Abwehr von Cross-site scripting (XSS)

• Benutzereingaben anonymer Sitzungen
  HTML und JavaScript Code werden vollständig entfernt
• Benutzereingaben authentifizierter Sitzungen
  HTML und JavaScript Code werden gemäss Konfiguration entfernt
• Verwendung einer Content Security Policy
  Verhindern von ungewolltem Sideloading, siehe dazu: IIS Web.Config
• Selfhosting aller Ressourcen
  Erschwert Supply Chain Angriffe

Verstösse werden geloggt.
Verursacher können automatisch gesperrt werden, siehe dazu: Konfiguration Missbrauchserkennung & Prävention

Gegen weitere Vektoren

• Erkennung und Abwehr eines Sitzungsdiebstahls
  Siehe dazu: Konfiguration Missbrauchserkennung & Prävention
• Erkennung und Abwehr von Mailflooding
  Siehe dazu: Konfiguration Missbrauchserkennung & Prävention

• Minimieren der Angriffsfläche auf der Ebene des Webservers
  Siehe dazu: IIS Web.Config
• Verwendung der Transportverschlüsselung

Abwehr von SQL Injection

• Validierung der Eingabedaten
  Prüfung des Inhalts auf den erwarteten Datentyp
• Konsequente Verwendung parametrisierter Abfragen
  An die Datenbank durchgereichte Eingabedaten werden immer als Wert behandelt und nicht interpretiert
• Prinzip der geringsten Privilegien
  Verwendung von Datenbankbenutzern mit möglicht geringen Berechtigungen
• Auslieferung der Daten ausschliesslich mittels Serialisierung von Instanzen implementierter Klassen
  Erschwert/verunmöglicht das Ausspähen der Datenbankstruktur
• Keine Ausgabe von Stacktraces aus dem Business- oder Persistenzlayer
• Erkennen von «Brute Force Angriffen»
  Benutzerkonten und/oder IP Adressen können autom. gesperrt werden

Weitere Informationen

Der Umgang mit den durch die Betrugserkennung registrierten IP Adressen und Benutzerkonten wird unter «Gesperrte Objekte» beschrieben.