Infrastruttura di sicurezza: gestione della configurazione - Procedure di mitigazione

Implementare i criteri di sicurezza del contenuto (CSP) e disabilitare JavaScript inline

Esempio

Criteri di esempio:

Content-Security-Policy: default-src 'self'; script-src 'self' www.google-analytics.com 

Questi criteri consentono il caricamento degli script solo dal server dell'applicazione Web e dal server Google Analytics. Gli script caricati da altri siti verranno rifiutati. Quando CSP viene abilitato in un sito Web, le funzionalità seguenti vengono automaticamente disabilitate per mitigare gli attacchi XSS.

Esempio

Gli script inline non verranno eseguiti. Di seguito sono riportati esempi di script inline.

<script> some JavaScript code </script>
Event handling attributes of HTML tags (for example, <button onclick="function(){}">
javascript:alert(1);

Esempio

Le stringhe non verranno valutate come codice.

Example: var str="alert(1)"; eval(str);

Abilitare il filtro XSS del browser

Le applicazioni ASP.NET devono disabilitare la traccia e il debug prima della distribuzione

Accedere solo a JavaScript di terze parti da origini attendibili

Assicurarsi che le pagine ASP.NET autenticate incorporino difese contro attacchi di tipo UI redress o click-jacking

Esempio

L'intestazione X-FRAME-OPTIONS può essere impostata tramite IIS web.config. Frammento di codice Web.config per i siti che non devono mai essere framed:

    <system.webServer>
        <httpProtocol>
            <customHeader>
                <add name="X-FRAME-OPTIONS" value="DENY"/>
            </customHeaders>
        </httpProtocol>
    </system.webServer>

Esempio

Codice di Web.config per siti che devono essere inseriti in un frame solo dalle pagine nello stesso dominio:

    <system.webServer>
        <httpProtocol>
            <customHeader>
                <add name="X-FRAME-OPTIONS" value="SAMEORIGIN"/>
            </customHeaders>
        </httpProtocol>
    </system.webServer>

Assicurarsi che siano consentite solo origini attendibili se CORS è abilitato nelle applicazioni Web ASP.NET

Esempio

Se è disponibile l'accesso a Web.config, CORS può essere aggiunto tramite il codice seguente:

<system.webServer>
    <httpProtocol>
      <customHeaders>
        <clear />
        <add name="Access-Control-Allow-Origin" value="https://example.com" />
      </customHeaders>
    </httpProtocol>

Esempio

Se l'accesso a web.config non è disponibile, è possibile configurare CORS aggiungendo il codice C# seguente:

HttpContext.Response.AppendHeader("Access-Control-Allow-Origin", "https://example.com")

Si noti che è fondamentale assicurarsi che l'elenco di origini nell'attributo "Access-Control-Allow-Origin" sia impostato su un set finito e attendibile di origini. Se non si configura questa impostazione in modo inappropriato (ad esempio, l'impostazione del valore come "*") consente ai siti dannosi di attivare richieste tra le origini all'applicazione >Web senza restrizioni, rendendo l'applicazione vulnerabile agli attacchi CSRF.

Abilitare l'attributo ValidateRequest nelle pagine ASP.NET

Esempio

Questa funzionalità può essere tuttavia disabilitata a livello di pagina:

<%@ Page validateRequest="false" %> 

o a livello di applicazione.

<configuration>
   <system.web>
      <pages validateRequest="false" />
   </system.web>
</configuration>

Si noti che la funzionalità di convalida delle richieste non è supportata e non fa parte della pipeline MVC6.

Usare le versioni più recenti ospitate in locale delle librerie JavaScript

Disabilitare l'analisi MIME automatica

Esempio

Aggiungere l'intestazione nel file web.config se l'applicazione è ospitata da Internet Information Services (IIS) 7 o versione successiva.

