一、導語
大部分APP、小程序、公眾號都構建于Web平臺，和網(wǎng)站類似，便于維護管理。本文主要講解基于Web平臺的APP；同時也適合非Web的APP，運維流程都一樣。
本文主要針對服務器技術運維人員，介紹如何搭建一個安全、穩(wěn)定的APP平臺。不對程序本身做探討，開發(fā)人員的能力決定了程序的優(yōu)異，無法通過外部方式改變。
二、搭建Web平臺
一個優(yōu)秀的Web平臺，能減少很多危險漏洞。非常流行的Apache、Nginx等Web平臺，都存在嚴重的溢出漏洞，給黑客提供可乘之機。如果在Windows系統(tǒng)搭建Web平臺，建議使用IIS，IIS的漏洞明顯少于Apache、Nginx。
推薦使用“
護衛(wèi)神.主機大師”配置IIS環(huán)境，一鍵安裝IIS+PHP+ASP.net+ASP+MySQL，護衛(wèi)神.主機大師默認對PHP、MySQL、PHPMyAdmin做好了安全加固，防范黑客以此作為入侵突破口。同時用護衛(wèi)神.主機大師開設的站點，可以防范跨站入侵。
三、部署安全防護
平臺搭建好以后，還需要部署一些必備的安全防護措施，才能抵擋黑客的入侵。
黑客一般有三條途徑入侵服務器：系統(tǒng)、應用、網(wǎng)站。針對每一條途徑，我們都應該做好完善的防護措施，讓黑客無從得手。
1、系統(tǒng)入侵防護
首先更新系統(tǒng)補丁，修復已經(jīng)存在的系統(tǒng)漏洞。
然后再禁用危險服務、刪除危險組件、關閉危險端口、清除危險權限，全面排除暴露的系統(tǒng)危險。
如果您不知道如何操作，可使用
護衛(wèi)神.防入侵系統(tǒng)的免費系統(tǒng)加固服務。
2、應用入侵防護
常用的SQL Server、MySQL、Apache、Nginx、Tomcat、Serv-u等等軟件，都存在漏洞，黑客通過這些軟件可以輕松入侵服務器。需要對這些軟件做降權處理，防止黑客通過這些軟件提權。
當然最好的防護辦法是部署“
護衛(wèi)神.防入侵系統(tǒng)”，禁止軟件訪問安裝目錄以外的任何文件，阻止執(zhí)行非法操作。
詳細說明
3、網(wǎng)站入侵防護
網(wǎng)站入侵主要有四種方式：上傳網(wǎng)頁木馬、SQL注入、程序邏輯漏洞、后臺非法登錄。
這些問題其實都可以通過修復程序解決，但實際上也就只能想想。再優(yōu)秀的程序員，也開發(fā)不出沒有Bug的大型系統(tǒng)。因此配備安全防護系統(tǒng)成了必然之選。安全系統(tǒng)推薦“
護衛(wèi)神.防入侵系統(tǒng)”和“
護衛(wèi)神·網(wǎng)站鎖系統(tǒng)”。
護衛(wèi)神·防入侵系統(tǒng)通過木馬防護、遠程防護、用戶防護、篡改防護、進程防護、網(wǎng)站防護、防火墻、安全審計等安全模塊，提供多重防護措施，全方位保障服務器安全。
護衛(wèi)神·網(wǎng)站鎖系統(tǒng)則進一步提升網(wǎng)站安全，增強防掛馬、防黑鏈、防篡改能力。為網(wǎng)站提供ACL安全加固、訪問策略加固，精準區(qū)分游客和管理員，最大限度降低游客的操作權限，讓游客無權做任何入侵操作。同時為后臺增加密碼鎖，只有解鎖了的管理員才能登錄；即使泄露了管理賬戶和密碼，也無懼黑客入侵。
四、部署數(shù)據(jù)備份
毫無疑問，數(shù)據(jù)安全是所有網(wǎng)絡安全的核心，我們除了做好應有的安全防護措施，還應該從數(shù)據(jù)備份層面進一步加強數(shù)據(jù)安全。數(shù)據(jù)備份有四種模式：本地備份、異地備份、數(shù)據(jù)熱備和容災備份。詳細介紹請參考：
數(shù)據(jù)備份方案
五、例行運營維護
