Интернет, стоящий перед Windows Server 2008 — это безопасно?
Это означает, что он не может перевести Session["UserId"] в SQL (он недостаточно умен, чтобы извлечь значение из коллекции). Я бы рекомендовал сохранить это значение перед его использованием:
var currentUserId = (int)Session["UserId"];
var results = response
.Where(r => r.UserId == currentUserId);
5 ответов
Это - все, что мы делаем:
Удостоверьтесь, что Windows Firewall включен. Это имеет "прочь" политикой по умолчанию, таким образом, из установки угловой разметочной линейки довольно безопасно. Но никогда не повреждает выключать дополнительные правила, если Вы знаете, что никогда не испытываете необходимость в них. Мы отключаем почти все за исключением HTTP в общедоступном интернет-интерфейсе, но нам нравится Ping (кто не любит Ping?), таким образом, мы включаем его вручную, как так:
netsh firewall set icmpsetting 8Отключите учетную запись Администратора. После того как Вы настраиваетесь и движение, даете свои собственные именованные права администратора учетной записи. Отключение учетной записи Администратора по умолчанию помогает уменьшить шанс (однако небольшой) кого-то взламывающего его. (Другая общая учетная запись по умолчанию, Гость, уже отключена по умолчанию.)
Избегайте рабочих сервисов в соответствии с учетными записями с правами администратора. Самое уважаемое программное обеспечение довольно хорошо об этом в наше время, но никогда не повреждает проверять. Например, в нашей исходной установке сервера сервис Круиз-контроля имел права администратора. Когда мы восстановили на новых серверах, мы использовали обычную учетную запись. Это - немного больше работы (необходимо предоставить просто, что права, необходимые, делают работу вместо всего сразу), но намного более безопасный.
Вашей самой большой проблемой, вероятно, будет безопасность приложений. Не верьте разработчику, когда он говорит Вам, что идентификационные данные пула приложений должны быть членом группы локального администратора. Это - тонкое скручивание на, 'не выполняют сервисы как администратора' подсказка выше.
Два других известных объекта: 1) Удостоверьтесь, что у Вас есть способ скопировать эту систему (и периодически, тест сказал что резервные копии). 2) Удостоверьтесь, что у Вас есть способ исправить эту систему и идеально, протестировать те патчи прежде, чем прокрутить их в производство. Попытайтесь не зависеть от своей собственной хорошей памяти. Я сделал бы, чтобы Вы установили поле, чтобы использовать windowsupdate, чем иметь отключенный, все же.
Удачи. Подсказка по брандмауэру неоценима; оставьте его, включил, и только позвольте tcp/80 и tcp/3389 входящий.
Я имел к блокировке один несколько лет назад...
Как системный администратор, свяжитесь с devs рано в проекте.. при тестировании развертывание и эксплуатация и техническое обслуживание веб-приложений являются частью SDLC.
Эти инструкции применяются в целом к любому хосту демилитаризованной зоны, безотносительно ОС Linux или окна.
существует несколько книг deicated администратору IIS7 и укреплению, но Оно сводится к
- выберите свою архитектуру брандмауэра и конфигурацию и обзор для уместности. не забудьте защищать свой сервер от внутреннего сканирования от зараженных хостов. в зависимости от уровня риска полагают, что прозрачный Шлюз прикладного уровня чистит трафик и делает веб-сервер легче контролировать.
1, Вы рассматриваете систему как хост оплота. блокирование вниз ОС, уменьшая поверхность атаки (сервисы, порты установили приложения т.е. НИКАКИХ интерактивных пользователей или смешали рабочие нагрузки, настраивает брандмауэры RPC, чтобы только ответить на указанную демилитаризованную зону управления или внутренние узлы). рассмотрите ssh, OOB и/или доступ к LAN управления и верификаторы идентификаторов хоста как растяжка ПОМОЩНИКА или osiris., если веб-сервер чувствителен, рассмотрите использование бдительного стража, чтобы контролировать и записать модели трафика в дополнение к журналам IIS/FW.
базовая линия конфигурация системы и затем регулярно контролирует против основной линии, минимизируя или управляя изменениями для хранения этого точным. автоматизируйте его. powershell является Вашим другом здесь.
американский NIST поддерживает национальный репозиторий программы контрольного списка. NIST, NSA и СНГ имеют ОС и контрольные списки веб-сервера, которые стоит исследовать даже при том, что они для более ранних версий. посмотрите на апачские контрольные списки также для предложений конфигурации. рассмотрите addison wesley и апачские книги безопасности OReilly для получения схватывания проблем.
http://checklists.nist.gov/ncp.cfm?prod_category://checklists.nist.gov/ncp.cfm?prod_category http://www.nsa.gov/ia/guidance/security_configuration_guides/web_server_and_browser_guides.shtml www.cisecurity.org предлагает контрольные списки и инструменты сравнительного тестирования для подписчиков. стремитесь к 7 или 8 как минимум.
