工具箱：面向 IT 专业人员的新产品
本月的工具可以增强基于软件的 Web 应用程序保护，并且可以快速方便地传输文件。
Greg Steen
ServerDefender VP
攻击者经常以 Web 应用程序为目标。他们可以突破防护，获取身份证号和信用卡信息等重要信息。您需要执行一切可能的操作来保护 Web 服务器：使用最新的修补程序和 Service Pack 使服务器保持最新状态，在服务器的“前端”实现硬件防火墙，以及使用基于软件的 Web 应用程序防火墙提供附加保护层，从而减少攻击面并减轻威胁。
Port80 Software Inc. 提供的 ServerDefender VP 是一种可行的基于软件的保护层。此企业级解决方案被推崇为“完善的 Web 应用程序安全生命周期管理工具”。与硬件防火墙不同，安装 ServerDefender VP 需要的停机时间最短。在主动阻止传入连接之前您可以在“仅日志”模式下运行，确保对防火墙进行配置以满足您的需要。
该程序已进行默认配置并可以操作，但您很可能需要使用内置的“安全启动向导”学习工具（否则应用程序将发出警告），该工具可检查服务器的请求和响应模式。该工具还会对现有日志文件进行分析，确定您网站的“正常”流量标准。该向导将扫描日志，分析 404，并要求您为活动会话设置 Cookie 宽限期，之后您才能启用请求筛选。
ServerDefender VP 可防止跨站点脚本攻击、SQL 和脚本注入缺陷、跨站点脚本伪造 (CSRF)、不正确的错误处理和会话管理、错误的访问控制以及类似的 Web 攻击类型。您还可以获得缓冲区溢出保护、拒绝服务和其他暴力攻击保护、输入验证和 Cookie 篡改保护。
ServerDefender VP 与 IIS 6、7 和 7.5 一起运行，适用于 SSL 和标准 HTTP 请求和响应。如果您在网站上使用信用卡，那么很高兴告诉您，ServerDefender VP 符合支付卡行业数据安全标准 (PCI DSS)，可保护持卡人信息。
如果您在“仅日志”模式下运行该工具，则除了分析 IIS 日志，您还可以分析应用程序日志，更清晰地了解您的请求模式。您还可以验证配置以确保不会筛选误报，误报可能会阻止合法请求。ServerDefender VP 具有一个配置向导，可以检查网站绑定、应用程序池、ASP.NET 会话状态和 RSS 源，确保兼容性并设置默认配置选项。您可以让应用程序了解是否对非粘滞会话使用负载平衡器。
ServerDefender VP 界面具有 Microsoft 管理控制台 (MMC) 外观。左窗格中显示了服务器和网站，主窗格中包含配置和报告界面。主窗格分为“网站状态”、“请求管理”、“响应管理”、“会话管理”、“错误管理”和“管理选项”选项卡。在“网站状态”选项卡中，性能计数器显示请求和响应统计信息、攻击计数、阻止的 IP 和 404 警报。
您可以配置基于大量触发器的警报，确保您可以意识到潜在问题。可以通过电子邮件、SNMP、事件日志和 syslog 发送通知。您还可以查看日志并生成 HTML 活动报告。
使用“请求管理”选项卡可以配置该应用程序处理传入流量以及筛选这些请求的方式。您可以配置输入验证、缓冲区溢出设置、允许的资源和 HTTP 请求方法、某些 URL 模式限制、文件上载设置（包括完全阻止文件上载），以及任何请求项或模式例外。
使用“响应管理”选项卡可以阻止详细 500 错误（当开发人员忘记在 web.config 文件中设置 ASP.NET 选项时非常有帮助），防止 HTTP 响应拆分，以及阻止或限制目录浏览。使用“会话管理”选项卡可以强制每个会话使用一个 IP，验证引用，定义 Cookie 和会话策略，添加 IP 阻止策略甚至 BOT 限制策略。使用“错误管理”选项卡可以定义错误模板、请求限制和错误限制设置，设置返回常规错误代码而不是特定错误代码（这些错误代码可为攻击者提供有关您的 Web 服务器配置的过多细节），以及设置特定错误消息。最后，可以在“管理选项”选项卡中管理日志设置和应用程序报告配置。
ServerDefender VP 的单服务器许可证价格为 1,495.95 美元。Port80 Software 还具有 ServerDefender AI 产品，其功能比企业产品的功能要少，但仍提供基于签名的保护和主动请求阻止功能，售价为 649.95 美元。AI 版本中不包括的选项为：CSRF 保护、会话管理、文件传输保护、暴力破解缓解、Cookie 篡改保护和每站点配置等。如果您正为 Web 应用程序基础结构寻找额外保护层，则可能希望了解一下 ServerDefender VP 或 AI。
.jpg)
Quick ’n Easy FTP Server Lite
您是否曾处于这样的境况：需要一个文件或一组文件，但文件太大而无法通过电子邮件发送，并且您没有进行文件共享而无法获得它们？FTP 是一种随处获得文件的好方法，但它通常涉及一个特殊程序，对于一次性传输来说这不是最佳选项，或者在您所处位置恰好不能使用。Pablo Software Solutions 提供的 Quick ’n Easy FTP Server Lite 是一个有所帮助的工具。
此工具对于非商业性使用是免费的，作为独立可执行程序运行并且没有安装程序，因此您随时可以具有“即时”FTP 服务器。首次启动 Quick ’n Easy FTP Server 的可移植可执行文件时，系统将显示一个设置向导，帮助您快速完成设置。该向导将指导您完成端口、代理、用户和目录的基本配置。
配置详细信息保存在一个 XML 文件中，因此您下次启动该服务器时即可使用。该服务器具有标准 FTP 服务器必备的配置选项，包括连接限制、超时、主动和被动 FTP 连接端口、日志记录以及欢迎和再见消息。尽管它是单个可移植可执行程序，但您可以在 Windows 启动时启动它。
添加用户非常简单。您也可以将这些详细信息存储在带加密密码的 XML 文件中。您可以设置帐户的主目录，允许或拒绝上载、下载、删除、修改以及创建文件和文件夹的权限。使用 Quick ’n Easy FTP Server 可以查看活动连接和活动日志，从而实时监视服务器。此外还提供一个服务器统计信息摘要视图，其中显示总体连接、上载/下载和数据统计。
商业用户可能希望了解下成本低廉的 Quick ’n Easy FTP Server Pro，其单个许可证售价 29.95 美元。商业版本增加了一些有用的附加功能，例如 IP 地址范围筛选、支持虚拟目录、限制传输速度、远程管理以及目录列表格式配置等。该产品也提供基于服务的版本。如果您正在寻找使用简单、易于配置且无需安装的 FTP 服务器来作为 IT 工具箱的补充，请在下次浏览 Web 时了解一下 Pablo Software 的 Quick ’n Easy FTP Server Lite 或 Pro。
.jpg)
.jpg)
Greg Steen是一位技术专家和企业家，酷爱钻研技术。他热衷于搜罗新工具，帮助 IT 专业人员更轻松地进行操作、解答疑难及开发。