目錄
1.0 Web 應用系統面臨的挑戰
1.0.1 什麼是安全
1.0.2 什麼是威脅，漏洞，和攻擊，即之間的關係
1.1 如何完整的設計Web應用系統的安全性問題
1.2 對網絡安全的設置
1.3 對服務器的安全的設置
1.4 對Web應用系統的設置
Web 應用系統面臨的挑戰
在考慮 Web 應用程序安全問題的時候，往往我們會想到網絡和主機的安全。在Web應用程序本身的安全考慮的不是那麼的完整。在實際生活中，我們往往面對的各種用戶，Web應用程序存在的漏洞往往使我們的機密性，安全性，完整性提出挑戰。
在這邊 ，我們需要補充的幾個概念。
什麼是安全
安全是對資源的保護，它是一個過程，而資源包含了系統，相關的文件，相關的數據信息，安全是分析基礎結構和應用程序，瞭解和認識要威脅，並瞭解每個威脅的的風險程度。安全就是對風險有效的管理
什麼是威脅，漏洞，和攻擊，即之間的關係
威脅 是指所有惡意或可能破壞資源的行爲
漏洞 即可能帶來缺陷的威脅，而這個缺陷可能有不當的設計，錯誤的配置，其他的等等的原因產生的
攻擊 利用漏洞，來實現威脅
Web 應用程序的安全的三個層次（上圖）
在 考慮 Web應用程序的安全性的時候 ，我們往往分三個層次來考慮 網絡安全，
主機安全 ，應用程序安全 ，具體的安全的策略在下面具體說明。
對網絡安全的設置
在實際網絡設計的過程中，網絡有以下的幾個組建組合而成，路由器，防火牆，交換機
路由器 是網絡的最外層，負責數據包的傳遞，屬於數據傳輸層 ，將數據包傳遞到指定的端口和協議，在路由器這個組件上 ，我們可以阻止常見的TCP/IP漏洞
防火牆 可以阻斷應用程序的不同的協議和端口 ，同時 ，防火牆還可以利用特定應用程序篩選器來阻止惡意通信，加強網絡數據的傳輸的安全
對服務器的安全的設置
主機安全的組成部分（上圖）
一般我們需要考慮的服務器安全包含了，數據庫服務器，Web應用系統服務器，具體的服務器的安全設置 ：如下
下面對上面的各個組成部分進行具體的闡述
修補和更新程序
在這裏麪包含了 對操作系統的已有的漏洞的修補，也就是常見的系統補丁，及時地安裝補丁可以減少攻擊者和惡意代碼對系統的危害，
服務
對系統現有的服務，根據實際系統所需要的情況，關閉不需要的服務，降低受攻擊的面
協議
爲了減少攻擊者的攻擊範圍，禁用不需要的或者是不用的協議
端口
在服務器中運行的服務可監聽特定的端口來滿足傳入請求。必須定期瞭解並審覈服務器中的開放端 口，確保不監聽不安全的服務，且不使用不安全的服務通信。最壞的情形即發現一個管理員未打 開的監聽端口。
共享
刪除不需要的共享，同時將共享的內容保存在受限的NTFS的權限下
帳戶
控制連接的帳戶數目，同時考慮帳戶策略
文件和目錄
將文件和目錄保存到受限的NTFS權限下
註冊表
將系統的相關的安全的設置保存到註冊表中
審覈和日誌記錄
可以通過審覈和日誌記錄來判斷攻擊的方式和手段
對Web應用系統的設置
我們按照實際的Web應用系統操作的流程，來說明牽涉到的相關的安全設置
輸入驗證
對於輸入的數據，我們要判斷其有效性和完整性
身份的驗證
對登陸的用戶進行身份驗證，這樣的驗證的過程往往是根據用戶的帳號和密碼的過程來實現的
權限
根據用戶的身份來，賦予其對應的信息，行爲的權限
配置管理
配置管理包含了對系統運行所需要的相關信息的設置，舉例：數據庫的連接方式，網絡服務的路徑 ，等等
敏感的數據的信息
敏感數據是應用程序處理需保護數據的方式（或通過網絡保存在內存中，或保存在永久存儲）。
會話管理
會話管理 爲如何的保護用戶和系統交互的相關的信息
異常的處理
對系統發生的異常 ，我們往往需要提供一個友好的頁面給用戶，而對於實際的錯誤的細節，對於用戶是屏蔽的
審覈和日誌的紀錄
應用程序計錄系統的相關的事件供後來的問題的分析