主持人好，大家好。安全狗软件致力于解决服务器安全和网站安全面临的问题，目前安全狗产品包括了服务器安全狗、网站安全狗及安全狗云中心等一系列面向服务器及网站安全的软件，核心功能包括：
1、面向网站安全的
l  网马扫描及查杀（自有引擎，只针对网页木马）；
l  网马主动防御功能（可主动拦截网马上传和访问的动作）；
l  防SQL注入功能、防XSS跨站攻击功能；
l  防盗链防下载；
l  防止CC攻击；
2、面向服务器安全的
l  基于内核驱动的抗DDOS攻击、抗ARP攻击、抗WEB CC攻击功能；
l  基于内核驱动的文件系统主动保护功能（可防止文件被篡改、保护系统文件）；
l  基于内核驱动的服务器其他方面的主动防御功能（系统账号、注册表、远程登陆等方面的保护）；
l  服务器全面优化及体检功能；
3、基于云端的监控和保护
    安全狗云中心利用云计算技术，为用户构造一个全面的服务器和网站的监控和防护平台，利用这个平台，用户可以做到：
l  全方位24小时的服务器健康监控、资源监控和资源告警
l  全方位24小时的服务器可用性监控
l  全方位的网站安全云扫描，及时发现网站存在的各种漏洞
l  基于云端技术的网站防篡改功能，保障网站文件不被非法修改

能不能说说安全狗的工作原理呢? 比如在NDIS中间层驱动工作原理?
    安全狗的其实就是一个安全软件，我们跟传统的杀毒软件相同点在于，我们都是利用系统驱动层来开发各种主动防御的功能，如DDOS防火墙、ARP防火墙、系统账号保护和文件系统保护等。 传统的杀毒软件更偏向于内定好的规则，如病毒库和一些行为特征来对病毒进行控制和查杀。
    而安全狗除了一些内定好的规则外，开放更多的接口让用户来自定义满足自己要求的规则，特别是针对服务器安全防御方面。您提到的NDIS驱动，是服务器安全狗DDOS防火墙的一个核心驱动模块，运行中系统驱动中间层，也就是NDIS层。这个层级在系统的底层，网络数据包括来后，会首先被服务器安全狗检测，发现攻击就会立即拦截。
我们都知道网站安全主要取决于服务器安全，市场上有很多服务器安全防护软件，请问安全狗产品与这些产品有什么区别呢？
     首先，我们提供的是免费的优质产品加服务的概念，用户可以在我们的官网直接免费下载安装软件，在使用过程中如果遇到任何与安全狗产品相关的问题，都可以获得我们客服人员、技术支持人员的帮助。其次，我们的产品采用内核驱动的方式，将资源耗用降到最低，在几乎不对服务器、网站运营产生影响的情况下，最大程度保护服务器和网站安全。再次，针对大部分个人站长对服务器安全配置不够熟悉的情况，我们努力将产品打造成简便、快速、安装之后无需进行任何配置即可上手使用的傻瓜式服务器安全防护软件。
一直在说网站安全，嘉宾能不能详细说说网站安全包括哪些信息呢? 具体说说几个平时常见的安全问题。
网站安全要从以下几个方面来入手。
1、服务器环境安全：网站安全离不开网站所在的服务器的安全，因此首先要保证服务器安全。
1) 首先要做好服务器系统的环境配置，包括目录权限，如一般C盘根目录只保留Administrator和System权限；
2) 其次要关闭服务器上不需要开放的端口，您可以直接用服务器安全狗的安全策略一键开启端口保护，也可以用系统安全策略；
3) 关闭系统上不需要的服务，服务器安全设置网上都有很多教材，大家可以学习下。
2、网站权限安全：网站的权限要进行一定控制，一般针对网站我们要单独建立用户，用IIS来举例(IIS被攻击的情况较多)：
1) 首先独立建立一个用户组，权限跟GUEST用户组类似；
2) 为每个网站建立一个属于这个用户组的帐户(不使用IIS默认的)；
3) 根据第一个服务器目录权限优化后，这个新建的网站用户一般只能访问到该网站下目录。
3、网站自身的安全：一般针对网站的攻击包括SQL注入攻击、跨站脚本攻击(XSS)以及黑客针对上传漏洞上传网马、挂马、挂黑链 以及篡改方面等。要避免上述攻击，可以采取几个手段：
1) 网站代码本身的安全性，特别针对数据库操作的，要尽量过滤一些敏感的字符，如上引号等；
2) 针对上传文件的部分代码，要严格限制上传文件的后缀；
3) 可以采用第三方的防御工具进行保护，如网站安全狗这个产品，就是专门针对网站攻击而开发的。
个人站长，如何避免被黑或是被攻击，应该注意些什么?
针对网站的安全防范，首先就是要做好环境的权限设置；其次就是结合安全软件进行进一步的主动防御。大部分站长服务器安全知识不是很丰富，建议可以借助安全狗这样比较容易上手的安全软件进行安全防范。
怎么才能避免被攻击，或者避免受影响呢?
正如您所说没有绝对的安全，这一年很多轰动的攻击都是针对一些大网站。做为我们普通的用户，我们最重要是做好平时的防范工作，尽量让损失降到最低。安全狗软件，开发的目的也就是希望能帮助广大的用户提高这方面的防范能力。
总是有人不断来挑战我们的防御安全，有没有什么办法可以保证网站安全一直不被攻破?
