主页 / server / 问题 / 1422
In Process
Tim Lentine
Asked: 2009-05-01 10:29:27 +0800 CST

设置安全网站的最佳实践 [关闭]

  • 772

去年秋天，当 Jeff 和 StackOverflow 团队在 Hanselminutes 上接受采访时，Scott 批评了一些有关保护 StackOverflow 服务器的决定。

我的问题是，保护网站的推荐方法是什么？假设我正在单独的物理机器上开发一个带有 SQL Server 数据库的 ASP.Net 应用程序，我需要采取哪些步骤来保护我的环境免受攻击？

windows firewall iis asp.net

1 个回答

  1. 想到的一些事情：

    • 位于硬件防火墙后的 DMZ 中的 Web 服务器
    • SQL Server 在单独的 DMZ/专用网络中，通过硬件防火墙与 Web 服务器隔开
    • 卸载/禁用 Web 服务器上所有不必要的服务。
    • Web 服务器不在域上。
    • 最小化 Web 服务器上的本地帐户。
    • 由于 Web 服务器指纹识别，使用 URLScan（即使在 IIS 6.0 上）
    • 在 Web 服务器上使用 IPSEC 策略将所有入站/绑定到 SQL Server 的流量阻止到仅必要的端口。
    • 使用具有最低权限的非特权 SQL Server 登录名（无论它需要访问应用程序的数据库）作为连接回 SQL Server 的登录名。
    • 禁用默认用户帐户。使用非标准名称创建新帐户。使用它们来运行服务等。
    • 4

相关问题