asp.net-mvc - 有关网站安全的建议

Question

我们刚刚使用 .NET MVC 框架为我的公司开发了一个新网站。支持我们应用程序的 SQL 服务器保存着一些关键数据，例如其他 Web 用户的个人资料，我们希望确保这些数据不会因公司声誉风险而泄露。

我们对保护网站安全有很多想法，但我想了解 stackoverflow 的看法。我们将在登录屏幕上使用 SSL，并防止基本的附加方法，例如 SQL 注入(inject)、跨站点脚本攻击。

但是我们担心物理机器会被某些漏洞利用。我们将在 DMZ 中运行 Web 服务器(带有 IIS7 的 Windows Server 2008 SP2)，仅向 Internet 开放端口 80 和 443。目前，sql 服务器位于网络服务器计算机上，但我们正在考虑这是否存在安全风险。将 sql 服务器托管在第二个 DMZ 中的计算机中是否有助于安全？

我们还考虑使用在一个 DMZ 中运行带有 mod_proxy 的 Apache 的 Ubuntu 机器，它将“重定向”80 或 443 个请求到第二个 DMZ 中的独立 Windows 计算机，该计算机将执行 Web 服务和 SQL Server 托管。

我们得到的其他一些建议是使用 WatchGuard 等产品，该产品显然可以过滤 http 数据包以符合标准，从而阻止狡猾的数据包到达网络服务器。

我们还应该注意哪些其他事情？

谢谢

Answer 1

仅允许 80 和 443 是一个非常好的主意。 DMZ 代表非军事区，这是为了定义 NAT 上的一台机器，所有流量都可以访问，应该避免这种情况。允许 SQL Server 和端口 445 会让你遭到黑客攻击，毕竟你运行的是 Windows，而且另一个 RPC 漏洞出现只是时间问题。

您必须做的最重要的事情是测试您的安全性。仅仅说你正在防止 xss 和 sql 注入(inject)是不够的。所有安全系统都必须被证明能够阻止攻击。

你如何测试你的系统？我喜欢 Acunetix，但它价格过高，但是有一个 free xss tester 。对于 SQL 注入(inject)和其他漏洞，我建议使用 Wapiti这是免费的。我建议使用OpenVAS这是 Nessus 的新开源版本，现已成为商业产品。 OpenVAS 会告诉您服务器是否配置错误或者您是否正在运行旧软件。您应该对系统进行完整端口扫描来测试您的防火墙，此命令将起作用nmap -sT -p 1-65535 domain.com，这也可以通过 OpenVas 完成。

测试您的系统后。然后安装 Web 应用程序防火墙 mod_ secuirty对于 Apache 来说是一个不错的选择，您可以使用反向代理来让 mod_security 与 IIS 一起使用。 Aqtronix是一个为IIS构建的开源WAF，但我没有使用过。