云服务器网络安全法 云服务器网络安全法律法规

新出台的《网络安全法》对企业有哪些影响

随着互联网与实体经济、传统生产等的逐步融合，网络安全尤为关键。《中华人民共和国网络安全法》（以下简称：网络安全法）最近由全国人大常委会表决通过，于2017年6月1日起正式施行。这部备受关注的网络安全基础性法律的出台，将会对个人、企业等相关主体产生哪些影响？

成都创新互联公司成立十余年来，这条路我们正越走越好，积累了技术与客户资源，形成了良好的口碑。为客户提供成都网站设计、网站建设、网站策划、网页设计、域名与空间、网络营销、VI设计、网站改版、漏洞修补等服务。网站是否美观、功能强大、用户体验好、性价比高、打开快等等，这些对于网站建设都非常重要，成都创新互联公司通过对建站技术性的掌握、对创意设计的研究为客户提供一站式互联网解决方案，携手广大客户，共同发展进步。

对个人：个人信息受保护更加明确

目前，我国网络用户群体庞大。据中国互联网络信息中心《第38次中国互联网络发展状况统计报告》，截至2016年6月底，中国网民规模达7．1亿，互联网普及率达51．7％，其中手机网民规模达6．56亿，网络安全问题不可掉以轻心。那么，网络安全法的出台，将会给个人带来哪些影响？

网络安全法对保护个人信息有了明确规定，如“网络运营者不得泄露、篡改、毁损其收集的个人信息”“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息”等。

中国信息安全研究院副院长左晓栋指出，保护个人信息是当前网络工作中的重要方面，随着云计算、大数据时代的到来，越来越多的企业和机构拥有搜索个人信息的能力，个人信息的使用、交互、跨境传输越发频繁。虽然相关部门此前有一些政策法规，但总体比较分散、不成体系，正需要这样一部上位法。

360网络安全专家裴智勇指出，个人信息泄漏有多种原因，如网站存在安全漏洞，黑客或钓鱼网站的窃取，无良商家的盗卖等。第三方机构已披露的数据显示，2015年，中国网站因为安全漏洞可能泄漏的个人信息多达55．3亿条，其中包括大量的用户实名信息。

中国互联网协会“互联网＋”研究咨询中心副主任李易表示，未来网上聊天记录、邮件往来等，都可以作为证据进行留存取证，网络纠纷和安全问题更便于追溯。这对网民网上消费生活信心的极大提升。他打了个比方，如果个人用户在手机上下载并使用某个APP而导致个人信息泄露，过去没法投诉提供服务的应用商，但网络安全法提供了明确的法律依据，“这意味着以后涉及互联网领域的官司可能会越来越好打了。”

另一方面，网络安全法提出的“网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，应当要求用户提供真实身份信息”等规定，也以法律形式明确了“网络实名制”。这给遏制如今网络谣言肆意传播、网络暴力泛滥等乱象，提供了法治基础。

左晓栋认为，从打击犯罪、维护国家安全等角度看，这次提出的网络实名制比以往的电话实名制范围更广，且其“前台匿名、后台实名”的原则也充分保护个人隐私，如个人上网发帖子以后照样可以匿名或用网名，只是在涉及执法时后台能追踪调查到个人。

对企业：提高了准入门槛和运行安全能力要求

一旦互联网企业或系统出现问题乃至发生瘫痪，会造成重大损失。在业内专家看来，互联网发展到现阶段，需要设置门槛，不能再“野蛮生长”；这个门槛就是安全，而网络安全法正是“安全保障之门”。

中国政法大学传播法研究中心副主任朱巍指出，网络安全法对企业的安全资质、内部技术、制度等有了具体规定，要求网络服务提供者开展业务、提供服务的同时保障安全，若达不到要求无法进行服务。这将作为互联网企业发展的一个衡量标准。

同时，网络安全法也对互联网公司提出了更高要求。特别是，大型互联网公司现在已可被视为基础信息平台，如阿里、百度、腾讯等拥有数亿用户，这些企业应承担起相应的义务。李易认为，互联网企业必须有与其基础信息平台相匹配的技术能力，如应对黑客攻击、避免用户损失等。同时，也要有相关的法律条款，对大企业的“霸王条款”进行规制。

业内专家也提出，网络安全法中“关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储”等规定，也对在我国经营的国外互联网企业有了规范要求。

