第四军医大学网站建设技术安全规范（讨论稿）为了确保学校网站的建设质量，网站建设单位在网站建设过程中，应充分考虑技术安全问题，将一些安全风险和隐患消除在网站建设阶段，为网站的安全运行奠定基础。一、技术安全要求网站建设的技术安全内容包括网站运行环境、功能设计、网站开发、网站防护、安装部署、维护管理六个方面。1、部署安全的网站运行环境。设置服务器操作系统、选择合适的数据库和Web服务软件，并消除安全隐患。2、设计科学的网站功能。根据用户需求，合理划分网站栏目、灵活共享站际信息，后台管理功能要齐全、网站数据应能够备份和恢复。3、采用合理的开发方案。根据自身技术实力，选择合适的开发模式、开发技术和开发工具，封堵开发漏洞，做好异常情况处理。4、落实网站安全防护措施。加强访问控制，严格用户管理，制定防篡改方案。5、严格网站安装部署流程。严格进行功能和性能测试、信息安全检查、技术安全检查，配置Web服务软件、数据库和网站权限。6、明确网站维护管理办法。加强日志管理，做好数据备份，规范网站内容更新方法，落实网站安全检查制度，制定应急处理预案，明确网站管理人员职责。二、技术安全配置方法网站建设阶段应全面考虑网站的环境安全，重点考虑网站的设计安全，充分考虑网站的运行安全，具体处理方法参考《网站建设技术安全参照表》。网站建设技术安全参照表项目名称分项内容建议处理方法运行环境操作系统常用的服务器操作系统有Windows系列和Unix/linux系列两类，安装后应修改其默认设置以消除可能存在的安全隐患。①针对Windows系列操作系统：建议使用WindowsServer2003SP2以上版本；安装所有已发布的漏洞补丁；并开启操作系统自动更新及防火墙功能；禁用Telnet、TCP/IPNetBIOSHelper、PrintSpooler、ComputerBrowser、RemoteRegistry等不需要的服务；禁用Guest帐号；关闭文件共享功能。②针对Unix/Linux系列操作系统：建议使用FreeBSD7.1、Solaris10U6GA1或者RedHatEnterpriseLinux5以上版本；只安装需要的工具和服务；开启系统自带防火墙；关闭远程控制功能；将用户登陆错误次数限制为3—5次。数据库常用的数据库有ACCESS、SQLServer、MYSQL三种，应根据网站规模进行选择。①ACCESS数据库：建议小型网站使用。应为Access数据库文件设置强密码防止非授权用户的访问；修改数据库文件名为复杂的字符串，修改文件后缀名为asp或者asa，如将access.mdb修改为abcd12!@#$.asp，防止非法下载。②SQLServer数据库：建议中大型网站使用。应选用SQLServer2000SP4以上版本并安装最新补丁程序；为默认sa帐号设置强密码；将默认的数据库日志文件路径指向非操作系统分区；禁用远程控制台连接；根据需要设置不同的用户权限，防止非授权用户修改数据库。③MYSQL数据库：建议中大型网站使用。应安装MYSQL-5.1.30以上版本；为默认root帐号设置强密码；修改默认my.ini配置文件启用日志功能；禁用远程控制台连接；按需要为每个数据库设置不同的用户权限，防止非授权用户对数据库的修改。Web服务软件常用的Web服务软件有IIS、Apache、Apache+Tomcat三种，应根据网站采用的技术架构进行选择。①IIS：建议用静态HTML、ASP和ASP.NET技术开发的网站使用。应选择IIS6.0以上版本；禁用IIS自带默认网站；禁用“所有未知CGI扩展”、“未知ISAPI扩展”等不需要的Web服务扩展功能；禁止用户通过浏览器浏览网站目录；禁止Web服务通过浏览器向客户端发送错误提示信息。②Apache：建议用PHP技术开发的网站使用。选择Apache2.2.11以上版本；只安装需要的功能模块；禁止用户通过浏览器浏览网站目录；将日志功能设置为按日期轮询生成日志文件；设置低权限帐号启动Apache（Windows用Guests帐号，Linux用nobody帐号）；禁止Web服务通过浏览器向客户端发送错误提示信息。③Apache+Tomcat：建议用JSP技术开发的网站使用。在使用Apache的基础上，再安装Tomcat，应选择Tomcat6.0.0.18以上版本；启用日志功能；禁用Tomcat的Web管理的功能；禁止用户通过浏览器浏览网站目录；为默认admin帐号设置强密码；禁止Web服务通过浏览器向客户端发送错误提示信息。功能设计栏目设计根据用户...
