如何保证Web服务器安全？

一、在代码编写时就要进行漏洞测试。

二、对Web服务器进行持续的监控。

三、设置蜜罐，将攻击者引向错误的方向。

四、专人对Web服务器的安全性进行测试。

在Web服务器的攻防战上，这一个原则也适用。笔者建议，如果企业对于Web服务的安全比较高，如网站服务器上有电子商务交易平台，此时最好设置一个专业的团队。他们充当攻击者的角色，对服务器进行安全性的测试。这个专业团队主要执行如下几个任务。　

一是测试Web管理团队对攻击行为的反应速度。如可以采用一些现在比较流行的攻击手段，对自己的Web服务器发动攻击。当然这个时间是随机的。预先Web管理团队并不知道。现在要评估的是，Web管理团队在多少时间之内能够发现这种攻击的行为。这也是考验管理团队全天候跟踪的能力。一般来说，这个时间越短越好。应该将这个时间控制在可控的范围之内。即使攻击最后没有成功，Web管理团队也应该及早的发现攻击的行为。毕竟有没有发现、与最终有没有取得成功，是两个不同的概念。

二是要测试服务器的漏洞是否有补上。毕竟大部分的攻击行为，都是针对服务器现有的漏洞所产生的。现在这个专业团队要做的就是，这些已发现的漏洞是否都已经打上了安全补丁或者采取了对应的安全措施。有时候我们都没有发现的漏洞是无能为力，但是对于这些已经存在的漏洞不能够放过。否则的话，也太便宜那些攻击者了。

1. 这里推荐 Windows Server 2003/32位，原因：该版 *** 作系统成熟可靠，可用软件丰富，能支持超大内存；

2. 安装 *** 作系统时，请不要安装网上下载的Ghost版或精简版，不能安装有病毒的系统，否则可能前功尽弃。

第二步：部署所需环境

1. 安装 *** 作系统后，顺便安装好IIS和FTP，方便建立WEB和FTP用。（如果没有安装IIS，可以下载IIS组件自行安装）；

2. 如果需要ASP环境，请开启ASP运行条件；

3. 如果需要SQL Server数据库，请安装对应软件，建议SQL Server 2005，根据自己的系统要求进行选择。

4. 如果需要.Net环境，请下载对应的.Net安装包版本安装。

5. 安装其他软件，如入侵防护系统，杀毒软件等。

第三步：配置所需安全

1. 所需环境部署后，需要设置系统安全，包括磁盘权限和数据库，以及其他组件，这里2. 设置磁盘权限，包括系统盘和其他磁盘；

3. 变更系统账户，如将 Administrator 重命名，尽可能设置复杂密码。

第四步：配置管理工具

1. 安装主机管理系统，建议安装免费，方便开设站点，并可方便备份和恢复的主机管理系统；

2. 用主机系统开设站点，绑定域名，部署网页文件，测试能否正常访问；

3. 安装其他主机管理软件，比如一些被控端，但注意做好权限设置工作。

第五步：部署运营监控

1. 部署远程监控系统，如：代维系统，方便统一监控服务器状况，如IO、CPU、内存、带宽等使用情况，及时预警；

2. 查杀网页木马，找出原来存在的网页木马文件，可以用：云查杀系统或入侵防护系统扫描，发现木马文件妥善处理；

3. 入侵防护系统可以实时监控网页木马、畸形文件、远程登录、用户提权、防注入、进程限制、防篡改限制、非法内容生成控制等，推荐；

4. 如果数据重要，建议安装安全套装，提高安全系数。

第六步：注意事项

1. 不建议开启服务器上软件的自动升级功能，比如杀毒软件/输入法等，因为很可能破坏系统的安全体系；

2. 不要在服务器安装不必要的软件，比如QQ，以及有些杀毒软件，特别消耗资源；

3. 不要轻易在服务器上打开未知软件和客户网站，否则可能造成中毒；

4. 其他影响服务器安全的事项。