安全入门day.05

一、资产架构

1、WEB单个源码指向安全

         WEB单个源码指向安全主要指的是在Web环境中，一个主机（或服务器）上仅运行一个Web网站或应用程序，避免了多个网站或应用程序之间可能存在的安全交互问题。但是若未采取适当的安全措施，如访问控制、加密传输、定期审计等，可能面临源代码泄露、未授权修改、恶意注入等风险，这些都将直接威胁到Web应用的安全性、稳定性和用户数据的保护。

2、WEB多个目录源码安全

        一个网站如果包含两个或更多的独立程序（比如一个前端应用和一个后端服务），其源码通常会被组织在多个目录中，以体现这种程序间的独立性和功能性划分。这就是WEB多个目录源码的一个典型应用场景。每个程序（或程序模块）的源码被存放在不同的目录中，这些目录可能按照功能、技术栈或业务逻辑来命名和组织。但是这样可能带来一些安全问题，若未合理设置目录权限、未实施有效的访问控制、未定期进行代码审计和漏洞扫描，以及未遵循安全编码规范，可能会导致源代码泄露、未授权访问、恶意代码注入等安全威胁，进而对Web应用的安全性造成严重影响。

3、WEB多个端口源码安全

        在Web开发中，为了在同一个服务器上运行多个网站或应用，并且每个网站或应用都通过不同的端口来访问，开发者会采用多个目录来组织和管理各自的源代码。这种组织方式即为WEB多个目录源码的一种体现。但是这样可能带来一些安全问题，若未正确配置端口安全策略、未有效隔离各端口间资源、未充分保护源码存储及传输安全，可能导致数据泄露、未授权访问、跨站攻击、服务中断等安全风险，从而危及Web应用的整体安全和数据保护。

4、服务器架设多个站点安全

        服务器架设多个站点是指在一台物理服务器或虚拟服务器上配置和部署多个独立的网站或应用，以便它们能够同时运行并提供服务。这种配置方式充分利用了服务器的资源，提高了服务器的利用率和灵活性。服务器架设多个站点时，面临的主要安全风险包括未充分隔离不同站点导致的资源争用、数据泄露、跨站攻击（XSS）和跨站请求伪造（CSRF）等，以及未能妥善配置服务器和目录权限而引发的未授权访问和恶意软件注入等问题，这些都可能对站点的稳定运行和用户数据造成威胁。

5、架设第三方插件接口安全

        架设第三方插件接口是指为软件或平台提供开放的接口，以便第三方开发者能够创建和集成自定义的插件或扩展程序。这种做法增强了软件的可扩展性和灵活性，允许用户根据需求定制功能。但是，接口开放可能引入未知的安全漏洞和恶意插件，这些插件可能窃取用户数据、破坏系统稳定性或执行恶意代码。因此，必须严格审核和管理插件的开发者、插件的源代码以及插件的权限请求，确保插件的安全性、兼容性和可靠性，从而保护用户和系统的安全。

6、服务器架设多个应用安全

服务器架设多个应用指的是在单一服务器上部署和运行多个独立的应用程序或服务，以提高服务器资源利用率和满足多样化的业务需求。服务器架设多个应用的安全风险主要包括资源争用、权限管理不当、应用间隔离不足以及潜在的安全漏洞等问题。这些风险可能导致服务中断、数据泄露、未授权访问或恶意软件传播等严重后果。

二、番外安全

1、基于域名解析安全

        确保域名系统（DNS）的正确性和可靠性，防止恶意篡改、劫持或伪造DNS记录，以保障用户访问正确、安全的网站或服务。这涉及到对DNS服务器的保护、DNS记录的加密传输、以及实施DNSSEC（域名系统安全扩展）等安全措施，以减少DNS欺骗和网络钓鱼等安全威胁。

2、基于服务器本身安全

        确保服务器硬件、操作系统、网络配置以及运行的应用程序的稳定性和安全性。这包括实施严格的访问控制策略、定期更新系统补丁和防病毒软件、配置安全的网络防火墙和入侵检测系统、以及监控服务器的运行状态和日志记录，以预防、检测和响应潜在的安全威胁，保障服务器数据和服务的完整性、可用性和机密性。