总的来说，网络安全法将提高互联网企业的市场准入门槛，对发展运行也提出了更高的要求。尤其，在法律规范下，不具备安全技术能力的中小企业，未来可能更容易被淘汰。

专家建议：具体规定仍待细化

网络安全法出台到具体落实，还有一段过渡时间。在不少专家看来，不少具体规定要“落地”，还有一些配套措施需要完善。

朱巍说，网络实名制问题，到现在还没有彻底落实，主要原因在技术上，是采用手机还是EID（网络电子身份证）等，方式仍未确定。另外，网站的主体责任问题目前仍未落实；仍未明确不同行业应遵循的具体标准；对于网站创建网民协议、搜集用户信息、用户知情权等的具体规定，也较缺乏。而且，现在很多互联网企业并不保存点对点的信息记录，一旦出现问题还是很难溯源。

朱巍认为，网络安全法“落地”，需要实施细则、个人数据保护法等其他法规的“配合”，网民协议制度、行业自律规范、技术能力等也都要跟上。

李易说，可以考虑推行评级系统，互联网企业要正常运营，网络安全评级或可信度需要达到一定的等级，“这也相当于一个准入标准。”

北京师范大学法学院教授、亚太网络法律研究中心主任刘德良表示，未来要处理好网络安全法与一些相关法律法规的关系，如民事侵权责任、个人信息保护、软硬件市场准入等相关法律法规，在保障网络安全的同时，避免在法律适用等环节出现问题。

互联网领域新生事物的快速发展，对监管部门提出了更高的要求。业内专家指出，强制要求备案，所有互联网企业域名解析、服务器托管需要相关认证等规定，都是对互联网企业创业的基本要求，尤其对于中小企业。左晓栋等表示，网路安全法到明年正式施行，还有几个月时间，相关部门当抓紧制定和完善相关细则规定，推动相关企业做好准备工作。

云服务器（阿里云）的安全组设置

安全组 是一个ECS的重要安全设置，但对小白用户来说却很难理解其中晦涩难懂的专业术语。websoft9在此介绍个人的理解：

阿里云官方解释 ：安全组是一种虚拟防火墙，用于设置单台或多台云服务器的网络访问控制，它是重要的网络安全隔离手段，用于在云端划分安全域。每个实例至少属于一个安全组，在创建的时候就需要指定。

注解：简单理解：服务器什么端口（服务）可以被访问，什么端口可以被封锁

例子：服务器80端口是用来提供http服务，如果服务器部署了网站，而没有开放80端口，这个网站肯定访问不了，http: //ip 是打不开的。

这是很常见的问题，用户第一感觉就是购买的服务器有问题或购买的镜像用不了。

远程连接（SSH）Linux 实例和远程桌面连接 Windows 实例可能会失败。

远程 ping 该安全组下的 ECS 实例的公网 IP 和内网 IP 可能会失败。

HTTP 访问该安全组下的 ECS 实例暴漏的 Web 服务可能会失败。

该安全组下 ECS 实例可能无法通过内网访问同地域（或者同 VPC）下的其他安全组下的 ECS 实例。

该安全组下 ECS 实例可能无法通过内网访问同地域下（或者同 VPC）的其他云服务。

该安全组下 ECS 实例可能无法访问 Internet 服务。

当用户购买一个新的服务器的时候，阿里云会提醒选择安全组，对于一部分入门用户来说，第一感觉就是选择一个等级比较高的安全组，这样更为保险。实际上，等级越高，开放的端口越少。甚至连80端口、21端口都被封锁了，导致服务器ping不通、http打不开。这样最常见的访问都无法进行，用户第一感觉就是购买的服务器有问题或购买的镜像用不了。

在Websoft9客服工作中统计发现，96%的用户浏览器http://公网IP 打不开首页，都是因为安全组的设置关闭了80端口所导致。

第一，找到对应的实例，通过安全组配置选项进入设置。

第二，点击“配置规则”，进入安全组规则设置。

阿里云服务器安全性怎么样?有什么安全防护措施

大多用户在选购云服务器的时候首先考虑的就是阿里云服务器,不仅是因为阿里云服务器是国内知名度最高的云服务器品牌,还有一个重要原因就是阿里云服务器有一定的安全性保障吧。阿里云服务器本身自带一些安全防护措施。

