2022年web服务器安全标准

1、Web服务器安全标准题目Web 服务器安全标准文档状态草案文档编号西安石油高校信息中心文档发布单位审批者版本号版本历史版本日期0.01初稿2022.11.300.02初审更换稿2022.12.01003 .1.1批准发布终稿前言和文档把握 此文档是西安石油高校制定发布的有关信息安全政策规定、处理流程、 行业标准和指导 看法的系列文档之一；该文档应保证至少一年审核一次,以保证其有效性；在没有得到文档发布者的明确授权下,此文档的全部或部分内容,均不得重制或发布；1 / 5目录1 目的 . 32 范畴 . 33 责任 . 34 Web服务器安全要求 . 34.1 总就 . 34.2 网络安全 . 3

2、4.3 流量过滤 .34.4 合规性 . 44.5 数据爱惜 . 44.6 输入和输出治理 . 44.7 安全代码 / 应用 / 插件 . 42 / 51目的本标准的目标是为了发布本文档所列标准的目的是为了爱惜学校网站和相关信息资产；确保：依据现有正确的实践体会,在全校统一部署安全把握措施,以排除或者最低限 度的削减系统漏洞和其他安全隐患；学校能在信息安全的完善方面更便利的有据监管、懂得风险和评估改进；全部的院系部门和网站开发人员都能明白相应的安全需求 2 范畴所列标准适用于学校全部的web网站服务器,包括：学校内部或第三方建设、选购、部署、修改和爱惜的；具体为：全部仅限内部和面对公共的 we

3、b服务器全部由外部供应商托管的面对公共的 web服务器3全部通过学校或者代表学校的 web服务器建设、选购、部署、修改和爱惜的责任以下学校实体具体的信息安全责任学校信息化委员会信息安全部门领导信息安全小组 应支撑学校中意信息安全功能和防护的各项要求；学院和部门领导 对所在部门的信息安全负有义务和责任；Web服务器用户 对其处理的信息负有安全责任；4Web服务器安全要求以防止过度依靠单一4.1总就4.1.1基于风险分析的深度信息安全防范手段应被接受,包括：安全控件在Web服务器的每一层次上都应部署,安全防护手段； 在全部 Web服务器上应部署最基本的安全把握措施,以解决常见风险； 安全把握措施应

4、当是务实的、易于部署、有效和可以衡量的；4.1.2 在虚拟化环境中,全部能考虑到的安全因素都应当适用于主机系统、虚拟机治理层和虚拟化治理工具；4.1.3 渗透性测试每年至少执行一次,并且在重要系统架构部署、应用升级或修改后,都应测试；4.1.4 每季度应执行一次漏洞扫描；4.2 网络安全4.2.1 安全把握措施应涵盖每一个活跃版本的网络协议,包括 IPv4 和 IPv6 ；4.2.2 Web服务器都应支配相应的静态 IP 地址,除了需要部署动态域名系统技术以实现负载均衡的服务器；4.2.3 只使用唯独可信的授权 DNS来源,防止受到 DNS劫持和攻击；4.2.4 全部的非 console 口治

5、理员级别的拜望应使用高强度加密手段进行加密；4.3 流量过滤4.3.1 只有从 Internet 到特定的 IP 地址和授权的公共可用服务、协议和端口的入站流量是答应的；4.3.2 从 Web服务器的非授权出站流量是禁止的；3 / 54.3.3加固 TCP/IP 堆栈能爱惜Web服务器抵抗拒绝服务攻击,可以接受类似禁用4.4ICMP重定向, SYN攻击爱惜和禁用 IP 源路由这些手段；合规性4.4.1 全部相关监管和法律要求应当予以鉴别和记录；4.5数据爱惜Web内容）和操作系统文件（Web服务器软件）应当分别存4.5.1应用程序数据（储在不同的磁盘规律分区或物理分区；4.5.2 数据储备在数

6、量和时间上的限制应依据法律要求、治理规定和业务要求,并要遵守相关的数据留存规定；4.5.3 保密数据（包括日志文件）在文件拜望和共享上应最小权限,这些数据文件包括： 验证文件； 日志文件； 备份文件； 保密的应用程序数据； 灾难复原文件；4.5.4 任何数据库都应禁止直接拜望,全部的拜望都应通过编程化的方法；4.5.5 只有数据库治理员有权限直接拜望和查询数据库；4.5.6 数据库应用程序的 ID 只能被应用程序本身所使用；4.5.7 保密和内部数据（包括全部的验证数据）在传输过程中应使用强加密爱惜；4.5.8 全部启用了 SSL的资源都应禁用 HTTP拜望；4.5.9 全部的 SSL弱密码都

7、应在服务器上禁用；4.5.10 在密钥的交换和储备中应接受安全密钥治理流程；4.5.11 只有来自可信源的 SSL认证才能被使用；4.5.12 不再需要的旧数据和备份文件应当删除；4.5.13 已删除的文件应在操作系统级别完全删除；4.5.14 服务器硬件硬盘在废弃或移作他用之前,应对其使用低格式化工具,磁化或物理损毁来安全排除数据,防止数据内容被重建复原；4.5.15全部非必要的共享 （包括默认治理员共享）应被移除, 基于角色的接入共享应被禁止；4.6 输入和输出治理4.6.1 应使用参数化 SQL查询以防止 SQL注入攻击；4.6.2 全部用户输入的字段都应验证；4.6.3 为防止跨站请求

8、伪造,应在全部的请求中添加唯独的 token 并验证；4.6.4 上传文件的大小、 类型和内容都应验证, 以确保不掩盖已有文件的目标路径；4.6.5 内容安全策略或者跨站脚本在 http 头中验证防护应部署,以抵抗一般的反射性跨站脚本攻击；4.6.6应依据当前漏洞治理的正确做法（如OWASP指南,乌云平台等） ,对其他普遍漏洞供应适当的防护；4.7 安全代码 / 应用/ 插件4.7.1 应评估第三方应用的安全性,其应用部署需得到相关服务拥有者的批准；4.7.2 开发人员在代码安全技术上应有必要的培训,包括如何防止一般代码漏洞和懂得敏捷数据如何在内存中处理；4.7.3应用程序的开发应基于安全代码指南；4 / 54.7.4 自定义代码在部署到生产环境之间应审核代码漏洞；4.7.5 测试程序