Защита сайта ASP.Net MVC

Question

Как относительный новичок как в Интернете, так и в MVC, я ищу хорошее резюме рекомендаций по безопасности, которые я должен реализовать.

Сайт будет публичным лицом с «умеренно чувствительными данными» (что означает, что мы не можем получить иск, но, возможно, не получим много друзей, если данные выйдут!) И будут выполнены следующие меры безопасности: a: Аутентификация и авторизация форм/членства b: Параметрированные запросы для предотвращения внедрения SQL. c: Автоматический тайм-аут с x минутой бездействия c: SSL для шифрования от клиента к серверу

Что еще вы рекомендуете?

* Защита IIS и сети не подпадает под мой домен, поэтому меня больше интересует то, что мне нужно сделать для программного обеспечения.

Answer 1

• Если вы используете куки, чтобы распознавать пользователей, не забудьте использовать произвольный маркер (например, GUID) хранить на клиенте для идентификации. Я видел слишком много сайтов, которые хранят мой адрес электронной почты или имя пользователя в моем cookie ... просто нужно изменить его на другой!

• Напишите свое программное обеспечение, чтобы оно могло работать под medium trust.

Answer 2

Если вы новичок в веб-разработке, вам следует знать о cross site scripting (XSS). Вы можете использовать вспомогательный метод Http.Encode для защиты от этого в ASP.NET MVC.

Answer 3

Вот еще важная персона, чтобы следить за: CSRF

http://blog.codeville.net/2008/09/01/prevent-cross-site-request-forgery-csrf-using-aspnet-mvcs-antiforgerytoken-helper/

Answer 4

Взгляните на эту post Фил Haack- один из MS Дэв участвует в разработке.

Кроме того, посмотрите на Microsoft Anti-Cross Site Scripting Library, чтобы отфильтровать все входящие параметры

Answer 5

1. Может быть, вы должны выбрать методы, которые могут быть Invoke извне или нет. Например, будьте осторожны, сделайте такой метод, как удаление любых таблиц, таких как http://yourhost.com/edit/deletealltable. Убедитесь, что вы хорошо разработали свой класс и методы. И предоставить атрибуты [NonAction] для предотвращения вызова общедоступного метода.

2. Удостоверьтесь, что вы отображаете данные (особенно чувствительные) по мере необходимости с минимальной фантазией дизайна и используете клиентский скрипт столько, сколько необходимо.

3. Удалите все неиспользуемые файлы мусора, такие как неиспользуемые файлы в папке с вашим решением.

4. Проверяйте и дважды проверяйте и проверяйте любое управление вводом, например текстовое поле. Я просто могу дать что-то в текстовом поле, чтобы взломать вашу систему.
5. Если вы используете микс между MVC и обычным ASP.NET, удалите любую зависимость между ними.

Answer 6

Обязательно тщательно изучите основы, независимо от ASP.NET. Убедитесь, что ваша СУБД имеет отдельный пользователь с минимальными необходимыми правами (например, CRUD и выполнение sprocs из указанных баз данных), настроенных для доступа к базе данных из веб-приложения.Параметризация запросов - отличная идея, но ВСЕГДА SCRUB YOUR INPUT ANYWAY: это не полная защита от SQL-инъекции.

Держите ваш дизайн в чистоте и легко понять. Документируйте все, что бы вы ни делали, особенно на стороне базы данных. Это было бы очень плохо, если бы вся ваша хорошая работа была уничтожена двумя программистами месяцами или годами позже - тот, кто не понимал, скажем, что пользователь базы данных для веб-приложения (теперь доступ к базе данных на другом сервере) не должны иметь привилегий root, а другой - добавить элемент управления, который не очищал вход правильно. Существует так много всего, что можно сделать по этому поводу, но проектирование для возможности того, что дураки будут поддерживать ваш код, - это не то, что кодеры будут думать, что вы милы, так что дураки не выведут вас бизнеса.

Answer 7

Удостоверьтесь, что вы предотвращаете нерабочие запросы. Убедитесь, что клиент аутентифицирован, прежде чем разрешить просматривать конфиденциальные данные или в некоторых случаях убедиться, что клиент прошел правильный канал, прежде чем разрешить манипулирование данными. Например, разрешить добавление товара в корзину, если запрос был указан на странице сведений о продукте. Если вы не проверите, кто-нибудь может побеседовать с действием. URL-адрес будет выглядеть как http://server/cart/add/XYZ123, и любой может просто настроить параметр «id».