如筆者企業，把OA系統、郵箱系統的入口都捆綁在WEB服務器上。故WEB服務器安全是筆者眾多工作中的重中之重。

為了提高WEB服務器的安全性，有眾多的方法。在這里，筆者要向大家推薦的主要是三種方法。如果只想通過這三種方法來保障WEB服務器的安全當然是遠遠不夠的。但是，若企業信息化管理人員若疏忽了這三個方面的內容，則WEB服務器的安全性是很難保障的。

利器一：為WEB應用建立獨立的服務器。

由于WEB服務器可能遭受到的攻擊，比ERP系統、辦公自動化系統等應用服務器的幾率高的多。所以，若把這些應用放在WEB應用同一個服務器中，則弱WEB服務器遭受到攻擊，則很有可能殃及到ERP等關鍵應用。

筆者企業中雖然把OA系統的接口綁定在WEB服務器上，但是，OA系統與WEB應用仍然在不同的應用服務器上。這主要是為了方便員工從企業外部訪問 OA系統。如此的好處，就是當WEB服務遭受到攻擊不能使用時，最多員工無法從企業外部訪問OA系統；而不影響企業內部員工的正常訪問。

不過，筆者以前就犯過類似的錯誤。那時，企業由于資金緊張，就把WEB服務器與ERP系統服務器部署在同一個服務器上。突然有一天企業的WEB服務器遭受到了不明身份的人的攻擊。他們可能只是出于好玩吧，沒有對WEB服務器產生多大的危害。只是CPU與內存的使用率居高不下。當把WEB服務器跟外網斷開好，就恢復正常了。但是，這就使得同一個服務器上的ERP應用無法運作。企業員工每次輸入一張銷售訂單，從原來的3分鐘變為現在的30分鐘。這么慢的速度顯然很難讓人接受。從這個事件中，讓筆者懂得了一個真理，把企業內部應用放在WEB服務器上是一個非常不明智的做法。由于WEB服務器其面向的是互聯網，所以，其很容易遭受到別人的惡意攻擊。殃及池魚，受到攻擊后，連企業內部的應用服務都會受到牽連。

所以，筆者第一個要提醒大家的就是，在部署服務器的時候，做好讓WEB等面向互聯網的應用服務跟其他面向內部的應用服務在不同的服務器上部署。這在保障WEB服務器安全的同時，也提高了企業其他應用服務的安全性。

利器二：事務日志，讓你對WEB運行狀況了如指掌。

其實，WEB服務器只要采取一定的保護措施，則攻擊就需要一個過程，不是說在一個短時間內就可以完成的。通常情況下，這個攻擊的過程往往會在WEB 服務器的事務日志中留下蛛絲馬跡。如非法攻擊者視圖通過密碼字典破解工具，嘗試網站管理員的口令與密碼的時候，就會在WEB服務器的日志中留下紀錄。如果我們在事務審核中，設置當用戶密碼最多輸入錯誤次數的話，則當超過這個最大次數的時候，服務器就會在自己的日志中紀錄這條信息。此時，若網站管理人員可以看到這條信息，則他們就可以及時的采取措施，如更改復雜密碼等手段，來提高服務器的安全性。

所以，每一個WEB服務器的管理人員都必須要重視事務日志的重要性。同時，為了讓事務日志發揮更大的作用，往往需要啟用審核功能。通過審核事件跟系統日志結合起來，可以讓日志服務器紀錄一些常見的攻擊行為。從而給企業安全人員提供參考。否則的話，企業安全人員都不知道那里受到攻擊了，那么他們也就根本無法進行及時的應對。

不過話說話來，有些高手攻擊企業WEB服務后，不會再事務日志上留下任何痕跡。這并不是說事務日志不管用了。而是因為他們在結合攻擊后，會修改事務日志的信息。如某個攻擊者竊取了管理員用戶與密碼后訪問企業網站中的機密信息。一般情況下，這個訪問紀錄會在事務日志中有所顯示。但是，一些高手會在推出之前修改事務日志。刪除這些訪問信息，或者更改訪問者。讓企業安全管理人員無從查起。為了讓他們無法更改事務日志文件，則最好的方法就是更改事務日志文件的路徑，并對其進行及時的備份。由于不知道路徑的真確位置，所以，及時不法攻擊者想攻擊想修改日志隱藏自己的蹤跡，都不可能。