1、免费开通云盾,提供网络安全、服务器安全等基础防护

DDoS 基础防护 ：

提供最高 5G 的 DDoS 防护能力,可防御 SYN flood、UDP flood、ICMP flood、ACK flood 常规 DDoS 攻击。

2、服务器安全功能： 安骑士

包含暴力破解密码拦截、木马查杀、异地登录提醒、高危漏洞修复的防入侵功能

免费提供云监控,并支持多种实时预警

3、站点监控：

提供对 http、ping、dns、tcp、udp、smtp、pop、ftp 等服务的可用性和响应时间的统计、监控、报警服务。

4、云服务监控：

提供对云服务的监控报警服务,对用户开放自定义监控的服务,允许用户自定义个性化监控需求

报警及联系人管理：提供对报警规则,报警联系人的统一、批量管理服务。支持多报警方式：短信、邮件、旺旺、接口回调。

除了以上自带的安全性防护措施之外,用户也可以选购阿里云安全类产品,进一步加强云服务器的安全。

1、阿里云云盾(AntiDDos)

功能：防护SYN Flood、UDP Flood、ACK Flood、ICMP Flood、DNS Flood、CC攻击等3到7层DDos攻

击。

2、安骑士（阿里云查、杀毒软件）

功能：轻量级服务器安全运维管理产品。在服务器上运行Agent插件,正常状态下只占用1%的CPU、

10MB内存。可以自动识别服务器Web目录,对服务器的Web目录进行后门文件扫描,支持通用

Web软件漏洞扫描和Windows系统漏洞扫描,对服务器常见系统配置缺陷进行检测,包括可疑

系统账户、弱口令、注册表等。

3、 云盾Web应用防火墙 —WAF(Web Application Firewall)

功能：基于云安全大数据能力实现,通过防御SQL注入、XSS跨站脚本、Web服务器插件漏洞、木马

上传、非授权核心资源访问等OWASP常见攻击,过滤海量恶意CC攻击等。除了具有强大的Web

防御能力,还可以指定网站的专属防护,能轻松应对各类Web应用攻击。

1、服务器初始安全防护

安装服务器时,要选择绿色安全版的防护软件,以防有被入侵的可能性。对网站提供服务的服务器,软件防火墙的安全设置最高,防火墙只要开放服务器端口,其他的一律都关闭,你要访问网站时防火墙会提示您是否允许访问,在根据实际情况添加允许访问列表。这样至少给系统多一份安全。

2、修改服务器远程端口。

修改你的远程连接端口,例如 windows 的 3389,Linux 的 22 端口。应用服务尽量不要对公网开放,尤其是中间件服务,除了 web 服务所提供的 80,443 端口之外都应该尽量不要对公网开放默认端口,例如 MySQL 的 3306 ,Redis 的 6379 等等。

3、设置复杂密码。

一但服务器IP被扫描出来默认端口,非法分子就会对服务器进行暴力破解,利用第三方字典生成的密码来尝试破解服务器密码,如果您的密码足够复杂,非法分子就需要大量的时间来进行密码尝试,也许在密码未破解完成,服务器就已经进入保护模式,不允许登陆。

4、随时修补网站漏洞

如果网站出现漏洞时不及时处理,网站就会出现一系列的安全隐患,这使得服务器很容易受到病毒入侵,导致网络瘫痪,所以,平时要养成良好的习惯,时刻关注是否有新的需修补的漏洞。

5、多服务器保护

一个网站可以有多个服务器,网站被攻击时,那么我们就可以选择不一样的方式进行防范,针对不同的服务器,我们应该设置不同的管理,这样即使一个服务器被攻陷,其他的服务还可以正常使用。

6、利用好防火墙技术

现在防火墙发展已经很成熟了,防火墙可以选择安全性检验强的,检验的时间会较长,运行的过程会有很大负担。如果选择防护性低的,那么检验时间会比较短。我们在选择防护墙时,要根据网络服务器自身的特点选择合适的防火墙技术。

7、定时为数据进行备份。

定时为数据做好备份,即使服务器被破解,数据被破坏,或者系统出现故障崩溃,你只需要进行重装系统,还原数据即可,不用担心数据彻底丢失或损坏。

使用云服务器时的几个防护技巧

云服务器的使用越来越广泛，愈加受到众多企业的青睐，那么，在使用过程时如何更好的做好防护措施呢？小蚁君来说说。

1.随时检查系统安全漏洞，安装系统补丁。不管是Windows还是Linux，操作系统都会有漏洞，及时装上补丁，避免被不法分子恶意利用攻击.

