监控和禁止网站篡改的最佳实践、政策、工具/实用程序有哪些
答案1
正如首席法官所说的那样，变量太多，很难知道您所说的是哪个级别。
如果您只能访问实际的站点文件，那么重要的是要保持最新补丁，并留意任何安全更新。您还可以使用涅索斯或其他网站扫描程序来查找最常见的漏洞。这也可以外包，但很快就会变得昂贵。根据您选择的插件，您可以检查某些漏洞甚至弱密码。
就“监控”而言，你可以使用类似变化检测它将展示网站的任何变化。如果你期望它是静态的，但它突然发生变化，这可能是黑客入侵的迹象。如果您的网站因为是新闻网站或类似情况而变化很大，这种方法就不太管用了。
如果你有机会编译 Apache，我强烈建议mod_security。它将运行任何 POST 或 GET 到 Apache 的内容（这是个什么词？）以检查黑客行为。它曾多次在我们需要运行但不一定安全的应用程序上拯救了我。
最后，如果你真的非常重视 Web 应用程序的安全性，那么你需要聘请一家公司来处理此事。但是，如果您是在个人项目或低调、无预算的网站上执行此操作，上述步骤应该可以帮助您入门。整个职业生涯都基于您的主题，因此对您的答案的任何回应都不会是明确的解决方案。
答案2
这是一个非常开放的问题，最好的答案实际上是“视情况而定”。您为保护您的网站所采取的措施取决于很多因素。
您使用的是共享主机方案、VPS 还是专用主机？如果您使用的是 VPS 或专用主机，则您要负责该机器的安全性 - 这意味着配置防火墙、基于主机的 IDS、锁定任何开放端口并使用强身份验证、保持补丁最新等。如果您使用的是共享主机 - 它们的安全记录良好吗？
您是否有一个手册类静态 HTML 网站，仅通过 FTP 传输最新版本的文件进行更新？那么您需要停止使用 FTP，使用 SFTP/SCP 和基于密钥的身份验证并禁用密码身份验证。
您是否托管一个更具动态性并允许用户发布内容的网站，例如博客、wiki 或论坛？那么您还有很多事情要考虑 - 选择具有良好安全记录的软件包、在发布补丁时保持更新以及遵循安全配置指南。重命名管理员帐户并使用强密码即可开始。
然而，您确实没有提供足够的信息让别人向您提供关于如何具体帮助您的详细信息。
答案3
不要运行网络服务器。
认真的说，使用最新的软件，这些软件至少经过了外部代码审计，并在新版本发布时保持最新状态。不要使用未经授权、未经审计的第三方软件。如果您运行 php/perl/python/ruby，请按照上述相同的过程运行。静态页面无法被利用，但服务器仍然可以。如果您可以远程访问此服务器，请尽可能通过防火墙规则对其进行限制。您还可以与一家进行远程网站抓取的公司合作，并将您当前的页面与上一个已知的良好页面进行比较。有几种免费的和几种商业的。
您必须明白，安全是不存在的，就像现实生活中一样。一切都会出问题，一切都可以被利用，攻击者只需要比代码作者更聪明。这个想法是分层您的方法，使攻击者无法发起攻击，而无需花费超过数据的价值。
答案4
前段时间，我们在一个小型静态网站上使用了一个完全只读的文件系统：CD-ROM。它被内核高度缓存，因此速度足够快。