セキュリティの決定は、クライアント側の検証に依存せずにサーバー側で作成する必要があります。

ASP.NET の Web アプリケーションからリモートのリソースにアクセスするために使用する ID を明確に特定しています。

安全な例外管理の方法を特定しています。アプリケーションに例外が発生した場合は、安全に失敗します。

Web コントロール、ユーザー コントロール、およびリソース アクセス コードは、セキュリティを細分化して保護するために個々のアセンブリに分割しています。

ユーザー入力の種類、長さ、形式、および範囲を検証しています。入力が有効で安全な既知のデータであるかどうかをチェックし、次に悪意があるかまたは危険なデータかどうかをチェックします。

通常の HTML コントロール、クエリ文字列、Cookie、およびその他のフォームへの入力は、Regex クラスまたは各自のカスタム認証コードを使用して検証しています。

サーバー コントロールの範囲チェックには、RangeValidator コントロールを使用しています。

入力ファイル名は正しい形式で、アプリケーションのコンテキストにおいて検証可能で有効です。

MapPath は、アプリケーション間のマッピングを適切に制限しています。

ASP.NET version 1.1 の validateRequest オプションを有効にしています。

多層防御のために HttpOnly Cookie オプションを使用して、クロスサイト スクリプティングを防止しています (Internet Explorer 6 SP1 以降のみ)。

サイトは、制限領域とパブリック領域に分かれています。

資格情報および認証 Cookie の保護に SSL (Secure Sockets Layer) を使用しています。

フォーム認証 Cookie は、requireSSL 属性または Secure Cookie プロパティを使用して HTTPS 接続に制限しています。

永続的な認証 Cookie は使用していません。

個人用 Cookie は認証 Cookie と区別しています。

固定の ID を使用する場合、偽装資格情報は構成ファイル内で Aspnet_setreg.exe を使用して暗号化されています。

Forms 認証の <forms> 要素では、<credentials> 要素は使用していません (テストのみに使用)。

ページとディレクトリへのアクセス制御に URL 承認を使用しています。

クラスおよびそのメンバへのアクセスをセキュリティ保護するために、プリンシパル アクセス許可要求を使用しています。

HttpForbiddenHandler を使用して、構成ファイルが取得されるのをブロックしています。

カスタム アカウントの資格情報を使用する場合は、<processModel> 要素に Aspnet_setreg.exe を使用して暗号化しています。

ワイヤ上の機密性の高いデータは、SSL を使用して保護されています。

機密性の高いデータは、Cookie、隠しフォーム フィールド、またはクエリ文字列に保存していません。

Web.config および Machine.config ファイルでテキスト形式のパスワードは使用していません。資格情報の暗号化には Aspnet_setreg.exe を使用しています。

セッションの Cookie は、認証されたアクセスを必要とするすべてのページについて SSL を使用して保護されています。

セッション状態サービスを使用する場合は、最小権限アカウントで実行しています。

SQL Server の状態データへのアクセスを制限しています。

状態ストアへの通信チャネルを暗号化しています (IPSec または SSL)。

ビュー ステートは、メッセージ確認コード (MAC) を使用して保護されています。

すべての入力パラメータを検証しています。

構造化例外処理を使用しています。

無害なメッセージを含む一般的なエラー ページをクライアントに返しています。

アプリケーションはエラーと例外状態を区別します。

ASP.NET プロセスは、実行時に新しいイベント ソースを作成でき、インストール時にアプリケーション イベント ソースを作成できるように構成されています。

<trace/>
運用サーバーでは、トレースは無効にしています。

<trace enabled="false">

<httpRuntime>
maxRequestLength は、サイズが非常に大きいファイルのアップロードを禁止するように構成されています (オプション)。

<pages>
アプリケーションがビュー ステートを使用しない場合は、enableViewState を "false" に設定しています。

<pages enableViewState="false" . . ./>

アプリケーションがビュー ステートを使用する場合は、enableViewState を "true" に設定し enableViewStateMac を "true" に設定して、ビュー ステートの変更を検出します。

