防止web服務(wù)器SQL注入安全措施，針對這一攻擊手段，宇塵網(wǎng)絡(luò)認(rèn)為，最根本的措施是對Web應(yīng)用的用戶輸入進(jìn)行過濾。并針對Web應(yīng)用的基本特性，對Web應(yīng)用的整體安全工作采取以下具體措施：
1、Web應(yīng)用安全評估：結(jié)合應(yīng)用的開發(fā)周期，通過安全掃描、人工檢查、滲透測試、代碼審計(jì)、架構(gòu)分析等方法，全面發(fā)現(xiàn)Web應(yīng)用本身的脆弱性及系統(tǒng)架構(gòu)導(dǎo)致的安全問題。應(yīng)用程序的安全問題可能是軟件生命周期的各個(gè)階段產(chǎn)生的，其各個(gè)階段可能會(huì)影響系統(tǒng)安全的要點(diǎn)主要有：
2、Web應(yīng)用安全加固：對應(yīng)用代碼及其中間件、數(shù)據(jù)庫、操作系統(tǒng)進(jìn)行加固，并改善其應(yīng)用部署的合理性。從補(bǔ)丁、管理接口、賬號(hào)權(quán)限、文件權(quán)限、通信加密、日志審核等方面對應(yīng)用支持環(huán)境和應(yīng)用模塊間部署方式劃分的安全性進(jìn)行增強(qiáng)。
3、對外部威脅的過濾：通過部署Web防火墻、IPS等設(shè)備，監(jiān)控并過濾惡意的外部訪問，并對惡意訪問進(jìn)行統(tǒng)計(jì)記錄，作為安全工作決策及處置的依據(jù)。
4、 Web安全狀態(tài)檢測：持續(xù)地檢測被保護(hù)應(yīng)用頁面的當(dāng)前狀態(tài)，判斷頁面是否被攻擊者加入惡意代碼。同時(shí)通過檢測Web訪問日志及Web程序的存放目錄，檢測是否存在文件篡改及是否被加入Web Shell一類的網(wǎng)頁后門。
5、事件應(yīng)急響應(yīng)：提前做好發(fā)生幾率較大的安全事件的預(yù)案及演練工作，力爭以最高效、最合理的方式申報(bào)并處置安全事件，并整理總結(jié)。
6、安全知識(shí)培訓(xùn)：讓開發(fā)和運(yùn)維人員了解并掌握相關(guān)知識(shí)，在系統(tǒng)的建設(shè)階段和運(yùn)維階段同步考慮安全問題，在應(yīng)用發(fā)布前最大程度地減少脆弱點(diǎn)。
在現(xiàn)在和將來，由于受互聯(lián)網(wǎng)地下黑色產(chǎn)業(yè)鏈中盜取用戶賬號(hào)及虛擬財(cái)產(chǎn)等行為的利益驅(qū)動(dòng)，攻擊者仍將Web應(yīng)用作為傳播木馬等惡意程序的主要手段。盡管這會(huì)對廣大的運(yùn)維人員和安全工作者造成很大的工作壓力，但是通過持續(xù)不斷地執(zhí)行并改進(jìn)相關(guān)安全措施，可以最大限度地保障Web應(yīng)用的安全，將關(guān)鍵系統(tǒng)可能發(fā)生的風(fēng)險(xiǎn)控制在可接受的范圍之內(nèi)。
