【TechTarget中国原创】保持Web站点安全不是一件仅仅依赖于防火墙或者期望有些短期修理就会阻止这个问题重新出现的事。它是一个持续的任务。按照构造方法，你能使你的安全管理任务更容易些，并增加你的成功机会。

　　安全生命周期

　　服务器的初始加固和配置仅仅基于在设置时所知道的事实。以一个连续时间为基础评价一个系统确保它的安全与能够影响系统和减小未来攻击效力的科技变化相适应并随之发展。

　　生命周期方法学

　　生命周期管理过程用一系列标准的，可重复的程序来升级、评价和防护一个站点。标准化确保对软件配置的适当控制，并保证任务以有序的可预测的方式被执行。标准化也确保没有任务被忘记或者未被完成。有明确定义的政策指导方针的组织确保对问题的回应也是被恰当地隐藏着的。

　　生命周期管理意味着长期观察和实现主动防御和被动防御策略。例如定期漏洞评估确保你保持安全（主动），评估你的策略是否支持快速事件反应（被动）。始终确保那些负责安全的人有经过培训并有时间去做这个工作。让一个没有时间或知识来有效地分析的人去履行定期日志审查的任务是没有什么意义的。

　　评估漏洞

　　漏洞评估在安全生命周期里是一个关键过程。他们决定了系统的安全健康证书。他们应该被计划成为你的安全维护过程的一个规则部分，因为漏洞是持续被发现的。你能用同样的或者相似的工具来对付那些黑客，以确保你的站点面对外界攻击时是安全的。以下是我推荐的一些免费工具：

www.insecure.org/nmap的网络扫描器（Nmap）
www.nessus.org的Nessus
www.microsoft.com/technet/security/tools/mbsahome.mspx的微软Security Baseline Ananlyzer

　　另一个选择就是雇佣一个红队（伦理黑客）来攻击你的系统从而揭开系统漏洞。这个伦理攻击是攻击的控制模拟。任何被红队发现的漏洞在真正攻击发生前进行修补。模拟攻击也为你的安全团队提供了攻击反应的实际训练。

　　对入侵的响应

　　尽管你尽最大努力，你的服务器还是可能被成功攻入。首先，咨询你的安全策略，你的安全策略包含了处理这些攻击的步骤。如果你没有安全策略，你必须马上与管理者协商，以保证在媒体和法律小组等其它部门的配合下，进行恢复工作。

　　下一步，重新控制你的系统。将所有受到威胁的机器和网络断开连接，包括任何拨号连接，以防止入侵者在你恢复机器时再次攻击。然后，你可能希望在Unix下以单用户模式或者在Windows下以本地管理员身份进行操作，以确保你完全控制机器。当你继续恢复程序时，这会阻止用户、入侵者和入侵程序访问或者改变受到攻击的机器的状态。但是，注意如果你重新启动系统，你可能会失去一些有用信息，因为所有在发现时正在执行的程序都会被禁止。因此，你可能想先确定，受到攻击的系统是否正在运行网络探测器（Sniffer），以便在重新启动之前把它删除。

　　如果你正在处理一个任务关键的应用程序，你可能等不及调查攻击如何发生的详细事后分析结果，如果是这样的话，就创建一个系统的备份。这将提供第一次发现攻击文件系统的一个“快照”(snapshot)。将来分析入侵时你能参考这个备份。你可能也希望联系执法机构来调查这件事。

　　为了从入侵中恢复，你必须安装一个干净版本的操作系统，并确保所有非必需服务被禁用。下一步，咨询CERT建议、概要和厂家公告，查找关于你的操作系统、运行的服务和任何正在使用的安全工具的最新配置指南。确保你安装所有厂家安全补丁，并且更改了所有的密码。启用最大限度的日志记录，以防止再次攻击事件发生。在你从备份中恢复数据之前，确保他们没有被破坏。

　　最后，由于你的网站遭受攻击，在重新连接到Internet之前，你必须注意提高系统和网络的安全性。你将需要更新你的安全策略，记录学到的经验教训，加入对系统所做的修改。你也应该计算该事件造成的损失，以帮助未来风险分析成本收益预计。

　　http://www.cert.org/tech_tips/root_compromise.html.提供了一份很好的讲述如何从Unix和Windows系统攻击中进行恢复的检查清单和步骤。