服务器安全检测与防御技术总结
一、服务器安全风险梳理
服务器在运行过程中面临的安全风险多样且复杂，主要可归纳为以下几类：
- 不必要的访问暴露：如仅需提供 HTTP 服务却开放多余端口，增加攻击面。
- 外网主动攻击：包括 IP / 端口扫描、分布式拒绝服务（DDoS）攻击等，通过网络层施压影响服务可用性。
- 漏洞利用攻击：针对服务器操作系统、应用软件的漏洞发起攻击，如利用操作系统未修复漏洞入侵。
- 应用层攻击：涵盖 SQL 注入、XSS 跨站脚本攻击、跨站请求伪造（CSRF）等，通过篡改数据或伪造请求窃取信息或控制服务。
- 弱口令与端口风险：攻击者扫描开放端口并尝试暴力破解弱密码，获取服务器登录权限。
- 网站篡改风险：攻击者非法修改网页内容，植入恶意链接、侮辱性信息或反动言论，造成多维度损失。
二、DOS 攻击检测与防御技术
DOS（拒绝服务）攻击通过消耗服务器资源或带宽，导致服务瘫痪，其分布式形态（DDoS）危害更甚。
1. 攻击核心特征
- 攻击目的：消耗服务器带宽、耗尽服务器性能（如 CPU / 内存）、直接引发服务器宕机。
- 常见攻击类型：
- 洪水攻击：包括 ICMP 洪水（大量数据包占用带宽）、UDP 洪水、DNS 洪水（如 2016 年 DynDNS 事件）、SYN 洪水（利用 TCP 三次握手缺陷耗尽连接资源）。
- 畸形数据包攻击：发送异常数据包引发系统资源错误分配，如 Ping of Death、TearDrop。
- CC 攻击及变种：控制主机持续发送请求耗尽资源，慢速攻击通过长连接低速率发包占满服务器连接数。
2. 防御策略与配置
- SYN 代理防护：通过防火墙（如 NGAF）作为中间代理，验证客户端合法性后再与服务器建立连接，隔绝攻击数据包直接到达服务器。
- 配置步骤：
- 在防火墙中新增 “外网对内网攻击防护策略”，源区域设为外网，勾选 IP / 端口扫描防护。
- 指定需保护的服务器 IP 组，勾选所有 DoS/DDoS 攻击类型，可适当调低封锁阈值提升检测灵敏度。
- 高级防御中建议不勾选 “IP 数据块分片传输防护”，避免正常分片数据包被误拦截。
- 效果监控：通过内置数据中心的 “Dos 攻击” 日志，可查询攻击时间、类型、攻击者 IP 及处理动作（如封锁攻击源）。
三、IPS 入侵检测与防御技术
入侵防御系统（IPS）通过实时监控与阻断攻击，弥补入侵检测系统（IDS）仅检测不阻断的不足。
1. IDS 与 IPS 对比
| 对比项 | IDS（入侵检测系统） | IPS（入侵防御系统） |
|---|---|---|
| 工作原理 | 特征识别并记录攻击，用于审计 | 特征识别并实时丢弃攻击数据包 |
| 部署方式 | 并联（旁路镜像） | 串联（路由 / 透明）+ 并联 |
| 核心能力 | 被动检测，无阻断能力 | 主动检测，实时阻断攻击 |
| 响应速度 | 存在滞后性 | 实时响应 |
2. 常见入侵手段
包括蠕虫病毒（如 WannaCry 利用 MS17-010 漏洞传播）、恶意邮件、端口扫描、后门木马、间谍软件、口令暴力破解（字典法、规则法）等。
3. 防护配置与优化
- 防护对象：
- 客户端防护：阻止因客户端漏洞（如浏览器控件漏洞）引发的攻击。
- 服务器防护：防御针对 Web、DNS、FTP 等服务的漏洞攻击及口令暴力破解。
- 配置步骤：
- 新增 IPS 策略，保护客户端时源区域设为内网客户端区域，目的区域为外网；保护服务器时源区域设为外网，目的区域为服务器区域。
- 选择对应防护类型（如 “保护服务器”“口令暴力破解”），设置动作（允许 / 拒绝）、联动封锁及日志记录。
- 误判处置：通过日志查询误判规则的漏洞 ID，在漏洞特征识别库中修改动作（放行 / 禁用），或直接添加例外排除正常通讯。
四、WEB 攻击检测与防御技术
Web 应用作为服务器对外服务的主要入口，面临的攻击集中且多样，Web 应用防火墙（WAF）是核心防护手段。
1. 常见 Web 攻击类型
- 注入攻击：SQL 注入通过在表单或 URL 中插入 SQL 命令，欺骗服务器执行恶意操作；系统命令注入则通过构造命令字符串调用系统功能。
- 跨站攻击：XSS（跨站脚本）注入恶意脚本窃取用户 Cookie；CSRF 盗用用户身份发送恶意请求（如转账、添加管理员）。
- 其他攻击：网页木马植入、网站扫描、WEBSHELL 上传、目录遍历（未授权访问敏感目录）、信息泄漏（暴露源代码、配置信息）等。
2. WAF 防护配置
- 核心策略：通过检测 HTTP 请求中的恶意特征（如 SQL 关键字、异常脚本），阻断攻击行为。
- 配置步骤：
- 新增 WAF 策略，源区域设为外网，目的区域为服务器区域，指定需保护的服务器 IP 组。
- 端口按实际 Web 服务配置（默认 80，非标准端口需手动填写），防护类型选择 “全部”，按需设置动作与日志记录。
- 误判处理：
- 方法一：在 “排除列表” 中新增 URL 参数排除，跳过特定参数的攻击检测。
- 方法二：在 Web 应用防护日志中找到误判记录，直接点击 “添加例外” 豁免该请求。
五、网页防篡改技术
网页篡改不仅影响服务可信度，还可能造成经济、名誉甚至政治风险，需通过技术手段实现主动防护。
1. 核心防护机制
- 文件监控：在服务器部署驱动级监控软件，仅允许合法程序（如管理员操作进程）修改网站目录文件，非法程序的篡改行为将被拦截。
- 二次认证：管理员登录网站后台时，需通过邮件验证码验证（如提交管理员邮箱后接收验证码），黑客因无法获取合法邮箱及验证码被阻断。
2. 配置与注意事项
- 客户端配置：下载并安装防篡改客户端，关联防火墙策略后激活，客户端离线时仍可生效。
- 二次认证设置：在 “网站篡改防护” 策略中配置服务器 IP、后台登录端口及 URL，选择认证方式（IP 白名单 / 邮件认证），邮件认证需提前配置发件服务器。
- 关键注意事项：
- 若服务器已存在 WEBSHELL，防篡改客户端无法拦截其篡改行为，需先清除恶意文件。
- Windows 客户端需通过安装目录的 tamper.exe 卸载（需密码）；Linux 系统需卸载程序后重启服务或服务器以完全消除防护影响。