13518219792
web安全包括的有：
创新互联公司主要从事成都网站设计、网站建设、网页设计、企业做网站、公司建网站等业务。立足成都服务卫辉,十余年网站建设经验,价格优惠、服务专业,欢迎来电咨询建站服务:18980820575
1、基础网络安全（按网络区域划分）：网络终端安全，防病毒（网络病毒、邮件病毒）、非法入侵、共享资源控制；内部局域网（LAN）安全，内部访问控制（包括接入控制）、网络阻塞（网络风暴）、病毒检测；外网（Internet）安全，非法入侵、病毒检测、流量控制、外网访问控制。
2、系统安全（系统层次划分）：硬件系统级安全，门禁控制、机房设备监控（视频）、防火监控、电源监控（后备电源）、设备运行监控；操作系统级安全，系统登录安全、系统资源安全、存储安全、服务安全等；应用系统级安全，登录控制、操作权限控制。
3、数据、应用安全（信息对象划分）：本地数据安全：本地文件安全、本地程序安全；服务器数据安全，数据库安全、服务器文件安全、服务器应用系统、服务程序安全。
更多关于web安全包括哪些方面，进入：查看更多内容
第一部分 web的安全需求
1.1 Web安全的体系结构，包括主机安全，网络安全和应用安全;
1.2 Web浏览器和服务器的安全需求;
在已知的web服务器(包括软硬件)漏洞中，针对该类型web服务器的攻击最少;
对服务器的管理操作只能由授权用户执行;
拒绝通过web访问web服务器上不公开发布的内容;
禁止内嵌在OS或者 web server软件中的不必要的网络服务;
有能力控制对各种形式的.exe程序的访问;
能够对web操作进行日志记录，以便于进行入侵检测和入侵企图分析;
具有适当的容错功能;
1.3 Web传输的安全需求
Web服务器必须和内部网络隔离：
有四种实现方式，应选择使用高性能的cisco防火墙实现隔离
Web服务器必须和数据库隔离;
维护一份web站点的安全拷贝：来自开发人员最终发布的版本(内容安全);
其次，存储的地点是安全的(另一台独立的位于防火墙之后的内网的主机);
还有，定期备份应该使用磁带，可擦写光盘等媒介;
1.4 Web面临的威胁：信息泄露，拒绝服务，系统崩溃，跳板。
第二部分 web服务器的安全策略
主机操作系统是web的直接支撑着，必须合理配置主机系统，为WEB 服务器提供安全支持：
只提供必要的服务;
某种服务被攻击不影响其它服务;
使用运行在其它主机上的辅助工具并启动安全日志;
设置web服务器访问控制规则：
通过IP,子网，域名来控制;
通过口令控制;
使用公用密钥加密算法;
设置web服务器目录权限;
关闭安全性脆弱的web服务器功能例如：自动目录列表功能;符号连接等
谨慎组织web服务器的内容：
链接检查;
CGI程序检测(如果采用此技术);
定期对web服务器进行安全检查;
辅助工具：SSH;
文件系统完整性检测工具;
入侵检测工具;
日志审计工具;
第三部分 web攻击与反攻击
入侵检测方法：
物理检查;
紧急检查;
追捕入侵者;
攻击的类型：
拒绝服务;
第四部分 源代码的安全及约束规则
不能留有后门程序和漏洞，包括系统架构是否合理，是否符合安全需求汇编反汇编、病毒反病毒。
最后，至于 cookies的安全、加密技术、web浏览器的安全、web服务器的安全每个公司设置的规则都不一样，因人而异。
一、在代码编写时就要进行漏洞测试。
二、对Web服务器进行持续的监控。
三、设置蜜罐，将攻击者引向错误的方向。
四、专人对Web服务器的安全性进行测试。
在Web服务器的攻防战上，这一个原则也适用。笔者建议，如果企业对于Web服务的安全比较高，如网站服务器上有电子商务交易平台，此时最好设置一个专业的团队。他们充当攻击者的角色，对服务器进行安全性的测试。这个专业团队主要执行如下几个任务。
一是测试Web管理团队对攻击行为的反应速度。如可以采用一些现在比较流行的攻击手段，对自己的Web服务器发动攻击。当然这个时间是随机的。预先Web管理团队并不知道。现在要评估的是，Web管理团队在多少时间之内能够发现这种攻击的行为。这也是考验管理团队全天候跟踪的能力。一般来说，这个时间越短越好。应该将这个时间控制在可控的范围之内。即使攻击最后没有成功，Web管理团队也应该及早的发现攻击的行为。毕竟有没有发现、与最终有没有取得成功，是两个不同的概念。
二是要测试服务器的漏洞是否有补上。毕竟大部分的攻击行为，都是针对服务器现有的漏洞所产生的。现在这个专业团队要做的就是，这些已发现的漏洞是否都已经打上了安全补丁或者采取了对应的安全措施。有时候我们都没有发现的漏洞是无能为力，但是对于这些已经存在的漏洞不能够放过。否则的话，也太便宜那些攻击者了。
