Безопасность ASP.NET
Веб платформа ASP.NET за последние десятилетия получила достаточно широкое распространение. С ее помощью разрабатывают веб-сайты и веб-приложения с помощью таких средств как HTML, CSS и JavaScript. Также с помощью ASP.NET можно создавать веб-API и веб сокеты.
Одной из основных проблем при разработке в контексте безопасности является невозможность функциональной проверки у того, или иного приложения. То есть, при разработке приложения мы не можем просто подключить какие-то библиотеки, сделать какие-то настройки при сборке проекта, и затем сказать, что все, наше приложение защищено и можно передавать его в продакшен. Так не бывает. На практике возможны два основных сценария: худший когда мы узнаем о проблемах с безопасностью нашего приложения из СМИ и интернета, например, когда приложение взломали или, когда в сеть утекли данные, обрабатываемые нашим приложением (да, обычно эти утечки организуют бывшие или действующие сотрудники, и это не совсем вина приложения, но, как говориться осадочек все-равно остается). Более мягким является сценарий, когда мы узнаем об уязвимостях в нашем приложении в результате пентеста или когда сознательные исследователи сами сообщают разработчикам о найденных уязвимостях, например в рамках баг баунти. В таком случае нас скорее всего еще не скомпрометировали и репутационного ущерба для компании разработчика не будет. Ну а срочные баг фиксы выпускают все.
И к чему было все это вступление? ASP.NET является достаточно сложным решением, а сложность это всегда враг безопасности. С одной стороны вроде-бы злоумышленнику трудно разобраться в сложном решении, но с другой и защищать сложное решение тоже весьма непросто. И практика показывает, что очень часто именно злоумышленники быстрее разбираются в сложных системах и оперативно находят уязвимые места.
Читать далееИсточник: Хабрахабр
Похожие новости
- Самые интересные задачи для безопасников — Джабба одобряет
- Как пройти путь до руководителя инфобеза?
- Стажировки в SOC. Часть 1: как организовать обучение на 1 тыс. человек
- Эволюция чат-ботов: 5 причин внедрить Telegram Web App
- Тестирование PT NGFW: ранняя версия межсетевого экрана нового поколения от Positive Technologies
- Обеспечение безопасности загрузчика GRUB в Linux
- Кадровый голод в сегменте маркетинговых услуг
- Как брендам вести канал в Дзене в 2024 году
- Таргетированные SMS-рассылки как замена заблокированным и перегретым каналам продвижения
- Brand Hub запустил первый национальный рейтинг брендинговых агентств