Ramka zabezpieczeń: zarządzanie konfiguracją | Czynniki

Implementowanie zasad zabezpieczeń zawartości (CSP) i wyłączanie wbudowanego kodu JavaScript

Przykład

Przykładowe zasady:

Content-Security-Policy: default-src 'self'; script-src 'self' www.google-analytics.com 

Te zasady umożliwiają ładowanie skryptów tylko z serwera aplikacji internetowej i serwera google analytics. Skrypty załadowane z dowolnej innej witryny zostaną odrzucone. Po włączeniu programu CSP w witrynie internetowej następujące funkcje są automatycznie wyłączone w celu wyeliminowania ataków XSS.

Przykład

Skrypty wbudowane nie będą wykonywane. Poniżej przedstawiono przykłady wbudowanych skryptów

<script> some JavaScript code </script>
Event handling attributes of HTML tags (for example, <button onclick="function(){}">
javascript:alert(1);

Przykład

Ciągi nie będą oceniane jako kod.

Example: var str="alert(1)"; eval(str);

Włączanie filtru XSS przeglądarki

ASP.NET aplikacje muszą wyłączyć śledzenie i debugowanie przed wdrożeniem

Uzyskiwanie dostępu tylko do skryptów JavaScript innych firm z zaufanych źródeł

Upewnij się, że uwierzytelnione strony ASP.NET zawierają mechanizmy ochrony zadośćuczynienia interfejsu użytkownika lub ochrony za pomocą kliknięć

Przykład

Nagłówek X-FRAME-OPTIONS można ustawić za pośrednictwem pliku web.config usług IIS. Fragment kodu Web.config dla witryn, które nigdy nie powinny być oprawione:

    <system.webServer>
        <httpProtocol>
            <customHeader>
                <add name="X-FRAME-OPTIONS" value="DENY"/>
            </customHeaders>
        </httpProtocol>
    </system.webServer>

Przykład

Kod Web.config dla witryn, które powinny być oprawione tylko przez strony w tej samej domenie:

    <system.webServer>
        <httpProtocol>
            <customHeader>
                <add name="X-FRAME-OPTIONS" value="SAMEORIGIN"/>
            </customHeaders>
        </httpProtocol>
    </system.webServer>

Upewnij się, że tylko zaufane źródła są dozwolone, jeśli mechanizm CORS jest włączony w usłudze ASP.NET Web Applications

Przykład

Jeśli dostęp do pliku Web.config jest dostępny, mechanizm CORS można dodać za pomocą następującego kodu:

<system.webServer>
    <httpProtocol>
      <customHeaders>
        <clear />
        <add name="Access-Control-Allow-Origin" value="https://example.com" />
      </customHeaders>
    </httpProtocol>

Przykład

Jeśli dostęp do pliku web.config jest niedostępny, mechanizm CORS można skonfigurować, dodając następujący kod języka C#:

HttpContext.Response.AppendHeader("Access-Control-Allow-Origin", "https://example.com")

Należy pamiętać, że należy upewnić się, że lista źródeł w atrybucie "Access-Control-Allow-Origin" jest ustawiona na skończony i zaufany zestaw źródeł. Nie można tego niewłaściwie skonfigurować (na przykład ustawienie wartości jako "*") umożliwi złośliwym witrynom wyzwalanie żądań między źródłami do aplikacji internetowej bez żadnych ograniczeń, co naraża aplikację >na ataki CSRF.

Włączanie atrybutu ValidateRequest na stronach ASP.NET

Przykład

Tę funkcję można jednak wyłączyć na poziomie strony:

<%@ Page validateRequest="false" %> 

lub na poziomie aplikacji

<configuration>
   <system.web>
      <pages validateRequest="false" />
   </system.web>
</configuration>

Należy pamiętać, że funkcja walidacji żądania nie jest obsługiwana i nie jest częścią potoku MVC6.

Używanie lokalnie hostowanych najnowszych wersji bibliotek Języka JavaScript

Wyłączanie automatycznego wąchania MIME

Przykład

Dodaj nagłówek w pliku web.config, jeśli aplikacja jest hostowana przez usługi Internet Information Services (IIS) 7.

