asp.net용 웹 응용 프로그램 방화벽이 있나요?[닫은]

https://stackoverflow.com/questions/5983493

12-11-2019
|

문제

간단한 dos/xss/sqli/etc에 대해 내 웹사이트를 강화하고 싶습니다...하지만 지금은 보안 프로그래밍을 깊이 파고들고 싶지 않기 때문에 Linux에서 "mod_security"와 같은 이미 만들어진 클래스나 라이브러리를 사용하고 싶습니다.

약 1년 전에 asp.net용 modsec과 같은 프로젝트를 찾았지만 지금은 Google에서 너무 많이 검색했지만 흥미로운 것은 없습니다.

.net의 WAF에 대해 아는 사람이 있나요?

문안 인사.

해결책

특정 애플리케이션에 대해 기본적으로 작동하는 WAF는 없습니다.WAF로 웹 애플리케이션을 보호하려면 많은 미세 조정이 필요합니다.많은 경우 추가 계층을 사용하여 보안을 유지하는 것보다 보안을 염두에 두고 애플리케이션을 구현하는 것이 더 쉽습니다.SQL 문에 대해 준비된 문을 사용하는 것은 잘못된 입력을 식별하고 필터링하는 것보다 훨씬 쉽습니다.일반적으로 두 가지 모두(심층 방어)를 수행하고 싶지만 단일 보호 조치에 의존하려는 경우 준비된 설명을 사용하는 것이 더 나은 옵션입니다.

WAF를 사용하여 애플리케이션 보안을 실제로 시도하고 mod_security에 익숙하다면 이를 ASP.NET 애플리케이션에 사용할 수 있습니다.애플리케이션 앞에서 역방향 프록시 역할을 하는 전용 서버가 필요합니다.Mod_security는 들어오고 나가는 요청을 필터링할 수 있습니다.장점과 단점을 모아봤습니다 공식 mod_security 웹사이트 역방향 프록시 설정에 관해:

장점

단일 액세스 지점 – 관문 역할을 하므로 보안 설정 적용을 통합하고 관리가 더 쉬워집니다.
네트워크 토폴로지는 외부 세계로부터 숨겨져 있으므로 공격자가 웹 플랫폼을 열거하기가 더 어려워집니다.
성능 향상 - SSL 가속기/캐싱을 사용하는 경우.
취약점 필터를 구현하여 백엔드(IIS, Netscape, ASP, PHP 등)에서 취약한 웹 서버나 애플리케이션을 보호할 수 있습니다.

단점

역방향 프록시가 네트워크 로드를 처리할 수 없는 경우 잠재적인 트래픽 병목 현상이 발생합니다.
잠재적인 실패 지점 - 역방향 프록시가 다운되면 그 뒤에 있는 웹 애플리케이션에 대한 서비스 거부가 발생할 수 있습니다.
네트워크 변경이 필요합니다.

다른 팁

한 크기는 모든 보안 패키지에 맞지 않을 것입니다. 그러나 올바른 방향의 단계는 Microsoft의 Anti-XSS 라이브러리 및 보안 런타임 엔진을 살펴볼 수 있습니다. 두 프로젝트는 redplex 에서 발견 될 수 있습니다.

설명 :

(Anti-XSS)

antixss는 무수한 인코딩을 제공합니다 사용자 입력을위한 기능 HTML, HTML 속성, XML, CSS 및 자바 스크립트.
흰색 목록 : antixs는 표준 .NET Framework 인코딩과 다릅니다. 흰색 목록 접근 방식을 사용하여 모두 문자가 아닌 문자가 아닌 문자가 없습니다 올바른 규칙을 사용하여 인코딩됩니다 인코딩 유형. 이것은 온다 성능 비용 intixs는였습니다 성능을 염두에두고 작성되었습니다. 안전한 세계화 : 웹은 글로벌 시장과 교차 사이트입니다. 스크립팅은 글로벌 문제입니다. 공격 어디에서나 코딩 할 수 있으며 Anti-XSS 이제 XSS 공격으로부터 보호됩니다 수십 개의 언어로.
(SRE)

보안 런타임 엔진 (SRE) 당신 주위에 래퍼를 제공합니다 기존 웹 사이트를 보장합니다 공통 공격 벡터를 만들지 마십시오 신청서에. 보호가 있습니다 에 대한 표준으로 제공됩니다

크로스 사이트 스크립팅
SQL Injection
모든 웹 보안과 마찬가지로 WPL은 깊이 전략의 방어의 일부, 여분의 레이어 추가 유효성 검사 또는 보안 코딩 관행 당신은 이미 채택했습니다.

내 제품, serverdefender vp 가 ASP.NET이있는 상자에서 작동합니다 (귀하는 귀하의 사이트 또는 앱에 오는 트래픽에 대해 알아 보려면 소프트웨어가 "로그 전용"모드로 실행되도록해야합니다.질문이 원래 물어 났을 때의 새로운이 웹 응용 프로그램 방화벽 이었지만 지금은 상당히 성숙합니다.

보안 측면에서 ServerDefender VP는 XSS, SQL 주입 및 기타와 같은 공통 위협을 다시 보호합니다.또한 PCI 준수를 달성하고 강력한 로깅 및 경고 기능을 제공하는 데 도움이됩니다.어떤 다른 WAF 옵션과 별개로 설정할 가능성이 높으며 간단한 사용자 인터페이스입니다.

특정 응용 프로그램에 대한 상자에서 작동 할 WAF가 없습니다
동의하지 않아서 죄송합니다.
Coapsula Cloud 기반 WAF 가 상자를 밖으로 제공합니다. - 및 - 솔루션을 사용하며, 그것은 모든 플랫폼 (물론, ASP.NET 포함)에 대해 작동합니다. 끝에 유지 보수 / 사용자 정의가 필요하지 않습니다 (이것은 전용 보안 팀에서 글로벌 수준에서 수행됩니다). 초기 설정 자체는 5 분이 소요됩니다 (간단한 DNS 데이터 변경을 통해 수행).
가 있다고 말했습니다 :

이것은 자유 계획의 일부가 아닙니다. 그래서 "mod_security"와 달리, 이는 한 달에 몇 달러 수십 달러가들 것입니다.

"mod_security"및 다른 OS 및 / 또는 클라우드 솔루션과 달리 이것은 PCI 호환 WAF이며, 이는 제공하는 보안 수준에 대해 뭔가를 말합니다. 당신이 자신의 거래를 취급하는 것에 대해 생각하고있는 경우 특히 중요합니다.

다시 한 플러스 측면에서는 특정 요구 사항을 가진 하이 엔드 사용자를 위해 사용하기 쉬운 GUI 및 API와 함께 제공되는 고도로 사용자 정의 할 수있는 솔루션입니다.

클라우드 CDN 기반 솔루션이므로 추가 된 보너스로, 전역 프록시 및 CDN 캐싱 기능으로 인해 상당한 성능 향상을 얻을 수 있습니다.

라이센스 : CC-BY-SA ~와 함께 속성

제휴하지 않습니다 StackOverflow