如何在風聲鶴唳的網路世界裡屹立不搖

Apache Security 　Ivan Ristic/著 　O'Reilly出版 　售價：34.95美元 　推薦：Amazon四顆半星

不管是支援多項作業平臺的特性，或是許多系統大廠已將其列入產品的一部份， Apache Web Server無疑地仍是目前市面上使用率最高的網站伺服器（根據2006年三月之統計數據，市佔率約68.7%）。電子商務的興起，透過網站服務進行的交易活動愈來愈多，如何讓網站伺服器提供更安全的服務，本書提供不少專業性的論述及實作建議供參考。

套餐單點兩相宜，由客倌喜好而定
Oreilly針對Apache為主題出版的書籍甚多，而專書探討Apache安全議題則是首開先例。本書包括十二個章節，章節的設計可供讀者逐一或單篇閱讀。首章便先介紹Apache的安全原則及不同的安全性觀點，透過討論安裝及系統配置，讓讀者了解Apache中與系統安全有關的關鍵點，強調不當的組態設定，往往是造成系統漏洞的主要原因。

目前PHP算是在Apache Web Server上使用率最高的網頁程式語言，由於它功能強大及資源充沛的特性，所以在系統組態時需要特別留意。第三章便針對PHP模組的安裝設定及進階使用技巧，尤其是與PHP相關的參數設定提供了相當價值的建議，避開採用預設值所可能造成的問題。

只要談到網路交易安全議題，直覺地就會想到SSL機制的運用。第四章從密碼學及SSL之基本觀念談起，並結合OpenSSL開放源碼套件建立自己的憑證管理中心（Certificate Authority，CA），以及探討如何解決因加密機制所造成的系統效能問題。

要經得起考驗，防範措施需完備
當你的網站服務一旦發佈，便必須現實地面對網路世界可能帶來的威脅。在眾多的網路攻擊行為中，又以阻斷式服務攻擊（Denial of Service，DoS）令人聞風色變。第五章裡頭討論這些攻擊的種類（常見的像是SYN Flood Attacks、Source Address Spoofing、Traffic Spikes等），每種攻擊方式都有相當詳細的剖析，讓讀者可以清楚了解每個攻擊型態的技術基礎，進而有效防範。

你的Apache Web Server若是同時提供多人使用（像是學校提供每個學生可以架設自己的網站），系統資源的管理也相當重要。使用者彼此權限的劃分，系統資源的共享與否，都需定義且設定清楚。第六章討論在提供這些重要資源時，如何透過有效管理及分配，以避免使用者之間作業上的衝突。

在提供網站服務時，使用者身份驗證（Authentication）及授權（Authorization）可以透過許多方式來達成。就Apache Web Server本身提供的技術而言，包括HTTP所定義的基本（Basic Authentication）及摘要式（Digest Authentication）驗證，表單式（form-based）及憑證式（Certificate-based Authentication），以及網路式（Network-level）的存取控制。第七章針對這些不同的方式逐一介紹，提供讀者了解彼此的特性與限制，以便選擇合適的方式來運用。

凡走過必留下痕跡，記錄檔是抓漏必備工具
第八章討論如何透過Apache Web Server本身的系統記錄檔及監控機制，來找出被駭客入侵的端倪。你除了可以了解記錄檔本身的種類格式及保存方式外，如何進行分析或透過一些輔助工具產生管理報表，讓你在管理網站系統時更有幫助。

就算你家銅牆鐵壁，若居住環境治安不好也是令你提心吊膽，第九章便針對網站主機所在的網路基礎架構提供設計上的建議，有效的服務區隔及網段設計可以避開不必要且不合法的網路流量，讓環境更安全。

除了網站伺服器本身，建構其上的應用系統也經常是安全問題所在。第十到十二章便分別探討可能發生在應用系統上的系統漏洞（像是透過Cookie、SQL Injection、緩衝區溢位等都在本章的討論範圍內），如何透過一些工具軟體對自己的網站系統進行入侵偵測評估，以及利用不同的測試方式及早發現缺失所在。

《作者簡介》陳宏一
交通大學資訊管理研究所碩士，現任億訊國際資深顧問。曾任職於南亞科技資訊部工程師、資迅人網路研發副理、艾群科技產品研發部經理，專精於OOAD、J2EE 相關技術、Open Source、資料庫設計、軟體開發流程及專案管理等；取得SCJP、SCWCD、SCJD、SCEA、ITIL等認證。曾經歷大型社群及電子商務網站、WAP/3G行動加值服務、CTI/CRM客服系統架構規劃設計等。