<system.webServer>
<httpProtocol>
<customHeaders>
<add name="X-Content-Type-Options" value="nosniff"/>
</customHeaders>
</httpProtocol>
</system.webServer>

Przykład

Dodawanie nagłówka za pośrednictwem Application_BeginRequest globalnej

void Application_BeginRequest(object sender, EventArgs e)
{
this.Response.Headers["X-Content-Type-Options"] = "nosniff";
}

Przykład

Implementowanie niestandardowego modułu HTTP

public class XContentTypeOptionsModule : IHttpModule
{
#region IHttpModule Members
public void Dispose()
{
}
public void Init(HttpApplication context)
{
context.PreSendRequestHeaders += newEventHandler(context_PreSendRequestHeaders);
}
#endregion
void context_PreSendRequestHeaders(object sender, EventArgs e)
{
HttpApplication application = sender as HttpApplication;
if (application == null)
  return;
if (application.Response.Headers["X-Content-Type-Options "] != null)
  return;
application.Response.Headers.Add("X-Content-Type-Options ", "nosniff");
}
}

Przykład

Wymagany nagłówek można włączyć tylko dla określonych stron, dodając go do poszczególnych odpowiedzi:

this.Response.Headers["X-Content-Type-Options"] = "nosniff";

Usuwanie standardowych nagłówków serwera w witrynach sieci Web platformy Windows Azure, aby uniknąć odcisku palca

Konfigurowanie zapory systemu Windows pod kątem dostępu do aparatu bazy danych

Upewnij się, że tylko zaufane źródła są dozwolone, jeśli mechanizm CORS jest włączony w interfejsie API sieci Web ASP.NET

Przykład

W App_Start/WebApiConfig.cs dodaj następujący kod do metody WebApiConfig.Register

using System.Web.Http;
namespace WebService
{
    public static class WebApiConfig
    {
        public static void Register(HttpConfiguration config)
        {
            // New code
            config.EnableCors();

            config.Routes.MapHttpRoute(
                name: "DefaultApi",
                routeTemplate: "api/{controller}/{id}",
                defaults: new { id = RouteParameter.Optional }
            );
        }
    }
}

Przykład

Atrybut EnableCors można zastosować do metod akcji w kontrolerze w następujący sposób:

public class ResourcesController : ApiController
{
  [EnableCors("http://localhost:55912", // Origin
              null,                     // Request headers
              "GET",                    // HTTP methods
              "bar",                    // Response headers
              SupportsCredentials=true  // Allow credentials
  )]
  public HttpResponseMessage Get(int id)
  {
    var resp = Request.CreateResponse(HttpStatusCode.NoContent);
    resp.Headers.Add("bar", "a bar value");
    return resp;
  }
  [EnableCors("http://localhost:55912",       // Origin
              "Accept, Origin, Content-Type", // Request headers
              "PUT",                          // HTTP methods
              PreflightMaxAge=600             // Preflight cache duration
  )]
  public HttpResponseMessage Put(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
  [EnableCors("http://localhost:55912",       // Origin
              "Accept, Origin, Content-Type", // Request headers
              "POST",                         // HTTP methods
              PreflightMaxAge=600             // Preflight cache duration
  )]
  public HttpResponseMessage Post(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
}

Należy pamiętać, że ważne jest, aby upewnić się, że lista źródeł w atrybucie EnableCors jest ustawiona na skończony i zaufany zestaw źródeł. Nie można tego niewłaściwie skonfigurować (na przykład ustawienie wartości jako "*") umożliwi złośliwym witrynom wyzwalanie żądań między źródłami do interfejsu API bez żadnych ograniczeń, >co naraża interfejs API na ataki CSRF. Funkcja EnableCors może być ozdobiona na poziomie kontrolera.

Przykład

Aby wyłączyć mechanizm CORS dla określonej metody w klasie, można użyć atrybutu DisableCors, jak pokazano poniżej:

[EnableCors("https://example.com", "Accept, Origin, Content-Type", "POST")]
public class ResourcesController : ApiController
{
  public HttpResponseMessage Put(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
  public HttpResponseMessage Post(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
  // CORS not allowed because of the [DisableCors] attribute
  [DisableCors]
  public HttpResponseMessage Delete(int id)
  {
    return Request.CreateResponse(HttpStatusCode.NoContent);
  }
}

Metoda 1 Włączanie mechanizmu CORS z oprogramowaniem pośredniczącym: aby włączyć mechanizm CORS dla całej aplikacji, dodaj oprogramowanie pośredniczące CORS do potoku żądania przy użyciu metody rozszerzenia UseCors. Zasady między źródłami można określić podczas dodawania oprogramowania pośredniczącego CORS przy użyciu klasy CorsPolicyBuilder. Istnieją dwa sposoby wykonania tej czynności:

Przykład

Pierwszym z nich jest wywołanie metody UseCors z lambdą. Lambda przyjmuje obiekt CorsPolicyBuilder:

public void Configure(IApplicationBuilder app)
{
    app.UseCors(builder =>
        builder.WithOrigins("https://example.com")
        .WithMethods("GET", "POST", "HEAD")
        .WithHeaders("accept", "content-type", "origin", "x-custom-header"));
}

Przykład

Drugi to zdefiniowanie co najmniej jednej nazwanej zasady MECHANIZMU CORS, a następnie wybranie zasad według nazwy w czasie wykonywania.

