Управляйте SQL-сервером MS по SSH (шпаклевка)

nginx размещает несколько процентов глобального количества веб-сайтов, таким образом, это далеко от того, чтобы быть неясным. Это - сотни тысяч, если не миллионы сайтов и nginx как такового являются достаточно большими, чтобы быть стоящей целью для использования.

nginx уже имел проблемы безопасности, и сообщество разработчиков ПО с открытым исходным кодом раскрыло уязвимости автору, который зафиксировал их. Поиск "безопасности" в журналах изменений, и Вы будете видеть, что там существует рабочий процесс: http://nginx.net/CHANGES-0.6

Таким образом, nginx имеет в значительной степени тот же процесс как Apache для фиксации проблем безопасности. Это может быть меньшая команда, и менее формализованный, но это работает почти такой же путь.

Наличие маленькой, трудной кодовой базы, с чистой и простой архитектурой, является основным улучшением с точки зрения безопасности. Меньше кода = статистически меньше ошибок. События показывают это, поскольку кодовая база становится больше, количество ошибки выращивает больше, чем линейно. Принимая подобный код к коэффициенту ошибок, меньшая кодовая база приведет к меньшему количеству использования.

Было бы безответственно с точки зрения безопасности пойти с nginx, из-за его меньшей базы пользователей? Я не ответил бы на абсолютно никакой, nginx является очень хорошим выбором, также для настроенной безопасности.

Я однако предложил бы посмотреть на безопасность сервера HTTP немного отличающимся способом. Существует проблема переполнения буфера в http deamon, который мог привести к использованию против http deamon самого. Для большинства проектов влияние этого может быть минимизировано довольно легко, при помощи инструментов уровня ОС, таких как тюрьмы / croot / виртуализация, чтобы 'контейнеризировать' http deamon и ограничить эффект успешного нападения.

Нападение на веб-приложение может быть хуже, и более распространено, специально для внутренних разработанных веб-приложений, которые часто не были безопасностью, контролируемой экспертами. Примеры используют перекрестные сценарии стороны или Внедрение SQL, чтобы сделать злые вещи с пользовательскими данными, забрать деньги, украсть базу данных имен пользователей и паролей и т.д.

Apache обладает одним главным преимуществом в области безопасности веб-приложения, то преимущество является третьей стороной mod_security модуль. Думайте о нем как о гиганте regex механизм для Запросов HTTP, который позволяет Вам делать сопоставление с образцом и фильтрующий на любой части HTTP-вызова. Это может использоваться для значительного сокращения поверхности атаки против собственного кода веб-приложения.

Для настроенной на безопасность стопки веб-приложения с открытым исходным кодом я мог бы использовать:

• контейнеризированный nginx экземпляр для выравнивания нагрузки, на отдельном физическом или виртуальном сервере перед веб-серверами, проксируя Запросы HTTP к веб-серверам бэкенда.
• Apache с mod_security для веб-серверов.

Вы могли также сделать это наоборот - Apache с mod_security, выполняющим переднюю сторону выравнивания нагрузки nginx веб-серверов. Это - в основном вопрос того, где Вы хотите, чтобы загрузка ЦП была - HTTP-фильтрация с mod_security берет изрядное количество ресурсов ЦП, таким образом, подсистема балансировки нагрузки Apache с mod_security не могла бы обработать больше чем горстку веб-серверов бэкенда. Перегрузка на подсистеме балансировки нагрузки значительно уменьшается, если подсистема балансировки нагрузки является маленьким, быстрым nginx экземпляром, и веб-серверы делают свою собственную фильтрацию mod_security.

Это дает Вам контейнеризированного Прокси HTTP как слой косвенности между общедоступным Интернетом и Вашим веб-приложением и mod_security как масштабируемый брандмауэр уровня HTTP перед Вашим кодом веб-приложения. Но будьте подготовлены к этому, особенно mod_security, для взятия большого количества времени, чтобы настроить и стать полностью рабочими без нежелательных побочных эффектов.