0

このasp.netアプリケーションに他の種類のセキュリティを追加する必要があるかどうか疑問に思っています-Webフォーム(ネットワークドメインとVPN接続でのみ利用可能)?

アプリケーション環境: Asp.net 4.0、Vb.net、Oracle 10g、Web サービス、ウィンドウ サーバー 2003 または 2008、ドメインでホスト

ユーザー認証モード: ウィンドウ (asp.net メンバーシップを使用しない)

認証シナリオ:
アプリケーションはイントラネット サイト経由でアクセスでき、システムはシステム ユーザー名でユーザーを認証します。デフォルトのページでは、システムは最初に現在のユーザー名 (HttpContext.Current.User.Identity.Name) を取得し、それをユーザー テーブル (oracle DB) で照合します。一致した場合、ストア プロシージャはすべてのアクセス許可を返します (メニューの詳細) このユーザー グループに関連します。Oracle DB には、ユーザー グループと権限テーブルがあります。ストア プロシージャでは、システムは DML トランザクションの前にユーザー権限もチェックします。

主なセキュリティ上の懸念

メジャー:権限に応じて、情報へのアクセスを制限する。通常のユーザーは、他のユーザーのデータにアクセスするべきではありません。

軽微:オフィス ネットワーク外のシステムにだれも侵入したくありません。

4

2 に答える 2

1

Joachim が言うように、この取り決めは、ローカル ネットワークで実行されている Windows システムのみをサポートします。基本認証に移行すると、より多くのクライアントが接続できるようになりますが、HTTPS を使用せずにパスワードがネットワーク上に (事実上クリア テキストで) 公開されます。フォーム認証も同様です。

サーバー認証がないと、ユーザーは知らないうちに同様のサーバーにリダイレクトされたり、中間者攻撃を受ける可能性があります。HTTPS は、サーバー証明書でこれを提供します。これは、ローカル ネットワークでは問題にならないかもしれませんが、ユーザーのhosts(c:\windows\system32\drivers\etc にある) ファイルは、多くの場合脆弱です。

暗号化を行わないと、ユーザーは同じサブネット上にいると仮定して、ネットワーク上で送受信される情報を傍受できます。これは、ほとんどのアプリケーションにとって許容できるリスクですが、機密情報や個人情報が含まれている場合など、機密情報である場合はそうではありません。

ユーザーが承認などの重要な操作を実行している場合は、リプレイ攻撃を検討してください (例については、リプレイ攻撃を防ぐにはどうすればよいですか?を参照してください)。

データベースへのアクセス、特にユーザー グループと権限テーブルへのアクセスを監査することを検討してください。誰かが自分自身を追加したり、グループに移動したり、操作を実行したり、自分自身を削除したりすることができました。これを実行できる SQL インジェクションや同様の攻撃がないかページを確認してください。

要約すると、人々がシステムを危険にさらしたり干渉したりする可能性はどのくらいありますか? また、システムを保護するためにいくら投資しますか? サーバーが負荷を処理できると仮定すると、最初のステップとして HTTPS を通過するのは困難です。

于 2012-09-09T12:01:40.467 に答える
0

使用している ASP.Net テクノロジの種類が不明です (MVC/Razor/Web フォーム)。

Web フォームを使用している場合は、 LoginViewコントロールなどのASP.NET ログイン コントロールをすぐに利用できます。ASP.Net フォーム認証で動作します (ASP.net メンバーシップを使用するかどうかに関係なく)。Rolesを利用することもできます。

イントラネット サーバーは、(何らかの方法で) ネットワークで公開されていない場合、"保護" されている必要があります。もちろん、これはネットワークの実装に完全に依存する大胆なステートメントです。たとえば、サブネット化、内部ネット/nat/ルートなし/ポート転送なし、dns なしなどです。これにより、VPNが外部からの唯一の露出ポイントになります。ワンタイム パスワード、クライアント インスペクションなど、VPN インフラストラクチャに適切なセキュリティ ポリシーを適用します。

アップデート：

Active Directory を使用している場合は、AD にユーザー/グループを作成して、それに応じてアクセスを提供できます (たとえば、Finance AD グループは「finance」フォルダーにのみアクセスできます)。ただし、Internet Explorer 以外での NTLM のブラウザ サポートについては把握していません。

ただし、ユーザーデータはOracleデータベースにあると述べました(?)。db/Oracleを使用して（ネットワークリソースへの）ログイン画面アクセスを許可しないソリューションに精通していません.....

また、VPN アクセス用のワンタイム パスワードが利用できない場合もあります。トークン ベースの VPN を調べて、ユーザーが AD 資格情報を引き続き使用できるが、毎回新しいトークンが必要になるようにします。これにより、「黄色い付箋のパスワード」を軽減できます (トークンをより厳密に制御できるため)。

于 2012-09-09T23:29:26.497 に答える