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("AllowSpecificOrigin",
            builder => builder.WithOrigins("https://example.com"));
    });
}
public void Configure(IApplicationBuilder app)
{
    app.UseCors("AllowSpecificOrigin");
    app.Run(async (context) =>
    {
        await context.Response.WriteAsync("Hello World!");
    });
}

Podejście 2 Włączanie mechanizmu CORS w mvC: deweloperzy mogą też użyć wzorca MVC do zastosowania określonych mechanizmów CORS na akcję, na kontroler lub globalnie dla wszystkich kontrolerów.

Przykład

Na akcję: Aby określić zasady CORS dla określonej akcji, dodaj atrybut [EnableCors] do akcji. Określ nazwę zasad.

public class HomeController : Controller
{
    [EnableCors("AllowSpecificOrigin")] 
    public IActionResult Index()
    {
        return View();
    }

Przykład

Na kontroler:

[EnableCors("AllowSpecificOrigin")]
public class HomeController : Controller
{

Przykład

Globalnie:

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();
    services.Configure<MvcOptions>(options =>
    {
        options.Filters.Add(new CorsAuthorizationFilterFactory("AllowSpecificOrigin"));
    });
}

Należy pamiętać, że ważne jest, aby upewnić się, że lista źródeł w atrybucie EnableCors jest ustawiona na skończony i zaufany zestaw źródeł. Nie można tego niewłaściwie skonfigurować (na przykład ustawienie wartości jako "*") umożliwi złośliwym witrynom wyzwalanie żądań między źródłami do interfejsu API bez żadnych ograniczeń, >co naraża interfejs API na ataki CSRF.

Przykład

Aby wyłączyć mechanizm CORS dla kontrolera lub akcji, użyj atrybutu [DisableCors].

[DisableCors]
    public IActionResult About()
    {
        return View();
    }

Szyfrowanie sekcji plików konfiguracji internetowego interfejsu API zawierających poufne dane

Upewnij się, że wszystkie interfejsy administracyjne są zabezpieczone przy użyciu silnych poświadczeń

Upewnij się, że nieznany kod nie może zostać wykonany na urządzeniach

Szyfrowanie systemu operacyjnego i innych partycji urządzenia IoT za pomocą funkcji BitLocker

Upewnij się, że na urządzeniach są włączone tylko minimalne usługi/funkcje

Szyfrowanie systemu operacyjnego i innych partycji bramy pola IoT za pomocą funkcji BitLocker

Upewnij się, że domyślne poświadczenia logowania bramy pola zostały zmienione podczas instalacji

Upewnij się, że brama w chmurze implementuje proces, aby zapewnić aktualność oprogramowania układowego połączonych urządzeń

Upewnij się, że urządzenia mają skonfigurowane mechanizmy zabezpieczeń punktu końcowego zgodnie z zasadami organizacji

Zapewnianie bezpiecznego zarządzania kluczami dostępu do usługi Azure Storage

Upewnij się, że tylko zaufane źródła są dozwolone, jeśli mechanizm CORS jest włączony w usłudze Azure Storage

Włączanie funkcji ograniczania usługi WCF

Przykład

Poniżej przedstawiono przykładową konfigurację z włączonym ograniczaniem przepustowości:

<system.serviceModel> 
  <behaviors>
    <serviceBehaviors>
    <behavior name="Throttled">
    <serviceThrottling maxConcurrentCalls="[YOUR SERVICE VALUE]" maxConcurrentSessions="[YOUR SERVICE VALUE]" maxConcurrentInstances="[YOUR SERVICE VALUE]" /> 
  ...
</system.serviceModel> 

Ujawnienie informacji w programie WCF za pośrednictwem metadanych

Przykład

Poniższy kod instruuje program WCF, aby rozgłaszał metadane usługi

ServiceMetadataBehavior smb = new ServiceMetadataBehavior();
smb.HttpGetEnabled = true; 
smb.HttpGetUrl = new Uri(EndPointAddress); 
Host.Description.Behaviors.Add(smb); 

Nie emituj metadanych usługi w środowisku produkcyjnym. Ustaw właściwości HttpGetEnabled/ HttpsGetEnabled klasy ServiceMetaData na false.

Przykład

Poniższy kod instruuje program WCF, aby nie emitował metadanych usługi.

ServiceMetadataBehavior smb = new ServiceMetadataBehavior(); 
smb.HttpGetEnabled = false; 
smb.HttpGetUrl = new Uri(EndPointAddress); 
Host.Description.Behaviors.Add(smb);