网上应用系统保安的常见问题
你应采取多项预防措施，例如应移除所有未使用的服务丶指令介面丶和程式语言解译器或编译器，并应正确安装网站伺服器，且应依照“有需要才知道”基础来授权使用档案的权利，也应定期检查系统和网络纪录中可疑的活动。此外，应适当地管理可登入网站伺服器的用户帐号的数目，例如确定所有用户选择良好的密码，至少利用保密插口层 (SSL) / 传输层保安 (TLS) 来应保护网站伺服器的用户认证，以确保其密码不会被攻击者窃听。假如系统牵涉敏感或保密资料，也应考虑使用双重认证。
应注意以下指引，以加强网站伺服器的保安：
以下是网络应用程式常见的漏洞 :
透过完整的系统发展周期，考虑不同的保安控制 :
以下是几个网上应用程式保安评估需要检验的范例：
识别与认证
资料保护
纪录
操作
此外，当外判任何资讯系统给第三方资讯提供者时，应放置合适的保安管理程序，以保护资讯和消弭有关资讯科技专案 / 服务的相关保安风险。
认证系统中有三个基本的认证要素，即是你知道的东西丶你拥有的东西及你本身即拥有的东西。要作为对抗身分窃取的增加威胁，执行高风险电子交易时，应推行双重认证。有五个一般常见的认证方法，就是密码和基于 PIN 的认证丶基于 SMS 的认证丶对称密码认证丶公开密码匙认证及生物特征认证。每一种方法的详细资料可以在电子认证网站 中找到。
针对企业拥有者推行安全之电子认证系统的建议流程可在电子认证网站中找到。你可找到如何决定保证水平和相对应的保安要求资讯。
虚拟科技让一个或多个客户操作系统 (guest operating systems) 运作于另一个主机操作系统之上，每一个客户操作系统在模拟环境中运作，该环境设备齐全丶独立，且与真实的机器几乎一样。要是没有适当的保护，机构将面临虚拟化带来的保安风险。
举例来讲，发展虚拟化的一般保安威胁是不同系统间的保安独立会因虚拟化而导致削弱效果，在虚拟化之后，不同资讯系统间的分离仰赖于正确的内部虚拟网络配置。不正确的配置可能会危及保安。专用虚拟机器 ( VM ) 上之基于软件的网络防火墙可能有助解决这个风险；另一个办法是在 VM 间推行硬件防火墙，因此，硬件防火墙会管理所有 VM 之间的交易，然而，该方法也许会对网络表现有明显的影响。
确保安全的虚拟机器包含许多如同确保安全的操作系统的最佳作业实务，包括推行优质修补程式管理丶端点保安措施，如抗电脑病毒措施及推行在主机和客户操作系统之间的防火墙。
主要网络攻击者将终端用户或其电脑列为目标的重要范例如下：
'Italian job' 网络攻击
2007 年 6 月，发现数百个 MySpace 个人档案被植入仿冒诈骗 (Phishing) 网站连结， MySpace 的用户面临的风险是当他们参阅任何 MySpace 个人档案网页时，包含恶性 JavaScript 的网页会无声无息地将参观者重新导入到恶性网站，试图滥用 Internet Explorer 的漏洞。一个常见的代理网络 bot 是“flux bot”，会被安装来尝试隐藏于经常更换的代理伺服器后面的仿冒诈骗网站。
跨网站程式编程病毒 (“XSS”)
在 2005 年 10 月， Samy 病毒的作者滥用在 MySpace 上的 XSS 漏洞，其可以上传受感染的 XSS 码到他的 MySpace 个人档案网页上，然后，当其他经认证的 MySpace 用户参观 Samy 的个人档案时，该病毒强迫他们的网络浏览器加入 Samy 为朋友，并利用恶意程式码修改他们的个人档案，所以当用户参观 Samy 或是任何受感染的用户个人档案时， Samy 病毒就可以继续大量地扩散。当时，超过一百万个 MySpace 用户个人档案受到感染。
其他攻击
仿冒诈骗 (Phishing) 可被视为社交工程攻击 (social engineering attack) ，罪犯试图引诱没防备的网络浏览者进入看似真实网站的诈骗网站，例如 eBay ，或其他网上银行的网站。互联网搜寻引擎也有助网络攻击。在 2004 年 12 月，网络病毒 Santy.A 滥用软件 phpBB 布告栏的漏洞，且并不随机地猜测目标 IP 的位址，而是使用 Google 搜寻引擎来帮忙寻找新的无力对抗的目标，目的是要透过 phpBB 漏洞发动篡改攻击。
首先，你需要检定所用的网址连结是否从网站拥有者或其他可信任的来源所发放的。不应使用来自未经查证来源（如：电邮）的网址连结。
如果网站需要你输入敏感资料，网站应提供伺服器电子证书让你查证其真确性。你可检查电子证书的内容，发出该证书的核证机关（如：香港邮政核政机关），证书的有效期和证书是否已被暂时吊销或撤销。
如有疑问，应离开该网站并联络相关的网站拥有者或机构以取得进一步的资料。
