Solicito consejos de seguridad para sitio en intranet?

[stribok]

hola

He creado un sitio para intranet, esto con PHP y XAMPP, de este me calificaran el buen control de seguridad en el mismo, hasta ahorita las medidas que he tomado han sido:
1.- control de acceso, login. esto cifrando la clave me diante DES.
2.- tiempo de vida de sesion, utilizando variables de sesion.
3.- acceso al servidor por certificado.
4.- encriptacion de comunicacion con ssl.
"aunque aqui tengo el problema de que no se como hacer para evitar un SSLSTRIP."
5.-proteccion contra ataques XSS, injeccion sql.
6.-respaldo y restauracion de base de datos.
7.- redireccionamiento con archivo .HTACCESS, con este obligo a que el trafico solo sea por https.
8.-proteccion a RFI.

Que otros consejos me podrian dar en cuestion de seguridad?
y como decia.. ¿como puedo evitar el SSLSTRIP?
gracias de antemano  

[dimitrix]

¿Cómo has evitado el XSS, SQLi e RFI?

Las variables de sesión, se guardan como Cookies, recuerda limpiar las cookies pues son fáciles de modificar...

También, depende de que es la aplicación tendrás que validar cada operación.

Por ejemplo, quizás no puedas robar una cuenta mediante XSS, pero a lo mejor puedes acceder a cualquier factura de cualquier usuario sin necesidad de XSS.

¿Entiendes?

EDITO: También no estaría mal tener varios usuarios SQL (con y sin permisos de escritura).

También si es algo que necesita mucha seguridad, puedes usar varias base de datos, por si acceden a una que no puedan acceder a otros datos (que se encuentre en otra base de datos).

[NoVaC]

¿que clase de gente tienes tu en la intranet que necesitas todo eso?

[.:UND3R:.]

Creo que trabaja en alguna prisión informática

[dimitrix]

Yo veo bien que el chico haga eso...
Cuanto mas seguridad mas aprenderá.

[Randomize]

Cuanta más seguridad ponga, más aprenderá, eso es cierto.

[EFEX]

Bìen protegido, lo mas importante es estar asegurado contra inyecciònes SQL y XSS, por que un error nuestro (por que somos humanos y cometemos errores) compromete la seguridad de nuestro sitio.

Quizas este tema te interese.
PHP upload security by SH4V
http://foro.elhacker.net/nivel_web/php_upload_security-t277601.0.html