包头做网站的非技术背景老板们服务器安全这事儿你不能完全交给别人。我从{{稀土之都}}一家被入侵后损失惨重的公司和{{京包铁路枢纽}}一家安全防护做得很好的企业的对比出发用通俗的话讲清楚服务器安全的基本防护措施。安全不是技术人员的责任是每个网站拥有者的责任。
服务器安全防护的现状与问题
在稀土之都的技术实践中我发现服务器安全防护最常见的这些问题：意识不足（觉得不重要不紧急）；方法不当（用了过时或者不适合的工具）；执行不到位（做了但没有坚持或者没有做完整）。这些问题导致的结果就是网站性能差安全隐患多
举个具体的例子京包铁路枢纽在优化之前网站首页加载需要12秒优化后降到2.8秒跳出率降低了35%转化率提升了18%。这就是服务器安全防护带来的实实在在的收益。
服务器安全防护的技术方案
针对上述问题我推荐以下技术方案。先说一点进行全面的现状评估找出瓶颈所在。土右旗用的是GTmetrix和PageSpeed Insights这两个工具组合评估效果很好然后根据评估结果制定优化计划按优先级逐项实施。
实施过程中要注意记录基线数据和优化后的数据对比这样才能量化效果。另外优化不是一次性的工作要建立定期检测和优化的机制。技术环境在变用户行为也在变持续的优化才能保持好的状态。
服务器安全防护的实施要点
实施过程中有几个关键点需要注意。第一不要过度优化边际收益递减做到80分就可以了剩下的20分投入产出比不高。第二要注意兼容性特别是在服务器安全防护时要测试主流浏览器的表现
第三要做好变更记录和回滚方案万一优化出了问题能够快速恢复。第四要让非技术人员也能理解优化的价值和进展这样更容易获得持续的资源支持。白云鄂博矿的做法是每月出一份简化的性能报告发给管理层效果很好。
总结
服务器安全的基本措施：定期更新系统和应用补丁；关闭不必要的端口和服务；设置强密码并定期更换；安装防火墙和入侵检测；限制登录尝试次数防暴力破解。这五条做到了能防范90%以上的常见攻击