Я занимаюсь разработкой системы, главным ключом которой должна быть безопасность.
Поэтому я должен рассмотреть самые слабые места, где это может быть сломано.
Вероятно, первыми являются брут-форс и DDOS-атаки.
Я прочитал много «лучших практик», чтобы бороться с ними, и первое, что я хочу сделать, это включить какое-то динамическое ограничение IP. Я думал, что такого рода проблемы очень популярны, и что IIS (я использую IIS 7) будет иметь некоторые встроенные функции блокировки вредоносных запросов на уровне ядра, поэтому это будет намного быстрее, чем написание моих собственных модулей asp.ent или расширения WCF (я использую службу WCF в качестве дополнительного уровня безопасности).
Лучшее, что я нашел, было дополнение IIS 7 «динамическое ограничение IP-адресов» (http://learn.iis.net/page.aspx/548/using-dynamic-ip-restrictions/?FeaturePage=4FA9C136-25BD-4833-853A-99EAAD0754D2),, но есть очень раздражающая недостающая часть функциональности - я не могу установить время запрета IP-адреса, и я даже не знаю. Я читал в интернете, что в предыдущей версии он был включен, мне интересно, почему они отключили его в новой версии ...
В любом случае, может, кто-то знает хорошее решение для этого? Я бы рассмотрел вариант написания своего собственного модуля уровня ядра (я не уверен, что в интегрированном режиме IIS7 управляемые модули asp.net являются модулями ядра IIS и каков их жизненный цикл), но с возможностью управления его настройками из Менеджер IIS, как и это дополнение к «динамическому ограничению IP», но лучшим вариантом будет готовый продукт.