DetailPage-MSS-KB

Base de Dados de Conhecimento

Artigo: 815145 - Última revisão: quinta-feira, 11 de Janeiro de 2007 - Revisão: 4.5

 

Nesta página

Sumário

Este artigo passo a passo descreve como bloquear uma aplicação Web do ASP.NET ou serviço Web. As aplicações da Web são frequentemente o destino de ataques maliciosos.

Existem muitos passos pode tomar para reduzir o risco associado que hospeda uma aplicação Web. Um nível elevado, ASP.NET aplicações beneficiam das medidas de segurança mesmo como Web convencional aplicações. No entanto, as extensões de nome de ficheiro do ASP.NET e a utilização de segurança requerem considerações especiais. Este artigo descreve vários mecanismos de chaves para proteger as aplicações Web do ASP.NET.

Para obter mais informações sobre segurança, visite o seguinte Web site da Microsoft:
http://www.microsoft.com/security (http://www.microsoft.com/security)

Filtragem de pacotes

ASP.NET requer não especial atenção quando configurar o equipamento de rede ou programas de firewall para filtragem de pacotes baseado em portas. Internet Information Server (IIS) define o números de porta TCP que o ASP.NET utiliza para comunicações. Por predefinição, o ASP.NET utiliza a porta TCP 80 para HTTP padrão e utiliza TCP porta 443 para HTTP com a encriptação SSL.

Firewalls de camada de aplicação

Firewalls de camada de aplicação, como o Microsoft Internet Security e Acceleration Server, podem analisar os detalhes da entrada Web pedidos, incluindo o comando HTTP que é emitido e o ficheiro que é pedido. Dependendo da aplicação, poderão ser pedidos tipos de ficheiro diferente. Um cliente do ASP.NET poderá requerer legitimamente ficheiros que tenham qualquer uma das seguintes extensões de ficheiros, consoante a funcionalidade de aplicação:
  • .ashx
  • .aspx
  • .asmx
  • .rem
  • .SOAP
Ficheiros incluídos numa aplicação do ASP.NET podem utilizar as seguintes extensões de nome de ficheiro. No entanto, um firewall nunca deve reencaminhar esses ficheiros para os utilizadores finais. Dependendo do ambiente de desenvolvimento, os programadores podem emitir Web pedidos para as seguintes extensões:
  • .asax
  • .ascx
  • .asmx
  • .axd
  • config
  • .cs
  • .csproj
  • .dll
  • .licx
  • .pdb
  • .rem
  • Resources
  • .resx
  • .SOAP
  • .VB
  • .VBPROJ
  • .vsdisco
  • .webinfo
  • xsd
  • .xsx
Tem de configurar o firewall para restringir os tipos de HTTP comandos que podem ser submetidos a uma aplicação ASP.NET. Especificamente, terá de permitir comandos GET, HEAD e POST apenas a partir de browsers de utilizador final. Os programadores poderão ter de aceder a outros comandos HTTP, também.

Segurança de NTFS

Eficazmente pode reduzir o risco de informações privadas que está a ser comprometidas. Para efectuar este procedimento, restringir permissões de ficheiros NTFS. Por predefinição, as aplicações do ASP.NET é executado no contexto da conta de utilizador ASPNET. Para maior segurança, pode configurar as permissões apropriadas para conta de utilizador ASPNET.

Para obter informações adicionais sobre como configurar permissões de ficheiros NTFS, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
815153  (http://support.microsoft.com/kb/815153/ ) COMO: Configurar permissões de ficheiros NTFS para a segurança de aplicações do ASP.NET

Configurar o URLScan

O URLScan é um filtro ISAPI Microsoft concebido para fornecer mais filtragem de pedidos Web recebidos em servidores de IIS 5.0. O URLScan fornece muitas funcionalidades de um firewall de camada de aplicação e pode filtrar pedidos com base no nome de ficheiro, caminho e o pedido de tipo. Para mais informações sobre a ferramenta de segurança URLScan, visite o seguinte Web site da Microsoft:
http://technet.microsoft.com/en-us/security/cc242650.aspx (http://technet.microsoft.com/en-us/security/cc242650.aspx)
Para obter informações adicionais sobre o URLScan, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
815155  (http://support.microsoft.com/kb/815155/ ) COMO: Configurar o URLScan para proteger aplicações Web do ASP.NET

Configurar segurança do SQL Server

Muitas aplicações do ASP.NET comunicam com um Microsoft SQL Server da base de dados. É comum para ataques maliciosos uma base de dados para utilizar uma aplicação do ASP.NET e, em seguida, beneficiar das permissões que concedeu o administrador de base de dados para a aplicação. Para oferecer o maior nível de protecção contra ataques desse tipo, configure as permissões de base de dados para limitar as permissões que concedem ao ASP.NET. Conceder apenas as permissões mínimas que a aplicação tem de ter a função.

Por exemplo, limitar ASP.NET para ler permissões para apenas essas vistas, tabelas, linhas e colunas que a aplicação deve ter acesso. Em que a aplicação não é directamente actualizada uma tabela, não conceda ao ASP.NET a permissão para submeter actualizações. Para maior segurança, configure permissões apropriadas para a conta de utilizador ASPNET.

Para obter informações adicionais sobre a configuração do SQL Server, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
815154  (http://support.microsoft.com/kb/815154/ ) COMO: Configurar a segurança do SQL Server para aplicações do .NET

Referências

Para mais informações, visite o seguinte Web site da Microsoft:
http://technet.microsoft.com/en-us/library/dd450372.aspx (http://technet.microsoft.com/en-us/library/dd450372.aspx)
Para obter informações adicionais, clique no número de artigo que se segue para visualizar o artigo na Microsoft Knowledge Base:
818014  (http://support.microsoft.com/kb/818014/ ) COMO: Secure aplicações que estão incorporadas no .NET Framework



A informação contida neste artigo aplica-se a:
  • Microsoft ASP.NET 1.0
  • Microsoft ASP.NET 1.1
Palavras-chave: 
kbmt kbwebservices kbwebserver kbwebforms kbconfig kbdeployment kbhowtomaster KB815145 KbMtpt
Tradução automáticaTradução automática
IMPORTANTE: Este artigo foi traduzido por um sistema de tradução automática (também designado por Machine translation ou MT), não tendo sido portanto revisto ou traduzido por humanos. A Microsoft tem artigos traduzidos por aplicações (MT) e artigos traduzidos por tradutores profissionais. O objectivo é simples: oferecer em Português a totalidade dos artigos existentes na base de dados do suporte. Sabemos no entanto que a tradução automática não é sempre perfeita. Esta pode conter erros de vocabulário, sintaxe ou gramática… erros semelhantes aos que um estrangeiro realiza ao falar em Português. A Microsoft não é responsável por incoerências, erros ou estragos realizados na sequência da utilização dos artigos MT por parte dos nossos clientes. A Microsoft realiza actualizações frequentes ao software de tradução automática (MT). Obrigado.
Clique aqui para ver a versão em Inglês deste artigo: 815145  (http://support.microsoft.com/kb/815145/en-us/ )
Partilhar
Opções de suporte adicionais
Fóruns de Suporte da Comunidade Microsoft
Contacte-nos directamente
Encontre um parceiro certificado Microsoft
Loja Microsoft