WebSphere Application Server V7 高级安全性加强，第 1 部分：安全性加强概述和方法（上）

核心提示： 请注意，这里没有考虑另一种技术攻击形式：拒绝服务 (Denial of Service, DoS) 攻击，WebSphere Application Server V7 高级安全性加强，第 1 部分：安全性加强概述和方法（上）(8)，尽管它很重要，但是 DoS 攻击超出了本文的范围，以进一步加强

请注意，这里没有考虑另一种技术攻击形式：拒绝服务 (Denial of Service, DoS) 攻击。尽管它很重要，但是 DoS 攻击超出了本文的范围。防范 DoS 攻击需要很不一样的技术，这超出了应用服务器所能提供的范围。为了防范 DoS 攻击，需要考虑网络通信量监视器、速率限制器、入侵检测工具等等。

加强方法

我们来讨论一下要保护 WebSphere Application Server 基础设施和应用程序免受这四种形式的攻击应该采取的各种已知的步骤。（这里说 “已知的” 步骤当然是因为可能有其他漏洞还没有被发现。）理想的情况下，可以将这些信息分成四个部分，每个部分对应于一种形式的攻击。遗憾的是，攻击并不完全按照那些界线来划分。有几种不同的保护技术可以防范多种形式的攻击，而有时一次攻击可能利用多种入侵形式来达到最终目标。例如，在最简单的情况下，网络嗅探能够用于获取密码，然后这些密码可以用于进行应用级攻击。因而，我们根据活动发生的时间或问题相关人员的角色来将安全加强技术组织成符合逻辑的结构：

基础设施：为通过配置 WebSphere Application Server 基础设施尽可能提高安全性而采取的操作。当基础设施已经构建完成并只涉及系统管理员时，通常采取这些措施。

应用程序配置：应用程序开发人员和管理员所采用的操作，这些操作在部署过程中是可见的。本质上说，这些是应用程序设计和实现决策，它们对 WebSphere Application Server 管理员可见并可以在部署过程中检验（可能有一些难度）。这一部分将介绍大量技术，以进一步加强安全性的不足之处；安全性是每个参与应用程序设计、开发和部署的人员的责任。

应用程序设计和实现：开发人员和设计人员在开发期间所采取的对安全性至关紧要的操作，但是这些操作可能对部署过程没有影响。