网站安全防护

LAYERS — 四层防护体系

纵深防御不留死角

从网络入口到数据存储，构建多层独立又协同的防护纵深

L-01

网络层防护

部署 WAF Web 应用防火墙、DDoS 高防、CC 防护，拦截恶意流量与洪水攻击，保障源站稳定可达。

L-02

应用层防护

SQL 注入、XSS 跨站、CSRF 伪造、文件上传等漏洞修复与防护，代码级安全审计与加固。

L-03

传输层防护

全站 HTTPS 强制跳转，部署 SSL/TLS 证书，HSTS、CSP、X-Frame 等安全头配置，防止中间人劫持。

L-04

数据层防护

数据库加密、敏感字段脱敏、异地自动备份、权限最小化原则，确保数据资产安全与可恢复。

CHECKLIST — 安全措施清单

逐项落实的安全动作

每一项防护都以可执行的配置项形式落地，而非空泛承诺

一、访问控制与身份认证

所有管理后台均采用强密码策略与多因子认证（MFA），后台路径自定义并限制 IP 白名单访问，登录失败次数限制与验证码双重防护，杜绝暴力破解与撞库攻击。

管理员账户强制 12 位以上复杂密码，90 天强制更换
后台路径自定义命名，禁止使用默认 /admin 路径
登录失败 5 次锁定账户 30 分钟，并触发告警
关键操作启用二次验证，敏感动作记录审计日志

二、漏洞扫描与修复

定期进行 Web 漏洞扫描与渗透测试，发现高危漏洞 24 小时内修复，中危漏洞 3 个工作日内修复。关注 OWASP Top 10 安全风险，对常见注入、跨站、反序列化等漏洞建立防护机制。

每月一次自动化漏洞扫描，每季度一次人工渗透测试
所有用户输入参数严格过滤与转义，采用参数化查询
文件上传类型白名单校验，重命名存储隔离目录
依赖组件定期更新，追踪 CVE 漏洞通报

三、数据备份与容灾

建立"本地+异地+云端"三副本备份策略，数据库每日全量备份加增量备份，保留 30 天滚动备份周期。每季度进行一次恢复演练，确保备份数据可用、可恢复、可追溯。

真正的安全不是"不会被攻破"，而是"即使被攻破也能快速恢复"。备份是最后一道防线，也是最不能省的一道。

数据库每日全量备份 + 每小时增量备份
备份文件异地存储，加密传输与静态加密
保留 30 天滚动备份，支持任意时间点恢复
季度恢复演练，验证备份完整性与恢复时效

四、安全监控与响应

7×24 小时安全监控，异常流量、异常登录、文件篡改实时告警。建立应急响应 SOP，安全事件 15 分钟内响应、1 小时内止血、24 小时内出复盘报告。

部署文件完整性监控（FIM），核心文件篡改秒级告警
异常访问行为分析，识别爬虫、撞库、扫描行为
安全事件分级响应，明确各等级 SLA 时效
每月输出《安全运营月报》，含威胁态势与处置记录

THREATS — 常见威胁与应对

知己知彼百战不殆

了解常见攻击手法，才能针对性建立防护

T-01

SQL 注入

攻击者通过表单注入恶意 SQL 语句窃取数据。应对：参数化查询、输入过滤、最小权限账户。

T-02

XSS 跨站脚本

注入恶意脚本劫持用户会话。应对：输出转义、CSP 策略、HttpOnly Cookie。

T-03

DDoS 洪水攻击

海量请求压垮服务器导致不可访问。应对：高防 IP、CDN 分流、流量清洗。