Защита web-серверов. Наряду с обеспечением безопасности программной среды см. предыдущий раздел, важнейшим будет вопрос о разграничении доступа к объектам Web-сервиса.
Для решения этого вопроса необходимо уяснить, что является объектом, как идентифицируются субъекты и какая модель управления доступом - принудительная или произвольная - применяется. В Web-серверах объектами доступа выступают универсальные локаторы ресурсов URL - Uniform Universal Resource Locator. За этими локаторами могут стоять различные сущности - HTML-файлы, CGI-процедуры и т.п. Как правило, субъекты доступа идентифицируются по IP-адресам и или именам компьютеров и областей управления.
Кроме того, может использоваться парольная аутентификация пользователей или более сложные схемы, основанные на криптографических технологиях см. следующий раздел. В большинстве Web-серверов права разграничиваются с точностью до каталогов директорий с применением произвольного управления доступом. Могут предоставляться права на чтение HTML-файлов, выполнение CGI-процедур и т.д. Для раннего выявления попыток нелегального проникновения в Web-сервер важен регулярный анализ регистрационной информации.
Разумеется, защита системы, на которой функционирует Web-сервер, должна следовать универсальным рекомендациям, главной из которых является максимальное упрощение. Все ненужные сервисы, файлы, устройства должны быть удалены. Число пользователей, имеющих прямой доступ к серверу, должно быть сведено к минимуму, а их привилегии - упорядочены в соответствии со служебными обязанностями.
Еще один общий принцип состоит в том, чтобы минимизировать объем информации о сервере, которую могут получить пользователи. Многие серверы в случае обращения по имени каталога и отсутствия файла index. HTML в нем, выдают HTML-вариант оглавления каталога. В этом оглавлении могут встретиться имена файлов с исходными текстами CGI-процедур или с иной конфиденциальной информацией. Такого рода дополнительные возможности целесообразно отключать, поскольку лишнее знание злоумышленника умножает печали владельца сервера.