Реализация OWASP в Asp.Net MVC

Моя задача внедрить стандарт OWASP в мои проекты mvc. Я нашел документацию здесь также у нас есть пространство .Net здесь .

Моя проблема в том, что я не понимаю несколько моментов, и для этого нет онлайн-поддержки (даже в разделе глоссария) (или я ее не нашел), например: пункт 1.9. Убедитесь, что приложение имеет четкое разделение между данными. уровень, уровень контроллера и уровень отображения, чтобы решения о безопасности могли применяться в доверенных системах. Я работаю над приложением MVC, поэтому между уровнями есть разделение, но что означает слово «решения безопасности» в этом контексте, я не понимаю -?

Любая помощь или указание на правильные направления с благодарностью

Обновление: 11 января 2016 г. Также что означает это предложение 10.13. Убедитесь, что шифры прямой секретности используются для защиты от пассивных злоумышленников, записывающих трафик в контексте приложения mvc.

Обновление: 12 01 2016  Еще одна проблема: 19.4. Убедитесь, что развертывание приложений надлежащим образом изолировано, помещено в контейнер или изолировано, чтобы задержать и удержать злоумышленников от атак на другие приложения. ?


asp.net-mvc owasp
person Lukasz Ożóg    schedule 11.01.2016    source источник
comment
Это означает, что вы не должны разбрасывать свой код операторами типа if (User == RecordOwner), а исправлять это централизованно.   -  person CodeCaster    schedule 11.01.2016
comment
не могли бы вы немного объяснить? в настоящее время я получаю данные из одной пользовательской службы во всех приложениях, и эта служба позволяет пользователю видеть только данные, относящиеся к нему, поэтому мы можем предположить, что я прошел эту точку?   -  person Lukasz Ożóg    schedule 11.01.2016

Ответы (1)


arrow_upward
1
arrow_downward

Я думаю, что 10.13, относящийся к Forward Secrecy, вероятно, относится к включению SSL Forward Secrecy для вашего сайта, что-то вроде это.

Это помогает предотвратить потенциальное использование злоумышленником методов расшифровки грубой силы, которые могут быть возможны, если они могут захватить большие объемы вашего трафика.

person Simon    schedule 11.01.2016
comment
Знаете ли вы, где я могу найти человеческое объяснение некоторых стандартных пунктов OWASP? - person Lukasz Ożóg; 11.01.2016