asp.net - 我应该采取什么措施来保护我的多层 ASP.NET 应用程序？

Question

我正在设计一个应该处理敏感信息(比如财务数据)的多层 ASP.NET Web 应用程序。

我要识别所有潜在威胁应用程序将在现实生活中面临并相应地规划对策。

一些细节:

该应用程序将托管在客户的数据中心，供内部和外部用户使用

目标平台是 Windows Server 2008 + IIS7 或 Windows Server 2003 + IIS6

目标数据库是 MS SQL Server 2008

Answer 1

呸!从哪里开始......取决于您需要它的“安全性”。即个人博客与大型公司/政府部门的大型项目之间的区别。 ETC...

没有特别的顺序

通过加密配置文件来保护它们。

确保您的数据库位于某种 DMZ 之后，而不是位于可公开访问的 IP

上

找一家安全公司对您的网站进行彻底检查以解决潜在漏洞(跨站点脚本/Sql 注入(inject))

使用 SSL

锁定服务器上的所有端口，除了 80 HTTP 和 443 HTTPS，除非绝对必要

确保您与盒子的远程桌面/VNC 连接是安全的

如果您将密码存储在数据库中，请对它们进行哈希和加盐，并且不要存储纯文本

发布您的代码，不要将源代码留在服务器上

根据已知标准构建代码，即不要编写自己的加密算法

如果 Site->DB 或 Site-MSMQ 之间的安全连接可用，请使用它们

微软有一篇关于保护 ASP.NET 应用程序的好文章，我会挖掘出来。

编辑

正如赛义德刚刚在他的回复中发布的那样，(+1 归功于他)

Building Secure ASP.NET Applications: Authentication, Authorization, and Secure Communication