php - セキュリティ チェックリスト

Question

すべてのサイトを公開する前にチェックするためのセキュリティチェックリストを探しています。つまり、サーバーを保護する方法です。経験を共有してください。ホスティングパネルなしでプライベート vps でウェブサイトをホストしています。

Answer 1

パネルなしで VPS またはクラウドでサイトをホストしている場合は、OS レイヤーも管理する必要があります。基本的には、いくつかの優れたプラクティスに帰着します。特に管理用に最小限のサービスを公開し、要塞を使用してサーバーにアクセスし、定期的に更新し、セキュリティ ニュース チャンネルを購読し、SSL 設定を確認します。

最近、役に立つと思われるこの記事を公開しました: https://www.exoscale.ch/syslog/2016/02/12/wet-your-feet-with-security/

Answer 2

質問には 2 つの部分があります。1 つはプログラミング関連で、もう 1 つはそうではありません (特に 2 番目の質問について質問するので、反対票を投じるのはこのためです)。まず、アプリケーションベースの攻撃から実際のコード/アプリケーションを保護する必要があります。次に、サーバーと展開を保護する必要があります。

サーバーを保護する方法に関する 2 番目の質問は、プログラミングに関連するものではなく、SO には属しません。そのためにserverfault.comを試すことができます。

最初の質問である、実際のアプリケーションを適切に保護する方法については、安全な開発方法論に関する多くのトレーニングが必要です。ただし、少なくとも、一般的な Web アプリケーションの脆弱性の OWASP トップ 10 リストに精通している必要があり、アプリケーションがそれらの脆弱性に対して脆弱でないことを特に確認する必要があります。このリストは、OWASP Web サイトで入手できます。このリストを調べてアプリケーションを分析し、これらの問題に対する緩和策を展開してください。その方法に関する詳細なガイダンスは、OWASP Web スペース内にもあります。使用してください。