例行維護主要是檢查服務器運行狀況，確保各項自動化任務都已按預定計劃執(zhí)行，預防意外發(fā)生，建議每周進行一次，并重啟一次服務器。
大致有以下項目：安全檢查、硬件檢查、性能檢測、任務檢查、冗余清理。
1、安全檢查
是否有新補丁、系統(tǒng)用戶是否異常、防火墻是否開啟、是否有陌生進程、輔助安全系統(tǒng)是否正常工作、遠程桌面有無異常登錄、復查系統(tǒng)權限、全面查殺木馬、分析系統(tǒng)日志、分析安全防護系統(tǒng)日志。
2、硬件檢查
CPU溫度檢測、硬盤溫度檢測、風扇轉速檢測、電源電壓檢測、磁盤碎片整理（注意：SSD硬盤不能整理碎片），確保硬件良好，防范硬件故障。
3、性能檢測
重點檢查CPU、內(nèi)存、硬盤IO等性能負載，及時替換硬件，提升負載能力。
4、任務檢查
主要檢查各自動化任務是否正常運行，如數(shù)據(jù)是否按預期進行備份。
5、冗余清理
服務器在運行過程中會產(chǎn)生很多垃圾文件，建議定期清理，提升性能。
例如SQL Server開啟了完整日志模式，存儲空間會不斷增加，建議定期清理日志。
六、擴展&應急方案
在運營過程中，可能遇到各種突發(fā)情況，如黑客攻擊、系統(tǒng)緩慢等問題。
作為合格的運營人員，針對這些問題都得有所準備，下面我們簡單介紹下處理方法。
1、網(wǎng)站打開慢
網(wǎng)站打開慢主要從網(wǎng)絡、硬件、程序、系統(tǒng)等方面考慮。
首先確保服務器帶寬充足，帶寬不充足會嚴重影響網(wǎng)站打開速度。如果不方便增加帶寬，可以使用CDN，減少服務器的帶寬消耗。
如果服務器CPU、IO和內(nèi)存負載一直很高，請及時更換硬件，硬盤最好使用固態(tài)硬盤，IO性能遠超機械硬盤。
程序的優(yōu)異很大程度決定了網(wǎng)站運行速度，這方面需要程序員有足夠的優(yōu)化經(jīng)驗，本文不做探討。
如果網(wǎng)站流量非常大，更換了最好的硬件，性能還是不足，就只有從程序結構方面考慮，使用分布式，無限擴展性能。
對于流量不是非常大的網(wǎng)站，有可能是系統(tǒng)存在問題，可以通過技術優(yōu)化手段，提升一定的服務器性能，具體優(yōu)化方法請咨詢護衛(wèi)神技術工程師。
2、CDN加速
CDN是提升靜態(tài)文件訪問速度的利器，越來越多的網(wǎng)站選擇使用CDN。推薦使用阿里云和騰訊云這兩家的CDN，物美價廉，節(jié)點豐富，管理方便。
注意務必設置靜態(tài)文件有足夠的緩存時間（建議至少緩存1天），以減少服務器的帶寬壓力。
3、攻擊防護
攻擊不同于入侵，它是使用外部暴力手段，讓服務器和網(wǎng)站無法正常運行。常規(guī)的攻擊可分兩類：DDOS流量攻擊、CC攻擊。
DDOS流量攻擊包含syn、ack、icmp、udp等攻擊，是向服務器發(fā)送大量數(shù)據(jù)包，讓服務器帶寬、連接數(shù)枯竭。此類攻擊比較好防護，需要有硬件防火墻和充足的帶寬。不過一般都是購買第三方高防服務來解決，如“
護衛(wèi)神·DDOS攻擊防護服務”。
CC攻擊是模擬用戶訪問網(wǎng)站，讓服務器帶寬、CPU、內(nèi)存、連接數(shù)等各種資源都枯竭。防御起來比較麻煩，需要從程序、CDN、硬防等綜合防御。
硬件防火墻防御CC攻擊最多有90%的攔截率，而同時會產(chǎn)生非常大的副作用，部分正常用戶也會被攔截。
如果CC攻擊的靜態(tài)頁面，只需要開啟CDN，就能有效抵御攻擊。如果CC攻擊的動態(tài)頁面，除了硬件防火墻，還應該在程序上做防護措施，如將被攻擊頁面輸出為最少的內(nèi)容，且不做任何邏輯運算，減少CPU和帶寬消耗。
總而言之，安全無小事，我們只有對APP安全、小程序安全、公眾號安全足夠重視，才能避免后期付出慘痛的代價。
