Рекомендации по повышению уровня защищенности web-приложений

security Security

Рекомендации по повышению уровня защищенности:

  • Организовать авторизованному пользователю web-приложения возможность самостоятельного завершения сеанса работы в web-приложении
  • Обеспечить гарантированное удаление идентификатора соответствующей сессии по завершению сеанса работы клиента web-приложения.
  • Организовать доступ к защищенным ресурсам web-приложения только после прохождения процедуры аутентификации.
  • Обеспечить хранение аутентификационных данных пользователей web-приложения только в криптографически защищенном виде.
  • Исключить хранение аутентификационных данных в файлах и HTML-страницах, доступных по URL, а также информации, позволяющей сделать вывод о структуре каталогов web-приложения на web-сервере.
  • В случае, если в web-приложении предусматривается возможность внесения изменений пользователем в принадлежащий ему профиль, из внесенние необходимо подтверждать дополнительной процедурой аутентификации.
  • Запретить использование заголовка REFERER в качестве основного механизма авторизации.
  • Для построения SQL-запросов необходимо использовать параметризованные запросы (например, хранимые процедуры). В случае отсутствия такой возможности, организовать процедуру предварительной обработки получаемых от пользователя данных (путем удаления метасимволов « ` / *», а также следующих SQL-операторов: SELECT, UNION, ALTER, UPDATE, EXEC, DROP, DELETE и INSERT). Осуществлять преобразование HTML-кода входного потока данных следующим образом:
    • Заменить символы < > на &ltи &gt;
    • Заменить символы () на &#40 и &#41;
    • Заменить символ # на &#35;
    • заменить символ & на &#38.
  • Осуществлять фильтрацию входного потока данных (например, с использованием методов Server.HTMLEncode и HttpServerUtility.HTMLEncode в ASP и ASP.NET).
  • Запретить пользователю ввод данных, в которых допустимы HTML-теги <IMG> или <TABLE>.
  • При возникновении ошибки в web-приложении, запретить предоставлять следующую информацию в выводе сообщений об ошибках:
    • данные о структуре файловой системы (информация о версии операционной системы, директориях с системными файлами и системным программным обеспечением, включая пути к директориям и файлам);
    • фрагменты программного или конфигурационного кода;
    • сообщения об ошибках при передаче запросов в СУБД;
    • SQL-выражения, используемые при доступе к базе данных.
  • При обработке ошибок web-сервером выдавать пользователю страницу-заглушку с кодом НТТР-ответа web-сервера «200».
  • При прохождении процедуры аутентификации пользователей в web-приложении должны использоваться защищенные протоколы Kerberos (в случае доменной аутентификации) или TLS v1.2 (и выше).
  • Передачу аутентификационных данных на web-сервер осуществлять методом POST.
  • Исключить использование при обработке web-сервером данных в формате XML внешних сущностей (External Entity), внешних параметров сущностей (External Parameter Entity) и внешних описаний типа документа (External Doctype).
  • Запретить кеширование web-форм ввода конфиденциальной информации. Выставить атрибут HTTPOnly у параметров cookie, значения которых не должны быть доступны сценариям, выполняемым браузером. У параметров cookie, содержащих чувствительную информацию, необходимо выставить атрибут secure.
  • Проводить проверку корректности вводимых пользователем данных как на стороне клиента использованием сценариев, исполняемых браузером), так и на стороне сервера.
  • Использовать директивы в заголовках сообщений HTTP, определяющие применяемую кодировку. Исключить использование разных кодировок для разных источников входных данных.
  • Перед использованием на web-ресурсах JavaScript-кода, подгружаемого со сторонних ресурсов, осуществлять его проверку на предмет вредоносного воздействия на отображаемую в браузерах пользователя информацию и возможность кражи аутентификационных данных и файлов-cookie пользователей.
  • Осуществлять периодическую проверку хэш-сумм используемых JavaScript. В случае изменения хэш-сумм отключать использование JavaScript на сайте и выполнять повторную проверку функциональности.
  • Отказаться от использования динамически формируемых кодов JavaScript на web-ресурсе.
  • Отдавать предпочтение загрузке внешних зависимостей (JavaScript, CSS и др.) из контролируемых источников.
  • Разработать и поддерживать в актуальном состоянии планы реагирования на основные типы инцидентов:
    • DDoS-атака (сетевого уровня, прикладного уровня);
    • дефейс сайта;
    • несанкционированный доступ к интерфейсу управления;
    • обнаружение утечки административных учетных данных, ключа или секрета;
    • обнаружение утечки пользовательских данных.
Добавить комментарий