<system.webServer>
<httpProtocol>
<customHeaders>
<add name="X-Content-Type-Options" value="nosniff"/>
</customHeaders>
</httpProtocol>
</system.webServer>

Esempio

Aggiungere l'intestazione tramite il Application_BeginRequest globale

void Application_BeginRequest(object sender, EventArgs e)
{
this.Response.Headers["X-Content-Type-Options"] = "nosniff";
}

Esempio

Implementare un modulo HTTP personalizzato

public class XContentTypeOptionsModule : IHttpModule
{
#region IHttpModule Members
public void Dispose()
{
}
public void Init(HttpApplication context)
{
context.PreSendRequestHeaders += newEventHandler(context_PreSendRequestHeaders);
}
#endregion
void context_PreSendRequestHeaders(object sender, EventArgs e)
{
HttpApplication application = sender as HttpApplication;
if (application == null)
  return;
if (application.Response.Headers["X-Content-Type-Options "] != null)
  return;
application.Response.Headers.Add("X-Content-Type-Options ", "nosniff");
}
}

Esempio

È possibile abilitare l'intestazione necessaria solo per pagine specifiche aggiungendola a singole risposte:

this.Response.Headers["X-Content-Type-Options"] = "nosniff";

Rimuovere le intestazioni del server standard nei siti Web di Microsoft Azure per evitare la creazione di impronte digitali

Configurare Windows Firewall per l'accesso al motore di database

Assicurarsi che siano consentite solo origini attendibili se CORS è abilitato nell'API Web ASP.NET

Esempio

In App_Start/WebApiConfig.cs aggiungere il codice seguente al metodo WebApiConfig.Register.

using System.Web.Http;
namespace WebService
{
    public static class WebApiConfig
    {
        public static void Register(HttpConfiguration config)
        {
            // New code
            config.EnableCors();

            config.Routes.MapHttpRoute(
                name: "DefaultApi",
                routeTemplate: "api/{controller}/{id}",
                defaults: new { id = RouteParameter.Optional }
            );
        }
    }
}

Esempio

L'attributo EnableCors può essere applicato ai metodi di azione in un controller, come segue:

public class ResourcesController : ApiController
{
  [EnableCors("http://localhost:55912", // Origin
              null,                     // Request headers
              "GET",                    // HTTP methods
              "bar",                    // Response headers
              SupportsCredentials=true  // Allow credentials
  )]
  public HttpResponseMessage Get(int id)
  {
    var resp = Request.CreateResponse(HttpStatusCode.NoContent);
    resp.Headers.Add("bar", "a bar value");
    return resp;
  }
  [EnableCors("http://localhost:55912",       // Origin
              "Accept, Origin, Content-Type", // Request headers
              "PUT",                          // HTTP methods
              PreflightMaxAge=600             // Preflight cache duration
  )]
  public HttpResponseMessage Put(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
  [EnableCors("http://localhost:55912",       // Origin
              "Accept, Origin, Content-Type", // Request headers
              "POST",                         // HTTP methods
              PreflightMaxAge=600             // Preflight cache duration
  )]
  public HttpResponseMessage Post(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
}

Si noti che è fondamentale assicurarsi che l'elenco di origini nell'attributo EnableCors sia impostato su un set finito e attendibile di origini. Se non si configura questa impostazione in modo inappropriato (ad esempio, l'impostazione del valore come "*") consentirà ai siti dannosi di attivare richieste tra le origini all'API senza restrizioni, >rendendo quindi l'API vulnerabile agli attacchi CSRF. EnableCors può essere decorato a livello di controller.

Esempio

Per disabilitare CORS in un determinato metodo di una classe, l'attributo DisableCors può essere usato come illustrato sotto:

[EnableCors("https://example.com", "Accept, Origin, Content-Type", "POST")]
public class ResourcesController : ApiController
{
  public HttpResponseMessage Put(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
  public HttpResponseMessage Post(Resource data)
  {
    return Request.CreateResponse(HttpStatusCode.OK, data);
  }
  // CORS not allowed because of the [DisableCors] attribute
  [DisableCors]
  public HttpResponseMessage Delete(int id)
  {
    return Request.CreateResponse(HttpStatusCode.NoContent);
  }
}

Approccio 1 Abilitazione di CORS con il middleware: per abilitare CORS per l'intera applicazione, aggiungere il middleware CORS alla pipeline di richieste usando il metodo di estensione UseCors. Si possono specificare criteri multiorigine quando si aggiunge il middleware CORS usando la classe CorsPolicyBuilder. A questo scopo è possibile procedere in due modi:

Esempio

Il primo consiste nel chiamare UseCors con un operatore lambda. L'operatore lambda accetta un oggetto CorsPolicyBuilder:

public void Configure(IApplicationBuilder app)
{
    app.UseCors(builder =>
        builder.WithOrigins("https://example.com")
        .WithMethods("GET", "POST", "HEAD")
        .WithHeaders("accept", "content-type", "origin", "x-custom-header"));
}

