开箱即用(Windows)服务器怎么可能不安全？

Question

背景:为了增加安全性，我正在考虑从共享的web主机切换到VPS。然而，管理VPS的成本远远高于非托管VPS。因此，假设：

• 我保护我的网站免受任何类型的sql注入等。
• 我的密码是安全的。
• 我将Windows更新设置为自动更新。
• 网络主机本身不会“攻击”计算机(因为如果它们“攻击”了--实际上我对它无能为力)。

我还需要做些什么来确保安全吗？(安全。不是不可穿越的。我是否正确地假设大多数漏洞都是运行在操作系统上的软件，而不是操作系统(Windows)本身？

还有一个具体的问题:从我所读到的看来，关闭端口是有必要的。但是为什么呢？端口什么也不做--听它的应用程序可能是脆弱的--但是如果一个应用程序正在监听一个端口--它应该需要这样做，而您不能就这样关闭端口。

编辑

我确实意识到，安全是一种持续的努力，很明显，我自己的软件可能包含安全缺陷。我要找的是“啊哈！”回答类型类似：“端口不依赖于软件聆听他们！”

Answer 1

首先，您说您已经保护您的网站不受“任何类型的sql注入之类的攻击”。这意味着，充其量，您已经将它保证到了一个您认为在那个时候足够好的标准，但它可能仍然是不安全的。

我将给你一个基本的概述：

• Microsoft WIndows本身在编写时存在许多已知和未知的漏洞。
• 所有应用程序都存在漏洞。
• 随着时间的推移，应用程序和操作系统得到了修补，但发现了新的漏洞。
• 每个开放端口都可能允许攻击，这取决于侦听该端口的应用程序中存在哪些漏洞。

一般的指导原则是：

• 安装您的平台，安装O/S并修补最新版本。
• 删除所有不需要的应用程序
• 遵循Windows硬化指南
• 只安装所需的应用程序并修补最新版本。
• 遵循这些应用程序的硬化指南
• ...etc等

你不能保证什么。您只能降低成功攻击的风险，即使这样，这也是一个持续的过程。

更新:汇总评论

尽管您需要的唯一应用程序是web服务器，但Windows开箱即用，许多应用程序都在监听不同的端口。除非您有充分的理由(可能需要远程连接等)，否则所有这些都应该对外部世界隐藏--在这种情况下，您需要保护该应用程序--您可以通过禁用应用程序或阻止防火墙端口等来做到这一点。