Application Security Audit egy .NET Web Application?




Bárki, aki javaslatokat biztonsági ellenőrzés egy .NET Web Application?


Érdekelne az összes lehetőséget. Szeretném tudni, hogy van valami agnosztikusan szonda én kérelmet a biztonsági kockázatokat.


EDIT:


Annak tisztázása, a rendszer úgy lett kialakítva, a biztonságot szem előtt tartva. A környezet volt a telepítést a biztonságot szem előtt tartva. Szeretnék egy független biztonsági intézkedése kivételével - igen ez biztos ... Az ára, hogy valaki ellenőrzési 1M + sornyi kódot valószínűleg drágább, mint a fejlesztés. Úgy néz ki, tényleg nem egy jó automata / olcsón megközelítés e még. Köszönöm a javaslatokat.


A lényeg az ellenőrzési lenne, hogy önállóan ellenőrizni a biztonsági, hogy hajtotta végre a csapat.


BTW - több automatizált hack / szonda szerszámok szonda alkalmazások / web szerver, de én egy kicsit aggódik, hogy ezek a férgek, vagy nem ...
**A legjobb dolog:**


* Kölcsönzése egy biztonsági őr a forráskód elemzés
* A második legjobb dolog a bérleti biztonsági őr / pentesting cég black-box elemzés


**Következő eszközök segítik:** 


* Statikus Elemzőeszközök Fortify / uncia Labs - Code Review
* Tekintsük megoldások, mint például a HP WebInspects biztonságos objektum (VS.NET addon)
* Vásárlás egy blackbox alkalmazás szkenner, mint Netsparker, AppScan, WebInspect, Hailstorm, Acunetix vagy ingyenes verziója [Netsparker](http://www.mavitunasecurity.com/communityedition/)


Kölcsönzése néhány biztonsági szakember sokkal jobb ötlet (többe kerül, mintha), mert akkor nem csak találni injekció és technikai kérdésekben, ahol az automatizált eszközzel lehet találni, akkor is megtalálja a logikai kérdéseket is.
Szia!  

Érdemes esetleg meglesni a mintamegoldást :)   

Vagy egy kód ide sokat segítene. Több tényezős a dolog és éppen ezért több úton lehet  megközelíteni a kérdést.  

  

Ha jól értem akkor alkalmazáson belüli bankkártyás vásárlásokra vonatkozik a kérdés.  

  

Ez akkor lehetséges, ha korábban már megadtuk az adott készüléken a bankkártya adatainkat, melyeket a készülék, vagy valamely applikáció elmentett.  

  

Elsőként azt nézzük meg,  hogy a telefonon lévő google play áruház beállításai között ( play áruház, bal felső sarok három vonalra katt, középen bankkrtya alakú ikon, és fizetési módok.) Itt lehet megtekinteni, hogy készülékünkhöz jelenleg milyen bankkártya, vagy fizetési mód csatlakozik. Ezek itt kezelhetőek, törölhetőek.   

  

Ugyan itt, a (fogaskerék ábra)beállításokra kattintva, lejjebb görgetve a kijelzőt megtalálható a Felhasználói vezérlők- Szülői felügyelet be-ki kapcsolása. érdemes bekapcsolni. Ez alatt közvetlenül, pedig a hitelesítés (vásárlás engedélyezése) módjának beállításaira van lehetőség.  

  

Egy egy alkalmazásnak adott engedélyek is megtekinthetőek a telefonon. Telefon beállítások-alkalmazások-ezen belül egyes alkalmazásokhoz társított engedélyek (pl névjegyzék, kamera, fotóalbum,stb.) De itt megtalálható a jogosultságok menüpont is, ahol össze vannak gyűjtve ezen adatok. Érdemes ezek átböngészni, hiszen sokszor indokolatlanul adjuk ki adatainkat, névjegyeinket, fényképeinket egy egy telepített alkalmazásnak.   

  

A telefon beállításai között található a digitális egyenleg, vagy egyensúly, vagy képernyőidő beállítása. Ez egyfajta szülői felügyeleti eszköz , mely segítségével növelhető a biztonság.  

  

Van olya alkalmazás, mely a mobilvásárlást is engedélyezi, ( pl egy sms küldéssel lehet fizetni) ez olyan, mint amikor parkolunk a telefonról, és automatikusan hozzáteszi az adott összeget a havi telefonszámlához. Erre azt a megoldást javasoljuk, hogy ne előfizetéses telefon, hanem feltöltő kártyás telefon  adjunk germekünknek, így minimalizálható az levásárolható összeg.  

  

Egyes Bankoknál be lehet állítani, hogy ne engedélyezze az alkalmazáson belüli vásárlásokat, illetve többszörös hitelesítést is lehet igényelni, pl egy sms- megerősítő kóddal, minden vásárlás esetén. Így elkerülhető a nem kívánt vásárlás.  