Esempio

Il secondo consiste nel definire uno più criteri CORS denominati e quindi nel selezionare i criteri per nome in fase di esecuzione.

public void ConfigureServices(IServiceCollection services)
{
    services.AddCors(options =>
    {
        options.AddPolicy("AllowSpecificOrigin",
            builder => builder.WithOrigins("https://example.com"));
    });
}
public void Configure(IApplicationBuilder app)
{
    app.UseCors("AllowSpecificOrigin");
    app.Run(async (context) =>
    {
        await context.Response.WriteAsync("Hello World!");
    });
}

Approccio 2 Abilitazione di CORS in MVC: in alternativa gli sviluppatori possono usare MVC per applicare CORS specifici per azione, per controller o a livello globale per tutti i controller.

Esempio

Per azione: per specificare un criterio CORS per un'azione specifica, aggiungere l'attributo [EnableCors] all'azione. Specificare il nome del criterio.

public class HomeController : Controller
{
    [EnableCors("AllowSpecificOrigin")] 
    public IActionResult Index()
    {
        return View();
    }

Esempio

Per controller:

[EnableCors("AllowSpecificOrigin")]
public class HomeController : Controller
{

Esempio

A livello globale:

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();
    services.Configure<MvcOptions>(options =>
    {
        options.Filters.Add(new CorsAuthorizationFilterFactory("AllowSpecificOrigin"));
    });
}

Si noti che è fondamentale assicurarsi che l'elenco di origini nell'attributo EnableCors sia impostato su un set finito e attendibile di origini. Se non si configura questa impostazione in modo inappropriato (ad esempio, l'impostazione del valore come "*") consentirà ai siti dannosi di attivare richieste tra le origini all'API senza restrizioni, >rendendo quindi l'API vulnerabile agli attacchi CSRF.

Esempio

Per disabilitare CORS per un controller o un'azione, usare l'attributo [DisableCors].

[DisableCors]
    public IActionResult About()
    {
        return View();
    }

Crittografare le sezioni dei file di configurazione dell'API Web contenenti dati sensibili

Assicurarsi che tutte le interfacce amministrative siano protette con credenziali sicure

Assicurarsi che un codice sconosciuto non possa essere eseguito sui dispositivi

Crittografare il sistema operativo e altre partizioni del dispositivo IoT con BitLocker

Assicurarsi che sui dispositivi siano abilitati solo servizi/funzionalità minime

Crittografare il sistema operativo e altre partizioni del gateway sul campo IoT con BitLocker

Assicurarsi che le credenziali di accesso predefinite del gateway sul campo vengano modificate durante l'installazione

Assicurarsi che il gateway nel cloud implementi un processo per mantenere aggiornato il firmware dei dispositivi connessi

Assicurarsi che i dispositivi abbiano i controlli di sicurezza degli endpoint configurati in base ai criteri organizzativi

Assicurare una gestione sicura delle chiavi di accesso alle risorse di archiviazione di Azure

Assicurarsi che siano consentite solo origini attendibili se CORS è abilitato in Archiviazione di Azure

Abilitare la funzionalità di limitazione dei servizi di WCF

Esempio

Di seguito è riportato un esempio di configurazione con la funzionalità di limitazione abilitata:

<system.serviceModel> 
  <behaviors>
    <serviceBehaviors>
    <behavior name="Throttled">
    <serviceThrottling maxConcurrentCalls="[YOUR SERVICE VALUE]" maxConcurrentSessions="[YOUR SERVICE VALUE]" maxConcurrentInstances="[YOUR SERVICE VALUE]" /> 
  ...
</system.serviceModel> 

Diffusione di informazioni di WCF tramite i metadati

Esempio

Il codice seguente indica a WCF di trasmettere i metadati di un servizio.

ServiceMetadataBehavior smb = new ServiceMetadataBehavior();
smb.HttpGetEnabled = true; 
smb.HttpGetUrl = new Uri(EndPointAddress); 
Host.Description.Behaviors.Add(smb); 

Non trasmettere i metadati del servizio in un ambiente di produzione. Impostare le proprietà HttpGetEnabled/HttpsGetEnabled della classe ServiceMetaData su false.

Esempio

Il codice seguente indica a WCF di non trasmettere i metadati di un servizio.

ServiceMetadataBehavior smb = new ServiceMetadataBehavior(); 
smb.HttpGetEnabled = false; 
smb.HttpGetUrl = new Uri(EndPointAddress); 
Host.Description.Behaviors.Add(smb);