正如我前面回复的那个问题，没有绝对的安全，服务器安全和网站安全更是一个综合的系统工程。站长朋友们可以通过几个方面来尽可能做到一定程度的安全：
1）尽可能的开放最小的用户权限给网站（在网站正常运行的基础上）
2）安装面向服务器安全和网站安全的防护软件，如安全狗，并做到开启大部分的防护功能，尽可能的为网站提供保护功能
3）平时做好服务器和网站的日志检查工作，尽可能的发现一些异常问题
使用PHPWIND网站程序后，是否还需要是用安全狗保护？
PHPWIND是一款优秀的论坛网站程序，有着众多的站长用户。PHPWIND本来程序来说，是相对比较安全的一个网站程序，经过多年的开发积累，在安全开发和安全保护方面也形成了一些自己的机制。但是网站安全总是相对，未知的漏洞或者其他一些尝试性的攻击以及网站资源的保护，还是可以借助安全软件来做进一步加固，所以建议是利用安全狗软件配合使用，起到更好的保护效果。
服务器搭建好PHPWIND网站程序后，网站安全和服务器安全要怎么做？
步骤基本上是一致的，首先还是对网站的用户权限进行控制；其次对PHPWIND网站所在目录的权限做限制（当然要保证PHPWIND能够正确运行的权限下）；最后安装安全狗软件进行全面的防护设置工作。
PHPWIND搭建的网站，是否会跟安全狗软件冲突？
安全狗软件是独立运作在操作系统底层的，因为不会跟网站的任何配置冲突，可以放心安装使用。目前据我们调查，已经有非常多使用PHPWIND网站的用户，同时使用安全狗软件。
安全狗能防止PHPWIND搭建的网站被篡改吗？
可以通过几个途径来保护PHPWIND搭建的网站不被篡改：（1）利用服务器安全狗的文件保护功能，保证文件不被修改：（2）利用安全狗云中心提供的云防篡改服务进行网页防篡改保护，这种机制更安全、更全面。


陈总，我在你们的网站上看安全狗云安全中心公测的消息，请问安全狗云安全中心是一个怎样的平台？  安全狗是否免费， 能不能使用在linux平台上呢？
“安全狗云安全中心”是我们今年重点研发的云计算安全产品，通过部署在用户服务器上的两款免费的安全狗软件，结合云端技术（云计算技术），提供包括网站安全扫描、网站安全监控、网页云防篡改、服务器安全监控、安全告警、安全设置等全方位立体的服务器安全保护服务。
主要功能有以下几项：
1.        服务器管理：用户可将安装有安全狗软件的服务器统一到“云安全中心”进行管理，同时结合安全狗软件对服务器的健康状态进行统一管理；
2.        服务器资源主动监控：包括服务器的CPU使用率、内存使用率、磁盘使用率、网络流量使用率等各种资源信息可以进行主动监控，同时可定制各种临界的告警条件；
3.        网页云防篡改：将WEB容器内嵌技术、驱动技术和云计算技术相结合，提供一种基于SaaS模式的网页防篡改服务；
4.        网站安全扫描：提供针对网站常见漏洞的扫描服务，包括注入漏洞扫描、跨站漏洞扫描等，同时可定时对用户的网站进行安全扫描，帮助用户及时发现危险问题。未来我们还会集成更多的云中心功能，全面满足用户的各种需求。
  第二：安全狗永久免费 ，我们的基础软件，也就是你们现在用到的服务器安全狗、网站安全狗软件是永久免费的，而且我们现在投入很大的研发力量来不断完善这个产品，目的就是能让大家平时做服务器安全能够更加容易、更加方便。我们收费这块后面会在安全狗云安全中心陆续推出一些高级的功能（如网页云防篡改、服务器云备份、服务器应急响应等）进行收费，这些功能主要面向一些需求比较特殊的用户。同时，我们针对企业用户推出企业服务项目，为企业级用户的高端服务器安全维护和设置需求提供周全的服务。但基础软件和基础服务，对于广大的用户肯定会一直免费的。
  第三：关于linux服务器，我们目前已经有配套的服务器安全狗linux版，和网站安全狗linux版，我简单介绍下我们接下来的开发计划：
1、服务器安全狗：11月份将发布全新的V4.0版本，全面升级安全狗防火墙模块，更智能、更稳定的服务器网络保护，以及整体界面进行进一步美化和人性化改进。
2、网站安全狗：12月份将发布全新的V3.0版本，进一步增加网站的主动防御功能和网页木马查杀的功能，以及整体界面进行进一步美化和人性化改进。
同时Linux版本也将会有新版本发布，包括服务器安全狗LinuxV2.1 版本也将在11月左右发布，将提供更加丰富的Linux系统防御。网站安全狗的Linux版本，我们已经在做Ngix等其他WEB容器的研究，今年也会陆续发布新的版本。
同时我们的安全狗云安全中心会不断进行优化升级，预计到今年年底完成公测，明年正式投入运营。
非常好，谢谢陈总，谢谢安全狗的支持。  由于时间关系，我们本期的访谈就到此结束， 访谈内容整理在 http://www.phpwind.net/read-htm-tid-2756312.html ，大家有什么问题和疑问可以到贴子里提出，安全狗的同学会跟进问题， 我们工作人员会将对提出问题的站长朋友提供代阿里云服务器金券奖励（送钱哦）。