Abwehr von Cross-site scripting (XSS)

• Benutzereingaben anonymer Sitzungen
  HTML und JavaScript Code wird vollständig entfernt
• Benutzereingaben authentifizierter Sitzungen
  HTML und JavaScript Code wird gemäss Konfiguration entfernt
  Siehe dazu den Absatz «Bösartige Daten» unter Konfiguration Missbrauchserkennung & Prävention
• Verwendung einer Content Security Policy
  Verhindern von ungewolltem Sideloading, siehe dazu: IIS Web.Config

Gegen weitere Vektoren

• Verschlüsseln sensitiver Informationen
  Verschlüsseltes speichern von Passwörtern, privaten Schlüsseln oder vergleicherbarer Konfigurationsdaten
• Erkennung und Abwehr eines Sitzungsdiebstahls
  Siehe dazu den Absatz «Vorbeugung gegen Sitzungsdiebstahl» unter Konfiguration Missbrauchserkennung & Prävention
• Erkennung und Abwehr von Mailflooding
  Siehe dazu den Absatz «Vorbeugen gegen E-Mail Flooding» unter Konfiguration Missbrauchserkennung & Prävention
• Erkennen von «Brute Force Angriffen»
  Benutzerkonten und/oder IP Adressen können autom. gesperrt werden, wenn Passwortangaben oder Informationen zur MFA wiederholt inkorrekt sind. Siehe dazu: Konfiguration Missbrauchserkennung & Prävention
• Minimieren der Angriffsfläche auf Ebene des Webservers
  Siehe dazu: IIS Web.Config
• Lesen/Verstehen der Kommunikation durch Dritte 'verunmöglichen'
  Verwendung der Transportverschlüsselung
• Speicherort von Ressourcen
  Alle Konfigurationsdaten, Logfiles und verwaltete Ressourcen wie Bilder und Dokumente werden ausserhalb des «Web Verzeichnisses» gespeichert. Die Ausnahme ist prinzipbedingt «web.config». Die Applikation erwartet dort jedoch niemals Zugangsdaten irgendwelcher Natur.

Abwehr von SQL Injections

• Validierung der Eingabedaten
  Prüfung des Inhalts auf den erwarteten Datentyp
• Konsequente Verwendung parametrisierter Abfragen
  An die Datenbank durchgereichte Eingabedaten werden immer als Wert behandelt und nicht interpretiert
• Prinzip der geringsten Privilegien
  Verwendung von Datenbankbenutzern mit möglicht geringen Berechtigungen
• Auslieferung der Daten ausschliesslich mittels Serialisierung von Instanzen implementierter Klassen
  Erschwert/verunmöglicht das Ausspähen der Datenbankstruktur
• Keine Ausgabe von Stacktraces aus dem Business- oder Persistenzlayer

Gegen Supply Chain Angriffe

• Selfhosting aller Ressourcen
  Javascript, CCS und Fonts
• Verzicht auf einen Packetmanager mit automatisierten Updates
  Module Dritter wie beispielsweise log4net und das Auflösen möglicher Abhängigkeiten werden kontrolliert manuell durchgeführt

Weitere Informationen

• Verstösse gegen konfigurierte Regeln werden protokolliert
  Verursacher können automatisch gesperrt werden, siehe dazu: Konfiguration Missbrauchserkennung & Prävention
• Umgang mit den durch die Betrugserkennung registrierten IP Adressen und Benutzerkonten
  Die Dokumentation dazu finden Sie unter «Gesperrte Objekte»