<pages enableViewState="true" enableViewStateMac="true" />

<authentication>
認証モードは、アプリケーションの要件をサポートするために適切に構成されています。特定の認証タイプを使用するために、<location> 要素に allowOverride="false" を指定しています。

<location path="" allowOverride="false">  
<system.web>    
<authentication mode="Windows" />  
</system.web></location>

<identity>
偽装 ID を使用する場合、偽装 ID はレジストリ内で Aspnet_setreg.exe を使用して暗号化されています。

<identity impersonate="true"          
userName="registry:HKLM\SOFTWARE\YourApp\
identity\ASPNET_SETREG,userName"          
password="registry:HKLM\SOFTWARE\YourApp\
identity\ASPNET_SETREG,password"/>

<machineKey>
複数の ASP.NET Web アプリケーションを同じ Web サーバーに展開する場合は、"IsolateApps" の設定を使用して、必ず各 Web アプリケーションに個別のキーが生成されるようにしています。

<machineKey validationKey="AutoGenerate,IsolateApps"
decryptionKey="AutoGenerate,IsolateApps"      
validation="SHA1" />

ASP.NET Web アプリケーションを Web ファームで実行する場合は、特定のマシン キーを使用し、これらのキーをファームのすべてのサーバーにコピーします。
ビュー ステートが有効になっている場合、validation 属性は "SHA1" に設定しています。
アプリケーションに対して Forms 認証 Cookie を暗号化する場合は、validation 属性を "3DES" に設定します。

<httpHandlers>
未使用のファイルの種類は、HttpForbiddenHandler にマップし、HTTP を経由してファイルが取得されないようにしています。例:

<add verb="*" path="*.rem"            
type="System.Web.HttpForbiddenHandler"/> 

<webServices>
未使用のプロトコルは無効にしています。
WSDL (Web Services Description Language) の自動生成は無効にしています (オプション)。

セッション状態 - サーバー アフィニティを回避するために、ASP.NET セッション状態は ASP.NET SQL Server 状態データベースの処理外またはリモート マシンで動作する out-of-process 状態サービスで保守しています。

DPAPI - DPAPI とマシン キーを使用してファームのすべてのサーバーがアクセスする共通データを暗号化することはできません。リモート サーバーの共有データを暗号化するには、3DES などの代わりの実装を使用します。

アプリケーションに固有のマシン キーがあります。
<machineKey> に IsolateApps を使用するか、またはアプリケーションごとに <machineKey> 要素を使用します。

<machineKey validationKey="AutoGenerate,IsolateApps" 
decryptionKey="AutoGenerate,IsolateApps" . . . />

Microsoft Windows® Server 2003 のアプリケーション分離には、複数のプロセス (IIS 6.0 アプリケーション プール) を使用しています。

Web ファームのすべてのサーバーに対して共通のマシン キーを有効にしています。

プロセス分離およびシステム リソースへのアクセスを制限するために、コード アクセス セキュリティの信頼レベルを使用しています (.NET Framework version 1.1 が必要です)。

ASP.NET の一時ファイル

%windir%\Microsoft.NET\Framework\{version}Temporary ASP.NET Files

ASP.NET プロセス アカウントおよび偽装された ID: フル コントロール

.NET Framework ディレクトリ

%windir%\Microsoft.NET\Framework\{version}

ASP.NET プロセス アカウントおよび偽装された ID:
読み取りと実行
フォルダの内容の一覧表示

Web サイトのルート

C:\inetpub\wwwroot

または、デフォルト Web サイトが ASP.NET プロセス アカウントをポイントするパス:
フル コントロール

グローバル アセンブリ キャッシュ

%windir%\assembly

プロセス アカウントおよび偽装された ID: 読み取り

IIS Web アクセス許可は構成されています。
Bin ディレクトリには、読み取り、書き込み、およびディレクトリ参照のアクセスは許可していません。
実行のアクセス許可は、[なし] に設定されています。