网站安全如何防护

网站用户身份认证

一般采用用户名+密码验证，确认用户登录身份，并根据数据库中预设的权限，向用户展示响应的界面。对于重要的网站应用，需要根据PKI机制，验证用户提供的证书，从而对用户身份认证（服务器对客户端认证），并确保交易的不可抵赖性。

网站数据的加密传输

对于使用Web浏览器的网上系统应用， 采用SSL+数字证书结合的方式(即HTTPS协议) ， 保证通信数据的加密传输，同时也保证了用户端对服务器端的认证，避免用户被冒充合法网站的“钓鱼网站”欺骗，从而泄露机密信息(用户名和密码等)，造成不可挽回的经济损失。

用户账号使用行为的日志记录及其审计

系统服务器侧应根据账号，对用户的使用行为进行详细的日志记录和审计，通过上述因素的日志记录，进行阶段性的审计(时间间隔应该比较小)，从而做到发现用户账号的盗用、恶意使用等问题，尽早进行处理。

恶意用户流量的检测、过滤及阻断

系统服务器侧应部署IDS入侵检测系统、IPS入侵防护系统、防火墙等设备， 或者部署目前高效、流行的UTM(统一威胁管理) 设备， 对恶意用户采用的各种攻击手段进行检测和防护， 重点过滤恶意流量、突发流量等。

对非正常应用请求的过滤和处理

系统的服务器端，尤其是数据库服务器端，应该通过配置和增加对用户非常长应用请求的过滤和处理模块，以避免由于数据库的自身漏洞未及时打上补丁而遭受目前流行的SQL注入攻击等。

合理的子网划分及流量分割

系统服务器侧包括大量的服务器类型， 包括数据库服务器、Web服务器、FTP服务器、邮件服务器等， 为了避免由于恶意流量造成的某种服务器崩溃，而引起的攻击后果扩散，并最终导致其他服务器也发生“雪崩

负载均衡及负载保护机制

系统面临着巨大的服务量，服务器端的设备基本上都需要有多台服务器进行业务分担，这样才能提高性能，避免处理瓶颈的出现，因此，需要采用合理的负载均衡和负载保护机制。

灾难备份及恢复

任何系统都不能说100%安全，都需要考虑在遭受攻击或者经受自然灾害后的备份恢复工作。