Mike Chapple, CISSP，University of Notre Dame的IT安全专家。他曾担任国家安全局和美国空军的信息安全研究员。Mike经常为SearchSecurity.com撰稿，是《信息安全》杂志的技术编辑。
对数据库驱动的应用程序攻击的一个特定类型是SQL注入。在这种攻击中，入侵者操纵网站基于Web的界面，迫使数据库执行不良SQL代码……
问：对网络扫描软件隐藏系统信息(系统名称、IP地址个安装软件)的最好方法是什么？答：隐藏你的系统，从而免予网络扫描器探查的绝佳方法是安装……
我想要只允许来自10个远程共享客户端的电脑的IP地址访问服务器，Windows Server 2003上，我应该怎么做呢？
渗透测试能够提供有关你的安全防御状态的有价值的信息。但是,渗透测试太昂贵。要让渗透测试具有可信性,这种测试通常必须由一个独立的外部公司实施。
三年多以前,我在大型学术网络上见证了试验性配置入侵防御系统(IPS)的情形。我们正在讨论的技术是一个顶级经销商(该经销商今天仍然存在)力荐的产品。
问:有没有能够对Web服务器的安全构成威胁的服务?答:绝对有。作为一个一般的规律,你不能在无法让Web服务功能正常运行的Web服务器上运行任何服务。
问：当设置防火墙的时候,你建议把企业用户放在DMZ中吗?答：按照设计,DMZ是作为中间位置的,公共服务和专用服务都在这里。传统的防火墙设置创建了三个区域。
问：如果你有一个VPN防火墙路由器,它会受到DMZ服务器配置的影响吗？换句话说,DMZ服务器和VPN可以共存吗？答：DMZ和VPN当然可以共存。实际上,它们是设计在一起工作的。
问：可以保护DMZ网络应用服务器和Web服务器的机制有哪些？答：建立安全的DMZ,需要的软件产品类型有：杀毒软件、入侵检测／防护系统……
我想反过来关注一些企业普遍存在的问题,这些习惯确实能搞糟事情、带来安全问题。毕竟,如果我们不能从错误中吸取教训,我们就注定要重蹈覆辙。我想分享五种最差的做法.
