Межсетевое экранирование

Список действий для обеспечения безопасности web-содержимого


Гарантировать, что никакая из следующих типов информации не доступна через публичный web-сервер.

  • Классифицированные записи.
  • Внутренние правила и процедуры персонала.
  • Чувствительная или частная информация.
  • Персональная информация о сотрудниках.
  • Номера телефонов, e-mail адреса или списки руководства.
  • Расписание сотрудников и их местоположение.
  • Чувствительная информация, относящаяся к домашней безопасности.
  • Инвестиционные записи.
  • Финансовые записи.
  • Процедуры обеспечения физической и информационной безопасности.
  • Информация о сети организации и информационной инфраструктуре.
  • Информация о физических уязвимостях безопасности.
  • Планы, карты, диаграммы строений.
  • Материалы с грифом копирайта без письменного разрешения собственника.
  • Политика безопасности, перечисляющая типы мер безопасности в той степени, в которой это может быть полезно атакующему.

Установить документированную формальную политику и процесс принятия решения об опубликовании web-содержимого.

  • Определить информацию, которая должна быть опубликована в web.
  • Определить целевую аудиторию.
  • Определить возможные негативные последствия опубликования информации.
  • Определить, кто должен отвечать за создание, опубликование и сопровождение конкретной информации.
  • Предоставить руководства о стиле и формате для опубликования.
  • Обеспечить соответствующий просмотр информации, касающийся наличия чувствительной информации и возможности ее распространения.
  • Определить соответствующие ограничения доступа и управление этими ограничениями.
  • Обеспечить руководство, касающееся информации, которая может содержаться в исходном коде web-содержимого.

Обсудить возможность использования частной информации пользователей.

  • Опубликовать политику, касающуюся использования частной информации.
  • Запретить сбор персональных идентификационных данных без явного разрешения пользователя.
  • Запретить использование persistent cookies.
  • Использовать сессионные cookies, явно указав это в политике, касающейся частной информации.

Обсуждение безопасности активного содержимого на стороне клиента.


  • Использовать активное содержимое на стороне клиента только в случае абсолютной необходимости.
  • Не предпринимать никаких действий без запроса явного разрешения пользователя.
  • По возможности предлагать альтернативы (например, возможность загрузить файл в формате PDF вместо формата Word).


Обсуждение безопасности активного содержимого на стороне сервера.

  • Упростить код для обеспечения его легкого понимания.
  • Ограничить доступ к файлам либо по чтению, либо по записи.


  • Ограничить или исключить взаимодействие с другими программами (например, такими, как sendmail).


  • Не требовать выполнения с привилегиями suid.


  • Использовать полные имена путей (т.е. не полагаться на переменную path).
  • Не иметь директорий с одновременно установленными привилегиями по записи и выполнению.
  • Разместить все выполняемые файлы в отдельных директориях.


  • Запретить SSI или запретить функцию выполнения в них.
  • Проверять корректности всего ввода пользователя.
  • Динамически созданные страницы не должны содержать опасных метасимволов.
  • Кодировка набора символов должна быть явно указана на каждой странице.
  • Просканировать пользовательские данные относительно наличия последовательностей байтов, означающих специальные символы для данной схемы кодирования.
  • Проверить cookies относительно наличия любых специальных символов.
  • Использовать механизм шифрования трафика для паролей, введенных через формы.
  • Для web-приложений, которые имеют ограничения, связанные с именами пользователей и паролями, проследить, чтобы ни одна web-страница не была доступна без прохождения соответствующего процесса аутентификации.
  • Удалить все примеры скриптов.
  • Не использовать никаких скриптов или выполняемого кода третьих фирм без проверки исходного кода.



Содержание раздела