Существует ли полное руководство для идиотов по реализации надежной веб-безопасности с использованием ASP.Net MVC 2 / SQL 2008?

Question

Я собираюсь приступить к созданию сайта электронной коммерции с использованием c #, ASP.Net MVC 2, IIS7 и SQL 2008. Сайт позволит пользователям входить в систему, делать покупки и управлять своими заказами. Очевидно, здесь нужна сильная безопасность. Я искал в SO и Google единственное однозначное руководство, которое достаточно охватывает безопасность, чтобы позволить мне ...

1. узнать, где безопасность должна быть рассмотрена и ...
2. как правильно реализовать это в стеке Windows.

Это будет мой первый сайт электронной коммерции, который я создаю с нуля. Существует ли полное руководство для идиотов по внедрению надежной веб-безопасности для всех аспектов сайта электронной коммерции с использованием ASP.Net MVC 2 / SQL 2008?

Большое спасибо заранее за вашу помощь!

Answer 1

«Определенный» и «Руководство для идиотов» кажутся немного взаимоисключающими, но вот некоторые из них, которые я видел ранее, касаются общей безопасности ASP.NET, а некоторые специально для MVC:

СборкаЗащищенные приложения ASP.NET: аутентификация, авторизация и безопасное взаимодействие (Microsoft, MSDN)

Код шоссе разработчика (Безопасность - MSDN - Microsoft UK)

Повышение безопасности веб-приложений: угрозы и меры противодействия (Microsoft, MSDN)

HaaHa Show: Microsoft ASP.NET MVC Security с Haack и Hanselman (Microsoft Video)

Также на http://www.asp.net/mvc/security есть несколько учебных пособий по предотвращению атак JavaScript.В основном это сводится к всегда HTML-кодировке любого вывода.

Что касается SQL 2008, обычной практикой будет использование аутентификации Windows и предоставление доступа только на чтение / запись к тем таблицам, которые необходимо.

Answer 2

Начните с OWASP.

OWASP является полномочным органом по безопасности веб-приложений. Их список десяти уязвимостей - это библия для веб-безопасности.

Попробуйте здесь для обзора OWASP: http://www.owasp.org

А вот для первой десятки OWASP: http://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

Последняя ссылка показывает, как защитить от этих угроз, включая код .Net.

Answer 3

См. Страницу безопасности MVC на ASP.net .

У них есть несколько хороших видео, и их примеры приложений были мне полезны.