ASP.NET MVC网站的安全最佳实践？

Question

我在互联网上搜寻了很久，试图找到一个关于像在线银行这样的非常安全的网站的安全实践指南，但没有找到。

我的兴趣是了解您在以下领域使用的实践：

1. 通信：肯定会使用SSL……有什么额外的提示来防止“中间人”攻击。
2. 身份验证：用户名+密码+验证码+时间限制+强制定期更改。
3. 页面之间的导航：有这样的东西吗？
4. 防止XSS和XSRF：已经在平台中。
5. 加密客户端和服务器上的敏感数据：具体是什么？客户端是否应该有敏感数据？
6. 精细调整的授权：显示/隐藏+执行命令+权限。
7. 审计？什么？以及这与日志记录有何不同。
8. 页面级安全性：防止页面内容被篡改（我们真的需要这个吗？）

如何检测渗透尝试？监视IP、锁定某些帐户……？是否有一种测试或模拟威胁的方法？

- Jalal El-Shaer

---

你是在制作一个在线银行网站，还是只是好奇呢？ - tster

我认为你需要雇用一家公司来咨询这个问题。虽然有许多一般性的事情需要做，但很多都需要对你的确切系统和计划有全面的理解。 - Noon Silk

是的，这就是为什么我问他是否正在建立一个网站。如果你来这里询问“在客户端和服务器上加密敏感数据？！”以及“有什么额外的建议吗？”这样的问题，你可能应该寻求外部帮助。 - tster

不，我没有建立银行网站。但是因为银行需要高水平的安全性，我认为这将产生最佳实践，给黑客带来严峻的挑战。 - Jalal El-Shaer

@Noon Silk：如果我雇了一家公司来做这项工作，那么我会辞掉这份工作。 @tster：这就是我正在寻找的外部帮助。你可能忘了这个网站是专家回答他们所知道的问题的地方。 - Jalal El-Shaer

Answer 1

我会以 PCI-DSS 指南为基线来保护数据。

PCI-DSS 是付款卡行业数据安全标准。这是该行业首次尝试制定保护银行领域周围数据的指南。该指南专门针对持卡人数据，但也是保护数据的绝佳资源。PCI 的要求包括每年进行现场审计和季度网络扫描。

另一个好的资源是 OWASP，它提供了关于 Web 应用程序安全性的指导。

OWASP 对如何执行威胁建模、测试（并纠正）常见漏洞等方面进行了详细说明。对于快速入门，请进入 OWASP 十大安全风险

- PaulG

---

我正在寻找更多专家的答案......但这是唯一的答案 :) - Jalal El-Shaer