  

Remélem sikerült érthetően válaszolnom a kérdésre :) Pontosan! Nekem érthetetlen, hogy ennyi energiát fektetnek (folyamatosan) valamibe amivel inkább csak rosszabb lesz a felület, és a megszokott dolgok meg eltűnnek (pl. nemrég még minden lecke teljesítése után lehetett látni, hogy mennyi van a következő szintig, most meg ahhoz be kell menni az adatlapra stb.). Régebben, amikor a megjegyzések az adott feladat felett jelentek meg, akkor nekem csak 1-2 másodperc kellett ehhez, most meg, hogy új oldalt nyit (ez már jó pár hónapja így van), azóta ez baromi lassú (nálam kb. 15 mp), bár tudom, hogy a külön oldal megnyitásának is van előnye (pl. nyitva lehet hagyni). Ez utóbbit pl. lehetne orvosolni azzal, hogy mindenki személyre szólóan beállíthatná hogyan működjön neki. Az ellenőrzést rád bízom. Csatoltam a függvények képét.  

  

Ellenőrizni úgy tudod, hogy pár számot behelyettesítesz x helyére és leolvasod az eredményt.  

Pl az elsőnél x=4 esetén -|x-4| ez lesz -|4-4|=0 és a függvényen is látod, hogy valóban 0 az érték.  

Ha nem érted, írj! szedd le a messenger appot az orarol. ha ertesitest kell az oran megjeleniteni, amihez van az oran app, akkor az ora elinditja az appot (legalabbis az appdelegatet mindenkeppen), hogy meg tudja jeleniteni a komplexebb notifikaciokat az app. ha crashel az app (valoszinuleg most eppen crashel), akkor … [@microbit](/u/microbit) érdemes egyébként elolvasni a hozzászólásokat a korábbi cikk alatt, ahol az is le lett írva, hogy ios-en sajnos fából vaskarika volt az app, mert a hivatalos api hiányában csak le nem zárt készüléken működött érdemben, ami meg értelmetlen és használati szempontból nem opció. mivel a hivata… Trükköző diákok mindig lesznek, így kizárni a csalás lehetőségét sosem lehet. De összeírtunk pár óvintézkedést, amivel lehet tenni azért, hogy ne legyen olyan könnyű a puskázás, súgás, másolás:

1. Dolgozatírásnál az egyik leggyakoribb trükk, hogy a diákok összedolgoznak. Ha a feladatlapban véletlenszerű kitöltési sorrendet állítasz be, a diákok nehezebben tudnak segíteni egymásnak, hiszen mindenki más feladattal lesz elfoglalva. Az oda-vissza lapozgatás és a megoldások diktálása elég sok időt elvesz, valószínűleg nem, vagy kevésbé érnek rá együttműködni.
2. Szintén segít, ha a tesztkérdésekre a válaszok véletlenszerű sorrendben jelennek meg, így nem az nem lesz segítség, hogy “a hármasra a B a jó válasz”
3. Ha egy diák súgást kér, akkor mindig a jobb tanulóhoz fordul. A Redmentával könnyedén tudsz a, b, c csoportokat létrehozni, hogy eltérőek legyenek a kérdések, vagy máshogy legyenek feltéve a kérdések. Ha a csoportokat tudásszint szerint rakod össze, 5-ösöket egy csoportba például, akkor jobban magukra lesznek utalva.
4. Ha katalógusból másoltad a feladatlapot, módosítsd a kérdéseket, de a címét mindenképen írd át! A katalógust a diákok is elérik. Ha cím alapján megtalálják, a lemásolt feladatlap megoldókulcsát is meg tudják nézni. (Ha van rá idejük.
5. Esszéírás esetén a kifejtős feladattípus figyeli a másolásokat, így ha a diák egy nagyobb szövegrészt másol be külső forrásból, figyelmeztetjük, hogy a másolás eseményéről a tanár is értesítést fog kapni. Ebben az esetben a diák eldöntheti, hogy a másolást visszavonja, vagy megjelölje a másolás forrását. Természetesen előfordulhat, hogy a diák teszt írás közben átvált a szövegszerkesztőjére és abban írja meg az esszéjét, ebben az esetben beírhatja, hogy saját forrásból másolt. A konkrét file-típus ismerete hiányában a következőket tudom javasolni: 

*A csoportba feltöltött és megosztott fájlok a csoport minden tagja számára elérhetők. Webes Office az Android vagy iOS rendszerű Office-ban, illetve a Microsoft 365 legújabb alkalmazásaiban Ön és tagjai közösen szerkeszthetik a Word, a PowerPoint vagy az Excel dokumentumait, illetve megjegyzéseket végezhetnek a Visio-fájlokban. Nem kell a fájlokat ellenőrizni vagy aggódnia, ha valamelyik munkatársa meg van nyitva. Csak nyissa meg a szerkeszteni kívánt fájlt, és ha a többi csapattag is szerkeszti őket, akkor a módosítások zökkenőmentesen lesznek egyesítve munka közben.*

Röviden az MS file-okat megosztva közösen szerkeszthetik. (mindenki egyenlő jogokkal)   
Ha megoldandó feladat vagy dolgozatról van szó a Forms-ot ajánlom és a teszt kiadást MS Teams-ben. Készítem. Érdemes megnézned ezt a videómat.  

<https://www.youtube.com/watch?v=SwR6CZXYlUw&t=1068s> Ha meg akarod érteni az ilyen feladatokat, egy videót ajánlok:  

<https://www.youtube.com/watch?v=oqP_oIKNuvU>