使用適當(dāng)?shù)膶?duì)策,可以幫助你將高度機(jī)密信息遠(yuǎn)離GOOGLE,不能夠被GOOGLE黑客搜索到。這里有四個(gè)步驟,你可以嘗試做一下:1.鞏固你的服務(wù)器,并將其與外部環(huán)境隔離 有一個(gè)很不幸的事實(shí)是,許多關(guān)鍵服務(wù)器仍然完全暴露在INTERNET上,現(xiàn)在請(qǐng)收緊你服務(wù)器的存取控制,并將其放在防火墻之后。 2.設(shè)置ROBOTS.TXT文件,禁止GOOGLE索引你的網(wǎng)頁(yè) 你能夠通過(guò)設(shè)置“GOOGLEBOT”的“USER-AGENT:”參數(shù)的方法保護(hù)網(wǎng)絡(luò)服務(wù)器的文件和目錄免受GOOGLE索引,方法是在“DISALLOW:”部分列出你想保密的信息。 或者,如果你想所有的WEB機(jī)器人都不訪問(wèn)你的網(wǎng)站和網(wǎng)頁(yè),就請(qǐng)將“USER-AGENT:”參數(shù)設(shè)置為“*”,不過(guò)記住,懷有惡意的在網(wǎng)上到處閑逛的人能夠從你的WEB SERVER上得到此文件,并且看到你不想被別人看到的是哪些信息。如果這看起來(lái)像互聯(lián)網(wǎng)的弱點(diǎn),那么它就是。你可以不用ROBOTS.TXT文件,但你應(yīng)該允許機(jī)器人只能索引那些具體的公開(kāi)頁(yè)面,或者通過(guò)輸入“DISALLOW /”禁止它們索引任何以根目錄開(kāi)始的信息。 3.將高度機(jī)密的信息從公眾服務(wù)器上去除 制定一項(xiàng)組織策略用來(lái)保護(hù)高度機(jī)密的信息(例如密碼、機(jī)密文件等)遠(yuǎn)離公眾可以訪問(wèn)的服務(wù)器。否則,使用任何可能的存取控制措施來(lái)保護(hù)它們,并且確保這些策略能夠被強(qiáng)制執(zhí)行,并且管理那些違規(guī)者。 4.保證你的服務(wù)器是安全的 為了維護(hù)服務(wù)器安全,請(qǐng)使用我在這一系列技巧中討論過(guò)的GOOGLE測(cè)試工具和GOOGLE查詢對(duì)其進(jìn)行黑客測(cè)試。 我高度推薦使用自動(dòng)化測(cè)試工具,譬如SITEDIGGER和GOOSCAN進(jìn)行黑客測(cè)試,手工執(zhí)行多個(gè)查詢的方式不僅緩慢枯燥,還不易于管理。 記住,這些測(cè)試只是通過(guò)GOOGLE進(jìn)行的挖掘測(cè)試,它們并不能代表所有的黑客和INTERNET安全,這些也不是測(cè)試所有系統(tǒng)漏洞的最好工具。作為替代,你必須使用“多層”測(cè)試手段:同時(shí)使用GOOGLE和其它免費(fèi)的、開(kāi)源的,以及――據(jù)我看來(lái),最具有綜合性和可靠性的――商業(yè)性的工具進(jìn)行測(cè)試,這些商業(yè)性的工具我推薦的有SPI DYNAMICS公司的WEBINSPECT(應(yīng)用于WEB應(yīng)用程序)、APPLICATION SECURITY公司的APPDETECTIVE(用于WEB數(shù)據(jù)庫(kù))和QUALYS公司的QUALYSGUARD(用于操作系統(tǒng)和網(wǎng)絡(luò)漏洞)。 如果模擬黑客、滲入測(cè)試和普通的網(wǎng)絡(luò)安全審計(jì)是你工作職責(zé)的一部分,這些GOOGLE黑客技術(shù)和相應(yīng)的工具將成為你需要的安全工具箱中的一部分。為了安全的緣故,請(qǐng)現(xiàn)在就開(kāi)始執(zhí)行它,并且以后也經(jīng)常執(zhí)行。 關(guān)于作者:KEVIN BEAVER是一位獨(dú)立的信息安全顧問(wèn)、作者,也是位于亞特蘭大的PRINCIPLE LOGIC, LLC公司的發(fā)言人,他專(zhuān)門(mén)為那些需要嚴(yán)格安全保護(hù),或者突發(fā)安全事件尋求解決方法的公司提供信息安全研究服務(wù)。
本站僅提供存儲(chǔ)服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請(qǐng)
點(diǎn)擊舉報(bào)。
