Gewusst wie: Sperren unten eine ASP.NET-Webanwendung oder einen Webdienst

Dieser schrittweise aufgebaute Artikel beschreibt die Sperren von einer ASP.NET-Webanwendung oder einen Webdienst. Webanwendungen werden häufig das Ziel für böswillige Angriffe.

Es sind viele Schritte, die Sie ergreifen können, um das Risiko zu verringern, das Hosten einer Webanwendung zugeordnet ist. Auf einer hohen Ebene ASP.NET Anwendungen profitieren die gleichen Sicherheitsmaßnahmen als herkömmliche Anwendungen. Die Dateinamenerweiterungen von ASP.NET und die Verwendung der Sicherheit erfordern jedoch besondere Überlegungen. Dieser Artikel beschreibt mehrere Schlüssel Mechanismen zum Absichern von ASP.NET-Webanwendungen Anwendungen.

Weitere Informationen zur Sicherheit der folgenden Microsoft-Website:

Paketfilterung

ASP.NET erfordert keine besonderen Überlegungen, wenn Sie Netzwerkgeräte oder Firewall-Programme für die Port-Basis Paketfilterung konfigurieren. Internet-Server (IIS) definiert die TCP-Portnummern, die ASP.NET für die Kommunikation verwendet. Standardmäßig verwendet ASP.NET TCP-Port 80 für standard-HTTP und verwendet TCP-Anschluss 443 für HTTP mit SSL-Verschlüsselung.

Anwendung Layer Firewalls

Anwendung Layer Firewalls, wie z. B. Microsoft Internet Security and Acceleration Server, können die Details des eingehenden analysieren Webseiten Anforderungen, einschließlich der HTTP-Befehl, der ausgegeben wird und die Datei, die angefordert wird. Abhängig von der Anwendung können verschiedene Dateitypen angefordert werden. Ein ASP.NET-Clientskriptdateien möglicherweise rechtmäßig-Dateien anzufordern, die keines der folgenden Dateinamenerweiterungen, abhängig von der Anwendungsfunktionalität:

• .ashx
• ASPX-
• ASMX
• .rem
• .SOAP

Dateien, die in einer ASP.NET-Anwendung enthalten sind, können die folgenden Dateinamenerweiterungen verwenden. Eine Firewall sollte jedoch nie solche Dateien an Endbenutzer weiterleiten. Abhängig von der Entwicklungsumgebung ausstellen Entwickler Web Anforderungen für diese Erweiterungen:

• .asax
• ASCX
• ASMX
• .axd
• .config
• CS
• .csproj
• DLL-Datei
• LICX
• PDB
• .rem
• Resources-
• RESX-
• .SOAP
• VB
• VBPROJ-Datei
• .vsdisco
• .webinfo
• XSD
• .xsx

Sie müssen die Firewall zum Einschränken der Typen von HTTP konfigurieren Befehle, die in einer ASP.NET-Anwendung gesendet werden können. Insbesondere müssen Sie nur Befehle GET, HEAD und POST vom Endbenutzer Browser zulassen. Entwickler müssen möglicherweise auch auf andere Befehle HTTP zugreifen.

NTFS-Sicherheit

Sie können das Risiko der Gefährdung private Informationen effektiv reduzieren. Beschränken Sie dazu die NTFS-Datei Berechtigungen. Standardmäßig werden die ASP.NET-Anwendungen im Kontext des ASPNET-Benutzerkonto ausgeführt. Sie können entsprechende Berechtigungen für ASPNET-Benutzerkonto, für mehr Sicherheit konfigurieren.

Weitere Informationen zum Konfigurieren von NTFS-Datei Berechtigungen finden Sie die folgende KB-Artikelnummer:

Konfigurieren von URLScan

URLScan ist ein Microsoft ISAPI-Filter, die detailliertere Filtern von eingehender Webanforderungen auf IIS 5.0-Servern bereitstellen. URLScan bietet zahlreiche Funktionen einer Firewall auf Anwendungsebene und kann die Anforderungen basierend auf Dateiname, Pfad und Anforderung filtern. Weitere Informationen über das Sicherheitstool URLScan die folgende Microsoft-Website:Weitere Informationen zu URLScan finden Sie die folgende KB-Artikelnummer:

Konfigurieren von SQL Server-Sicherheit

Viele ASP.NET-Anwendungen kommunizieren mit einer Microsoft SQL Server-Datenbank. Es ist üblich für böswillige Angriffe anhand einer Datenbank, zu eine ASP.NET-Anwendung verwenden und nutzen die Berechtigungen, die die Anwendung der Datenbankadministrator erteilt hat. Größte geeigneter Schutz gegen solche Angriffe bereitgestellt wird, konfigurieren Sie Ihre Datenbank Berechtigungen, die Berechtigungen begrenzen, die Sie ASP.NET gewähren. Gewähren Sie nur den minimalen Berechtigungen, dass die Anwendung benötigen, funktionieren.

Z. B. ASP.NET auf Lesen einschränken Berechtigungen für nur diese Ansichten, Tabellen, Zeilen und Spalten, die die Anwendung muss Zugriff auf. Wo die Anwendung eine Tabelle nicht direkt aktualisieren, gewähren Sie keinen zu ASP.NET die Berechtigung zum Senden von Aktualisierungen. Konfigurieren Sie für mehr Sicherheit entsprechende Berechtigungen für das ASPNET-Benutzerkonto.

Weitere Informationen zum Konfigurieren von SQL Server finden Sie die folgende KB-Artikelnummer:

Weitere Informationen der folgenden Microsoft-Website:Weitere Informationen finden Sie die folgende KB-Artikelnummer: