HOW TO: Secure applicazioni vengono create su .NET Framework

In questo articolo viene descritto considerazioni importanti per proteggere le applicazioni basate su .NET Framework. In questo articolo è uno di una serie di articoli che forniscono informazioni dettagliate per le applicazioni basate su .NET Framework.

Gli articoli di questa serie includono:

Regolare la protezione di .NET Framework su singoli area per area

.NET Framework assegna livelli di attendibilità degli assembly gestiti. Queste assegnazioni sono basate, in parte, nell'area in cui viene eseguito l'assembly. Le aree standard sono risorse del computer, Intranet locale, Internet, siti attendibili e siti attendibili. Potrebbe essere necessario aumentare o ridurre il livello di attendibilità è associato a una di queste aree. .NET Framework comprende strumenti per modificare le impostazioni.

Per ulteriori informazioni sulla regolazione il trust assegnato a un'area, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Modificare il livello di attendibilità che è possibile assegnare a un assembly di .NET Framework

.NET Framework include molti modi per determinare il livello di attendibilità che è necessario concedere a un assembly. Tuttavia, è possibile impostare eccezioni alle regole per attivare un assembly specifico ricevere un livello di attendibilità superiore a quello necessario in genere visualizzato in base alla prova fornita al common language runtime. .NET Framework fornisce uno strumento di creazione guidata in modo specifico per questo scopo.

Per ulteriori informazioni su come regolare i livelli di attendibilità di un assembly, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Ripristinare i livelli dei criteri che sono stati personalizzati.

Come amministratore, si hanno il controllo completo tramite l'accesso che è possibile concedere agli assembly che vengono eseguite con vari livelli di attendibilità. Se si personalizzano i livelli di attendibilità, potrebbero verificarsi problemi quando si esegue un'applicazione che in genere viene eseguita con un livello di attendibilità standard. Tuttavia, è possibile ripristinare rapidamente livelli di criteri le impostazioni predefinite.

Per ulteriori informazioni su come ripristinare le impostazioni predefinite dei livelli di criteri, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Valutare le autorizzazioni che vengono concesse a un assembly

Quando si dispone dell'organizzazione, computer e i criteri di configurazione di protezione e livelli di attendibilità personalizzabile, potrebbe essere difficile valutare le autorizzazioni concesse a un assembly gestito. .NET Framework Configuration in strumento è incluso un semplice metodo per valutare queste autorizzazioni.

Per ulteriori informazioni su come valutare autorizzazioni concesse a un assembly, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Controllo della protezione di applicazioni basate su .NET

Durante gli aggiornamenti, verifica e risoluzione dei problemi, la configurazione di sistemi di produzione potrebbe essere in modo non intenzionale. Ad esempio, un amministratore può concedere credenziali amministrative a un utente durante la determinazione se un errore non riguarda i diritti di accesso. Se tale amministratore si dimentica di revocare tali credenziali con privilegi elevati dopo aver completato il processo di risoluzione dei problemi, l'integrità del sistema è compromessa.

Poiché la protezione del sistema può essere compromesse tempo da questo tipo di azione, è buona norma eseguire controlli regolari. Per effettuare questa operazione, documentare gli aspetti chiavi di un sistema nuovo per creare una misura di base. Confrontare tali impostazioni in linea di base nel tempo per determinare se eventuali problemi hanno sviluppato in modo significativo potrebbe ridurre il livello di vulnerabilità.

Per ulteriori informazioni sugli elementi di configurazione specifici da controllare per applicazioni basate su .NET o in modo specifico per le applicazioni ASP.NET, fare clic sui numeri degli articoli della Microsoft Knowledge Base riportato di seguito:

Configurare un applicazione basata su .NET e Microsoft SQL Server su un numero di porta alternativo rete Communications

Molti strumenti automatici identificano servizi disponibili e le vulnerabilità eseguendo i numeri di porta conosciuto. Tali strumenti includono gli strumenti utilizzabili da utenti malintenzionati e strumenti di valutazione della protezione legittimo.

Un modo per ridurre l'esposizione a questi tipi di strumenti consiste nel modificare le applicazioni utilizzano il numero di porta. È possibile applicare questo metodo alle applicazioni basate su .NET che dipendono da un database di Microsoft SQL Server back-end. Questo metodo funziona se il server e il client vengono configurate correttamente.

Per ulteriori informazioni su come modificare il numero di porta che un'applicazione connessa a .NET si utilizza per comunicare con un computer che esegue SQL Server, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Blocco a un'applicazione Web ASP.NET o di un servizio Web

Esistono molti modi per aumentare la protezione delle applicazioni Web ASP.NET e dei servizi Web. Ad esempio, è possibile utilizzare il filtraggio dei pacchetti, firewall, autorizzazioni restrittive file, il filtro ISAPI di analisi di URL e controllati attentamente privilegi di SQL Server. È consigliabile esaminare questi metodi diversi per fornire protezione in profondità per le applicazioni ASP.NET.

Per ulteriori informazioni su come aumentare la protezione dell'applicazione ASP.NET a più livelli, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Configurazione file NTFS di autorizzazioni per aumentare la protezione delle applicazioni ASP.NET

Autorizzazioni file NTFS continuano a essere un importante livello di protezione per le applicazioni Web. Le applicazioni di ASP.NET includono molti più tipi di file più ambienti di applicazione Web precedenti. Account utente anonimi necessario l'accesso a file non è evidente.

Per ulteriori informazioni sulle autorizzazioni minimo del file che devono avere tipi di file ASP.NET più comuni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Configurare SQL Server protezione per applicazioni che vengono create su .NET Framework

Per impostazione predefinita, SQL Server non concede agli utenti la possibilità di eseguire una query o aggiornare i database. Questa regola, inoltre, si applica alle applicazioni di ASP.NET e l'account utente ASPNET. Per attivare le applicazioni ASP.NET accedere a dati memorizzati in un database di SQL Server, è necessario che l'amministratore del database concedere diritti all'account ASPNET.

Per ulteriori informazioni su come configurare SQL Server per consentire le query e gli aggiornamenti da applicazioni ASP.NET, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Configurare URLScan per aumentare la protezione delle applicazioni Web ASP.NET

Quando si installa URLScan su un server Internet Information Services 5.0 (IIS 5.0), viene configurato per consentire l'esecuzione di applicazioni ASP 3.0. Tuttavia, quando si installa .NET Framework, la configurazione di URLScan non viene aggiornata per includere i nuovi tipi di file ASP.NET. Se si desidera maggiore protezione del filtro ISAPI URLScan per le applicazioni ASP.NET, modificare URLScan configurazione.

Per ulteriori informazioni su come modificare la configurazione di URLScan per aumentare la protezione per le applicazioni ASP.NET, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Richiedere l'autenticazione per le applicazioni Web ASP.NET

Molte applicazioni ASP.NET non sono consentito l'accesso anonimo. Un'applicazione ASP.NET che richiede l'autenticazione utilizzare uno dei tre metodi seguenti: form di autenticazione, l'autenticazione Microsoft .NET Passport e Windows l'autenticazione. Ogni metodo di autenticazione richiede una tecnica di configurazione diversa.

Limitare specifico di utenti dall'accesso alle risorse Web specificato

ASP.NET include l'autenticazione basata su form. Questo è un metodo univoco per autenticare gli utenti senza creare account di Windows. ASP.NET include anche la possibilità di concedere o negare agli utenti l'accesso a risorse diverse del Web.

Per ulteriori informazioni su come controllare l'accesso alle risorse Web per utente, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Limitare i servizi Web di protocolli che consente di un server

Per impostazione predefinita, ASP.NET supporta tre metodi per i client di emettere richieste ai servizi Web di servizi Web: SOAP HTTP GET e HTTP PUT. Tuttavia, la maggior parte delle applicazioni richiedono uno solo di questi tre metodi. È buona norma per ridurre la superficie di attacco disattivando i protocolli inutilizzati.

Per ulteriori informazioni su come disabilitare i protocolli di servizi Web inutilizzati, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Non autorizza il browser di accesso a servizi Web basate su .NET

Servizi Web ASP.NET forniscono un'interfaccia di facile integrazione con i browser per semplificare agli sviluppatori di creare client di servizi Web. Questa interfaccia descrittivo consente a chiunque sia in grado di raggiungere il servizio Web per visualizzare i dettagli completo dei metodi che sono disponibili e qualsiasi richiesta di parametri. Questo tipo di accesso è utile per pubblici servizi Web che includono metodi pubblicamente disponibili. Tuttavia, è possibile ridurre la protezione dei servizi Web privati.

Per ulteriori informazioni su come controllare l'accesso alle risorse Web per utente, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Utilizzare ASP.NET per la protezione tipi di file

La struttura delle applicazioni ASP.NET, molti file privati essere memorizzati con i file che richiedono gli utenti finali. ASP.NET consente di proteggere questi file, intercettazione di richieste per i file e la restituzione di un errore. È possibile estendere questo tipo di protezione per qualsiasi tipo di file utilizzando le impostazioni di configurazione. Se l'applicazione include tipi di file insolito che devono rimanere privati, è possibile utilizzare protezione dei file di ASP.NET per proteggere i file.

Per ulteriori informazioni su come configurare ASP.NET per proteggere i tipi di file non standard, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito riportato:

Per ulteriori informazioni su come proteggere le applicazioni basate su .NET Framework, visitare i seguenti siti Web Microsoft: