6. Слід гарантувати постійне функціонування системи забезпечення безпеки.

Підтримка безпечного функціонування web-сервера вимагає постійних зусиль і наявності достатньої кількості ресурсів. Підтримка безпеки web-сервера зазвичай включає наступні кроки:

• своєчасне застосування patch-ей і upgrade-ів;

• конфігурація, захист і аналіз лог файлів;

• часте виконання back up-а критичної інформації;

• підтримка захищених копій web-вмісту;

• визначення процедур відновлення при компрометації і проходження ним при виявленні проникнення;

• періодичне тестування безпеки.

Розглянемо загальні принципи, які застосовні до всіх систем.

1.3. Причини уразливості web-сервера

Основні проблеми, пов'язані з безпекою функціонування публічно доступного web-сайта, виникають по наступних причинах:

• Неправильна конфігурація або інша некоректна дія над web-сервером, яка може привести до розкриття або зміни інформації.

• Уразливості ПО web-сервера, які можуть допускати, наприклад, щоб той, що атакує компрометував безпеку сервера або інших хостів в мережі.

• Неадекватні механізми захисту web-сервера, передбачені в його оточенні.

• ПО на стороні сервера (скрипти, JSP, ASP і тому подібне), яке містить помилки, що дозволяють що атакує компрометувати безпеку web-сервера.

1.4. Планування розгортання web-сервера

При плануванні розгортання web-сервера слід розглянути наступні пункти:

• Визначити цілі web-сервера;

  • Які категорії інформації зберігатимуться в web-сервері.

  • Які категорії інформації оброблятимуться або передаватимуться через web-сервер.

  • Які вимоги безпеки для даної інформації.

  • Чи існує інформація, яка отримана з іншого сервера або зберігається на іншому сервері (наприклад, backend база даних, поштовий сервер, проксі-сервер).

  • Які ще сервіси надає web-сервер (чи повинен web-сервер виконуватися на віддаленому хості).

  • Які вимоги безпеки для цих додаткових сервісів.

• Визначити мережеві сервіси, які надаватиме web-сервер, і використовувані при цьому протоколи:

  • НТТР, Нттрs, SOAP і тому подібне – протоколи взаємодії з клієнтами.

  • ODBC, JDBC, LDAP, LDAPS, NFS і тому подібне – протоколи взаємодії з backend-системами.

• Визначити все необхідне ПО, яке потрібне для підтримки функціонування web-сервера;

• Визначити категорії користувачів web-сервера і всіх backend-систем;

• Визначити способи аутентифікації користувачів і web-сервера і способи захисту аутентифікаційних даних;

• Визначити, як надаватиметься відповідний доступ до інформаційних ресурсів.

2. Безпека ос, що лежить в основі web-сервера

Першим кроком в забезпеченні безпеки web-сервера є забезпечення безпеки ОС, що лежить в його основі. Більшість загальнодоступних web-серверів функціонують на ОС загального призначення. Багатьох проблем безпеки можна уникнути, якщо ОС відповідним чином конфігурована. Конфігурації за умовчанням апаратури і ПО зазвичай поставляються виробниками з упором на можливості безпечного функціонування і можливості легкого розширення. Оскільки виробники не знають потреби безпеки кожної організації, кожен web-адміністратор повинен конфігурувати нові сервери відповідно до вимог безпеки своєї організації.

Дана технологія в різних ОС може сильно відрізнятися. Також можуть існувати деякі автоматизовані інструментальні засоби для настройки ОС з погляду безпеки.

Вибір застосування web-сервера може визначатися вибором ОС. Проте по можливості web-адміністратори повинні вибрати ОС, яка забезпечує наступне:

• можливість обмежити діяльність адміністративного рівня або рівня root тільки авторизованими користувачами;

• можливість управляти доступом до даних на сервері;

• можливість заборонити мережеві сервіси, що не є необхідними, які вбудовані в ПО ОС або сервера;

• можливість управління доступом до різних форм здійснимих програм, таких як CGI-скрипти і plug-ins, на стороні сервера;

• можливість записувати в лог відповідну діяльність сервера для визначення проникнення і спроб проникнення.