防止感染恶意软件

要想避免遭受恶意软件的侵害，就需要时刻保持警惕。本文中包含关于防止感染恶意软件的提示和建议。但是，这些提示和建议并非面面俱到，因此 Google 建议网站所有者进行更彻底全面的研究。

监控网站的运行状况

Search Console 中的许多功能可以帮助您发现潜在问题。例如：

  • 使用 site: 搜索运算符在 Google 上进行搜索，可以查看 Google 在您的网站上发现了哪些网页。建议定期执行此操作，了解是否有人暗中在您的网站上插入了非预期的网页或内容。如果您发现网站上有未知网页或并非自己创作的内容，表明网站可能已遭到黑客入侵。如果您不熟悉 site: 搜索运算符，就只要知道使用该运算符可将搜索范围限制为搜索特定网站。例如，执行 site:developers.google.com 搜索将只返回来自 Google Developers 网站的结果。
  • “安全问题”报告会显示 Google 在您网站上发现的任何被黑网页，以及有关如何解决该问题的说明。
  • 如果 Google 在您的网站上检测到恶意软件，您将会在 Search Console 的消息面板中看到通知。为了确保您能及时收到通知，您可以进行设置，让系统将消息转发到您的电子邮件账号中。

安全核查清单

除了定期监控您的网站，我们还建议：

所有网站所有者

  • 选用安全的密码。Google 账号指南非常有用。
  • 选择第三方内容提供方时要非常谨慎。确保您网站上的第三方应用和广告来自可信和合法的来源。可信和合法的来源会在其网站上提供支持和联系信息。
  • 与您的托管公司或发布平台联系以获取支持。 大多数公司都有反应迅速的支持团队和/或安全性网页可提供帮助。如果安全网页或网站提供 RSS Feed，请订阅这些 Feed，以确保您了解最新情况。
  • 确保所有计算机安全无虞。尤其是在创建网站时，请确保本地工作站安装了最新版本的软件，没有受到病毒、特洛伊木马或类似恶意软件的感染，并且安装了最新版本的防病毒软件。

有权访问服务器的网站所有者

  • 检查服务器的配置。 Apache 在其网站上提供了一些安全配置提示，Microsoft 也在其网站上提供了一些适用于 IIS 的技术中心资源。这些提示中包含有关目录权限、服务器端包含内容、身份验证和加密的信息。
  • 备份您的 .htaccess 文件（或根据您所用的网站平台实施其他访问控制机制）。日后出现故障时使用备份文件进行恢复。完成后一定要删除备份文件。
  • 及时更新软件，并及时应用最新的补丁程序。 许多工具都让网站的构建工作变得简单易行，但每一种工具都有留下攻击漏洞的风险。在网站中架设论坛或博客后就置之不理是很多网站所有者都容易犯下的错误。就像爱车需要定期保养一样，您务必要将所有已安装的软件程序更新为最新版本。列出您的网站使用的所有软件和插件，并记录其版本号和更新。即使您不断更新，确保所有网站组件都使用最新版本，但如果您的网络托管服务商未安装最新的操作系统补丁程序，您可能还是会面临漏洞的威胁。此问题不仅会影响小型网站，银行、球队、公司和政府网站等大型网站也会收到警告。
  • 监控日志文件。 养成这种习惯大有裨益，其中一个好处是可以提高安全性。例如，出现陌生的网址参数（如 =http: 或 =//）或网站上重定向网址的访问量突增，都可能表明黑客正在利用开放重定向。此外还请注意，黑客往往会尝试更改日志文件。请采取措施防止这些文件受到攻击。例如，您可以将这些文件从其默认位置移走，让黑客无法轻易找到这些文件。
  • 检查网站中是否存在常见漏洞。 避免采用开放权限的目录，这种做法就像敞开自家大门一样。

    此外，还要检查是否存在任何 XSS（跨站脚本攻击）和 SQL 注入漏洞。

  • 使用安全协议。 Google 建议用 SSH 和 SFTP 而不是 telnet 或 FTP 之类的纯文本协议传输数据。SSH 和 SFTP 都采用加密技术，安全性要高得多。
  • 了解最新的安全资讯。 Google 安全博客提供了有关在线保障和安全的实用信息，以及指向其他资源的链接。美国政府网站 US-CERT（美国计算机应急响应小组）提供了技术安全提醒和提示。

如果您是 Search Console 用户，并且您的网站存在持续出现或无法解决的安全问题，请告诉我们。

报告安全问题