網上應用系統保安的常見問題
你應採取多項預防措施，例如應移除所有未使用的服務、指令介面、和程式語言解譯器或編譯器，並應正確安裝網站伺服器，且應依照“有需要才知道”基礎來授權使用檔案的權利，也應定期檢查系統和網絡紀錄中可疑的活動。此外，應適當地管理可登入網站伺服器的用戶帳號的數目，例如確定所有用戶選擇良好的密碼，至少利用保密插口層 (SSL) / 傳輸層保安 (TLS) 來應保護網站伺服器的用戶認證，以確保其密碼不會被攻擊者竊聽。假如系統牽涉敏感或保密資料，也應考慮使用雙重認證。
應注意以下指引，以加強網站伺服器的保安：
以下是網絡應用程式常見的漏洞 :
透過完整的系統發展周期，考慮不同的保安控制 :
以下是幾個網上應用程式保安評估需要檢驗的範例：
識別與認證
資料保護
紀錄
操作
此外，當外判任何資訊系統給第三方資訊提供者時，應放置合適的保安管理程序，以保護資訊和消弭有關資訊科技專案 / 服務的相關保安風險。
認證系統中有三個基本的認證要素，即是你知道的東西、你擁有的東西及你本身即擁有的東西。要作為對抗身分竊取的增加威脅，執行高風險電子交易時，應推行雙重認證。有五個一般常見的認證方法，就是密碼和基於 PIN 的認證、基於 SMS 的認證、對稱密碼認證、公開密碼匙認證及生物特徵認證。每一種方法的詳細資料可以在電子認證網站 中找到。
針對企業擁有者推行安全之電子認證系統的建議流程可在電子認證網站中找到。你可找到如何決定保證水平和相對應的保安要求資訊。
虛擬科技讓一個或多個客戶操作系統 (guest operating systems) 運作於另一個主機操作系統之上，每一個客戶操作系統在模擬環境中運作，該環境設備齊全、獨立，且與真實的機器幾乎一樣。要是沒有適當的保護，機構將面臨虛擬化帶來的保安風險。
舉例來講，發展虛擬化的一般保安威脅是不同系統間的保安獨立會因虛擬化而導致削弱效果，在虛擬化之後，不同資訊系統間的分離仰賴於正確的內部虛擬網絡配置。不正確的配置可能會危及保安。專用虛擬機器 ( VM ) 上之基於軟件的網絡防火牆可能有助解決這個風險；另一個辦法是在 VM 間推行硬件防火牆，因此，硬件防火牆會管理所有 VM 之間的交易，然而，該方法也許會對網絡表現有明顯的影響。
確保安全的虛擬機器包含許多如同確保安全的操作系統的最佳作業實務，包括推行優質修補程式管理、端點保安措施，如抗電腦病毒措施及推行在主機和客戶操作系統之間的防火牆。
主要網絡攻擊者將終端用戶或其電腦列為目標的重要範例如下：
'Italian job' 網絡攻擊
2007 年 6 月，發現數百個 MySpace 個人檔案被植入仿冒詐騙 (Phishing) 網站連結， MySpace 的用戶面臨的風險是當他們參閱任何 MySpace 個人檔案網頁時，包含惡性 JavaScript 的網頁會無聲無息地將參觀者重新導入到惡性網站，試圖濫用 Internet Explorer 的漏洞。一個常見的代理網絡 bot 是“flux bot”，會被安裝來嘗試隱藏於經常更換的代理伺服器後面的仿冒詐騙網站。
跨網站程式編程病毒 (“XSS”)
在 2005 年 10 月， Samy 病毒的作者濫用在 MySpace 上的 XSS 漏洞，其可以上傳受感染的 XSS 碼到他的 MySpace 個人檔案網頁上，然後，當其他經認證的 MySpace 用戶參觀 Samy 的個人檔案時，該病毒強迫他們的網絡瀏覽器加入 Samy 為朋友，並利用惡意程式碼修改他們的個人檔案，所以當用戶參觀 Samy 或是任何受感染的用戶個人檔案時， Samy 病毒就可以繼續大量地擴散。當時，超過一百萬個 MySpace 用戶個人檔案受到感染。
其他攻擊
仿冒詐騙 (Phishing) 可被視為社交工程攻擊 (social engineering attack) ，罪犯試圖引誘沒防備的網絡瀏覽者進入看似真實網站的詐騙網站，例如 eBay ，或其他網上銀行的網站。互聯網搜尋引擎也有助網絡攻擊。在 2004 年 12 月，網絡病毒 Santy.A 濫用軟件 phpBB 佈告欄的漏洞，且並不隨機地猜測目標 IP 的位址，而是使用 Google 搜尋引擎來幫忙尋找新的無力對抗的目標，目的是要透過 phpBB 漏洞發動篡改攻擊。
首先，你需要檢定所用的網址連結是否從網站擁有者或其他可信任的來源所發放的。不應使用來自未經查證來源（如：電郵）的網址連結。
如果網站需要你輸入敏感資料，網站應提供伺服器電子證書讓你查證其真確性。你可檢查電子證書的內容，發出該證書的核證機關（如：香港郵政核政機關），證書的有效期和證書是否已被暫時吊銷或撤銷。
如有疑問，應離開該網站並聯絡相關的網站擁有者或機構以取得進一步的資料。