- Научитесь на ошибках других (и совместно используйте свое собственное при создании их): Инвентаризируйте свои общедоступные продукты приложения и контролируйте их в NVD NIST (vulerability база данных..) (они агрегировали CERT и ОВАЛЬНЫЙ также) подписывают и читают предупреждения защиты Microsoft и microsoft.public.iinetserver.iis.security. (NIST, NVD уже наблюдает CERT) Michael Howard является гуру безопасности кода MS, прочитайте его блог (и удостоверьтесь чтение Вашего dev он также), это в: http://blogs.msdn.com/michael_howard/default.aspx
http://blogs.iis.net/ является блогом команд IIS. поскольку примечание стороны, если Вы - парень окон, всегда читало блог команды для групп продуктов MS, с которыми Вы работаете.
David Litchfield записал несколько книг по укреплению веб-приложения и DB. он - человек для слушания. прочитайте его блог.
Если потребность Вашего dev нежное введение в (или напоминание о) безопасность в Интернете и системные администраторы также! Я рекомендую "Невинный код" Sverre Huseby.. не обладали книгой безопасности как этот начиная с яйца cookoo. Это устанавливает полезные правила и принципы и объясняет вещи с нуля. Это - большое сильное доступное чтение
у Вас есть baselined и контролируемый снова все же? (Вы вносите изменение, Вы делаете новую базовую линию).
Помните, IIS является meta сервисом (FTP.SMTP и другие сервисы, выполненные под ним). сделайте свою жизнь легче и выполните сервис за один раз на одно поле. скопируйте свою метабазу IIS. Если Вы устанавливаете серверы приложений как кот, или jboss на том же поле гарантируют, что защищаются и блокируются вниз также.. защитите веб-консоли управления к этим приложениям, включенный IIS. ЕСЛИ у Вас должен быть DB на поле также. это сообщение может быть усилено похожим способом
logging.an необслуживаемый общедоступный сервер (быть этим http, IMAP smtp) является профессиональным отказом. проверьте, что Ваши журналы качают их в RDMS и ищут быстрое медленное и противное. Почти неизменно Ваши угрозы будут автоматизированы и глупы. остановите их на уровне брандмауэра, где Вы можете.
с разрешением, сканированием и цифровым отпечатком Ваше поле с помощью P0f и nikto. Протестируйте приложение с селеном. удостоверьтесь, что ошибки веб-сервера обрабатываются осторожно и управляемым способом IIS И любыми приложениями., документы ошибки установки для 3xx, 4xx и 5xx коды ответа.
теперь Вы сделали все это, Вы покрыли зад, и можно посмотреть на уязвимости приложения/веб-сайта. будьте нежны с разработчиками, самым единственным беспокойством об этом после нарушения, и ущерб репутации/доверия нанесен. лошадь соединилась болтом и давно в прошлом. обратитесь к этому теперь. его более дешевое. Говорите со своим dev's о деревьях угрозы.
Рассмотрите свой ответ на DOS и DDos-атаки. зато рассмотрите ХОРОШИЙ traffic/slashdotting и полные проблемы. Поддерживайте связь с Dev и Marketing для обработки полных проблем и настройки сервера/пропускной способности в ответ на кампании/продажи новые сервисы. Спросите их какой ответ кампании theyre expec (или перечеканка. Запланируйте заранее с достаточным временем выполнения заказа, чтобы позволить настраивать. подружитесь со своими сетевыми парнями для обсуждения пропускной способности provisioing в кратчайшие сроки. Unavailabilty из-за низкой производительности неверной конфигурации или при настройке является также проблемой.. контролируйте систему для производительности, диска, тараните запросы дб и http. знайте метрики нормальной и ожидаемой производительности.. (Бог, там apachetop для IIS? ;)), планируют соответствующую способность.
Во время всего этого можно спросить себя: "действительно ли я слишком параноик?". Неправильный вопрос.. это, "действительно ли я достаточно параноик?" Помните и признайте, что Вы всегда будете позади кривой безопасности и что этот список мог бы казаться исчерпывающим, это - всего лишь начало. все вышеупомянутое благоразумно и прилежно и никоим образом не должно считаться чрезмерным.
Взламываемые веб-серверы немного похожи на пожары (или низовые пожары здесь), можно подготовиться, и это будет заботиться о почти всем, кроме синего лунного события. запланируйте то, как Вы будете контролировать и отвечать на стирание и т.д.
постарайтесь не быть скрягой безопасности или безопасностью Далек/курица мало. работайте бесшумно и и работа со своими заинтересованными сторонами и коллегами проекта. безопасность является процессом, не, событие и держание в курсе их и мягко обучение людей являются лучшим способом получить возрастающие выплаты с точки зрения усовершенствований в защите и принятия того, что необходимо сделать. Постарайтесь не быть снисходительными, но помните, если ДЕЙСТВИТЕЛЬНО необходимо чертить линию в песке, выберите сражения, Вы только добираетесь, чтобы сделать это несколько раз.
- получите прибыль!
используйте роли соответственно, чем меньше полномочий Вы используете для своих сервисных учетных записей, тем лучше, попытайтесь не выполнить все как администратора,
Входящие порты блока 135, 137, 138, 139, 445 с брандмауэром. Встроенный сделает. 2008 Windows Server является первым, для которого использования RDP непосредственно так же безопасен как ssh.