3、基于服务商信息安全

        确保服务商服务过程中涉及的客户信息、交易数据、业务逻辑等敏感信息的保密性、完整性和可用性而采取的一系列安全措施。这包括建立健全的信息安全管理体系，遵循相关法律法规和标准要求，实施数据加密、访问控制、安全审计、备份恢复等安全策略和技术手段，以及定期进行安全风险评估和应急演练，以有效防范和应对信息安全风险，保护客户和自身的合法权益。

4、基于管理个人的安全

        确保个人在日常生活和工作中，通过良好的信息安全习惯和管理措施来保护自己的个人信息、财务数据和隐私。这包括使用强密码并定期更换、谨慎分享个人信息、不随意点击来源不明的链接或下载不明文件、保护个人设备（如手机、电脑）免受恶意软件感染、以及了解并遵循所在组织或平台的安全政策和指南。

三、考虑安全测试阻碍

1、站库分离

        站库分离是一种网站架构模式，它将网站的静态内容（如HTML、CSS、JS文件、图片等）与动态数据库内容（如用户信息、商品数据等）分开存储和管理。在这种模式下，静态内容通常被部署在内容分发网络（CDN）或静态文件服务器上，以提高访问速度和可靠性；而动态数据库内容则存储在专门的数据库服务器上，通过应用服务器进行数据处理和逻辑运算。站库分离有助于减轻应用服务器的负担，提高网站的整体性能和可扩展性，同时也有助于提高数据的安全性和备份恢复的灵活性。

        站库分离对安全测试的阻碍主要在于权限隔离导致难以同时访问网站和数据库服务器进行全面测试，攻击面分散增加了测试复杂性和难度，以及需要调整测试策略以应对架构特性，从而影响了测试效率和准确性。

2、CDN加速服务

        CDN加速服务是一种高效的网络技术，全称为Content Delivery Network Acceleration，即内容分发网络加速。它通过在全球范围内部署多个节点服务器，将网站的内容（如HTML页面、图片、视频等静态资源）缓存到这些节点上。当用户访问网站时，CDN系统会自动选择离用户地理位置最近的节点来提供服务，从而大大减少数据传输的延迟，提高网站的加载速度和用户的访问体验。

        CDN加速服务对安全测试的阻碍主要在于其分布式缓存和分发机制使得攻击流量可能绕过传统安全检测点，增加了识别和防御DDoS攻击、SQL注入等安全威胁的难度，要求安全测试需考虑CDN架构特性，采取更全面的测试策略。

3、负载均衡服务

        负载均衡服务是一种网络服务，它通过将进入的网络流量分发到多个后端服务器上，以实现资源的高效利用、提高应用的响应速度和可靠性。负载均衡器根据预设的算法（如轮询、最少连接数、IP哈希等）自动分配请求到服务器集群中的不同节点，确保各服务器负载均衡，避免因单点过载而导致的服务中断或性能下降。

        负载均衡服务对安全测试的阻碍主要在于其动态分配请求到多个服务器的特性，可能导致攻击流量分散，难以在单点追踪和分析，同时要求测试时需考虑负载均衡算法和策略对测试结果的影响，增加了测试的复杂性和难度。

4、WAF应用防火墙

        WAF（Web Application Firewall，Web应用防火墙）是一种专门设计用于保护Web应用程序免受常见网络攻击的安全设备或软件。它通过监控和过滤HTTP/HTTPS流量，识别和拦截SQL注入、跨站脚本（XSS）、跨站请求伪造（CSRF）等Web应用层攻击，以及阻止恶意扫描和访问，从而保护Web应用的安全性和数据完整性。

        WAF应用防火墙对安全测试的阻碍主要在于其可能过滤或修改测试流量，导致安全测试工具或者具有特征特定流量被拦截，严格的策略可能难以绕过，从而导致无法继续安全测试。

5、主机防护防火墙

        主机防护防火墙是一种部署在主机系统上的安全防护软件或硬件，它旨在保护主机免受来自网络内外的恶意攻击和未授权访问。通过监控和分析进出主机的网络流量，主机防护防火墙能够识别并拦截潜在的威胁，如病毒、木马、黑客攻击等，确保主机的安全和稳定运行。同时，它还具备访问控制、入侵检测、漏洞扫描等功能，提供全面的安全防护能力，保护主机上的数据和业务不受损害。

        主机防护防火墙对安全测试的阻碍在于其严格的访问控制和安全策略可能阻止或限制测试工具对主机的访问，严格的策略可能难以绕过，导致无法继续安全测试。