2.安装并升级杀毒软件。目前网络上的病毒越加猖獗，随时会影响到网站服务器的安全，因此，系统要安装上杀毒软件来提前预防病毒的传播，并定期检查升级杀毒软件，自动更新病毒库。

3.定期对服务器数据进行备份。为预防突发的系统故障而导致的数据丢失，平时就要定期对系统数据进行备份，同时，重要的系统文件建议存放在不同的服务器上，以便系统出故障时能将损失降到最低。

4.定期对账号密码进行修改保护。账号和密码保护可以说是服务器系统的第一道防线，目前大部分对服务器的网络攻击都是从密码开始的，一旦不法分子截获了密码，那么前面所做的所有安全防护措施都将失去了作用。

5.关闭不常用的服务和端口。服务器操作系统在安装时，会启动一些不需要的服务，不仅占用了系统的资源，还会增加系统的安全隐患。因此，定期检查系统运行中的软件和服务，没有使用的就关闭掉。

做了那么多，那么要怎么样才能避免一些低级的黑客攻击呢？

小蚁君网络了一些方法以及应对的措施

常见攻击手段

1、针对网站

1.1、SQL注入

sql注入也是老生常谈了，基本上算是常识了，这种手段无非是利用后台漏洞通过URL将关键SQL语句带入程序并在数据库中执行从而造成破坏性结果。常见情况包括后台使用了的致命的字符串拼接，比如在java的jdbc中使用如下写法

String sql = "select * from t_user where username = "+username;

1

如果入参username在url中被换成不怀好意的sql语句或者其他，数据库也就危险了。

localhost:8080/testproj/queryUser?username=;drop%20t_user;

此外，类似的mybatis的${}写法也是同样道理，最好换成#。

1.2、后台框架、协议漏洞

1.3、程序逻辑漏洞

这个就需要黑帽子们比较有耐心，去一点点找出来，举个例子，网站有效性校验。针对数值有效性，前端有进行过滤，但是网站后台没有做参数有效性校验，这时候恶意者使用F12或postman等拼装ajax请求，将dfa或者-1ad这种非法数字发送给后台，健壮性差的程序就很容易报错，异常暴露到页面上，瞬间就能让操作者知道后台使用何种语言何种框架。更严重的可能是利用程序逻辑漏洞做重复提交、越权操作等行为，因此需要开发人员注意。

1.4、CSRF攻击

;password=123456role=1

这个时候浏览器还携带着管理员登录的cookie因此该行为得到执行，我就获得了一个管理员用户，当然这么蠢的网站一般是不存在的，这里只是打个比方。

防范手段比较常见的是url携带token进行校验，这种手段还可以防御cookie被篡改，盗用等情况，相当的万金油。

1.5、暴力破解

直接采用密码表暴力破解方式强行登录管理员账户，这个没啥技术含量，开发人员做好验证码校验以及恶意攻击校验，频繁请求IP封禁即可。

2、针对服务器

2.1、服务器登录用户、数据库登录用户爆破

黑帽子有多种手段确定后台数据库，比如1.3中直接让后台报错，很容易就发现了后台使用的什么框架，连得啥库。又或是使用nmap 等工具直接开扫，目标服务器暴露3306端口大概率就确定是mysql了。确认了数据库类型以及端口接下来就是采用密码表暴力破解了，很多安全意识差的密码居然还是root,123456之类的，分分钟被暴，而扫到后台服务器22开放端口也可以确认后台服务器使用linux开放ssl登录。所以应对方式有三种：

mysql限制访问IP，这个利用alter user语句就可以做到，root账户尽量只给localhost权限，慎用user@%；

不要使用弱密码，尽量采用字母+数字+特殊字符的密码；

服务器使用放暴力破解服务，可以针对非法访问恶意操作进行锁IP防御。

2.2、服务器端口漏洞

通过nmap很容易扫描到服务器暴露的端口，比如139端口外露，就有大量的手段可以渗透：

net use ipipcContent

nbsp;”” /user:administrator

所以应对手段也很简单，开启防火墙，且只开放有需要的端口，敏感端口如139,445不要外露。

2.3、操作系统漏洞

虽然大部分公司都采用linux作为服务器，相对安全得多，但是还是有不少公司（至少博主见过挺多的）还在使用windows server，大量的漏洞让服务岌岌可危，应对方式也很简单粗暴，该打的补丁就打，不要偷懒。

2.4、木马植入

这个就是黑客直接通过向服务器种植木马，开启后门，取得服务器控制权，应对方式主要以下三点：

1、不要用服务器访问乱七八糟的网站（尤其是公司服务器在国外的，不要想着借来翻墙了，别作死），下载乱七八糟的东西；

2、实体机的移动外设接入前注意杀毒；

3、服务器安装相应安全产品，定期查杀木马，定期更新漏洞补丁；

4、防火墙注意开启，相应端口注意配置。

做到以上几点，基本上中级以下的黑客是进不来了，就算是中高级的黑客也得费一番功夫。当然，如果公司服务器数据涉及资产非常高，建议直接联系小蚁君