Marco de seguridad: información confidencial | Mitigaciones

Asegúrese de que los archivos binarios estén ofuscados si contienen información confidencial

Considere la posibilidad de usar el sistema de cifrado de archivos (EFS) para proteger información confidencial específica del usuario

Asegúrese de que se cifre la información confidencial almacenada por la aplicación en el sistema de archivos

Asegúrese de que no se almacene contenido confidencial en la memoria caché del explorador

Ejemplo

<configuration>
  <system.webServer>
   <httpProtocol>
    <customHeaders>
        <add name="Cache-Control" value="no-store" />
        <add name="Pragma" value="no-cache" />
        <add name="Expires" value="-1" />
    </customHeaders>
  </httpProtocol>
 </system.webServer>
</configuration>

Ejemplo

Esto se puede implementar por medio de un filtro. Puede usar el siguiente ejemplo:

public override void OnActionExecuting(ActionExecutingContext filterContext)
        {
            if (filterContext == null || (filterContext.HttpContext != null && filterContext.HttpContext.Response != null && filterContext.HttpContext.Response.IsRequestBeingRedirected))
            {
                //// Since this is MVC pipeline, this should never be null.
                return;
            }

            var attributes = filterContext.ActionDescriptor.GetCustomAttributes(typeof(System.Web.Mvc.OutputCacheAttribute), false);
            if (attributes == null || **Attributes**.Count() == 0)
            {
                filterContext.HttpContext.Response.Cache.SetNoStore();
                filterContext.HttpContext.Response.Cache.SetCacheability(HttpCacheability.NoCache);
                filterContext.HttpContext.Response.Cache.SetExpires(DateTime.UtcNow.AddHours(-1));
                if (!filterContext.IsChildAction)
                {
                    filterContext.HttpContext.Response.AppendHeader("Pragma", "no-cache");
                }
            }

            base.OnActionExecuting(filterContext);
        }

Cifre las secciones de los archivos de configuración de la aplicación web que contengan información confidencial

Deshabilite explícitamente el atributo HTML autocomplete en formularios y entradas confidenciales

Ejemplo

<form action="Login.aspx" method="post " autocomplete="off" >
      Social Security Number: <input type="text" name="ssn" />
      <input type="submit" value="Submit" />    
</form>

Asegúrese de que la información confidencial que se muestra en la pantalla del usuario esté enmascarada

Implemente el enmascaramiento dinámico de datos para limitar la exposición de información confidencial a usuarios sin privilegios

Asegúrese de que las contraseñas se almacenen en formato de hash con sal

Asegúrese de que la información confidencial en las columnas de la base de datos esté cifrada

Asegúrese de que el cifrado de base de datos (TDE) esté habilitado

Asegúrese de que las copias de seguridad de la base de datos estén cifradas

Asegúrese de que la información confidencial relevante para la API web no se guarde en el almacenamiento del explorador

Ejemplo

El siguiente fragmento de código JavaScript es de una biblioteca de autenticación personalizada que guarda artefactos de autenticación en almacenamiento local. Se deben evitar estas implementaciones.

ns.AuthHelper.Authenticate = function () {
window.config = {
instance: 'https://login.microsoftonline.com/',
tenant: ns.Configurations.Tenant,
clientId: ns.Configurations.AADApplicationClientID,
postLogoutRedirectUri: window.location.origin,
cacheLocation: 'localStorage', // enable this for Internet Explorer, as sessionStorage does not work for localhost.
};

Cifre la información confidencial almacenada en Azure Cosmos DB

Use Azure Disk Encryption para cifrar discos usados por máquinas virtuales

Cifre los secretos en aplicaciones de Service Fabric

Realice el modelado de seguridad y use unidades de negocio y equipos cuando sea necesario.

Minimice el acceso a la característica para compartir en entidades críticas.

Entrene a los usuarios sobre los riesgos asociados con la característica Compartir de Dynamics CRM y los procedimientos recomendados de seguridad.

Incluya una regla de estándares de desarrollo que prohíba mostrar detalles de configuración en la administración de excepciones

Use el cifrado del servicio Azure Storage (SSE) para datos en reposo (versión preliminar)

Use el cifrado en el cliente para almacenar información confidencial en Azure Storage

Cifre la información confidencial o de identificación personal guardada en el almacenamiento local de teléfonos

Ejemplo

Intune se puede configurar con las siguientes directivas de seguridad para proteger datos confidenciales:

Require encryption on mobile device    
Require encryption on storage cards
Allow screen capture

Ejemplo

Si la aplicación no es empresarial, use el almacén de claves proporcionado por la plataforma, llaveros para almacenar claves de cifrado, con cualquier operación criptográfica que se pueda realizar en el sistema de archivos. En el siguiente fragmento de código, se muestra cómo acceder a la clave del llavero con xamarin:

        protected static string EncryptionKey
        {
            get
            {
                if (String.IsNullOrEmpty(_Key))
                {
                    var query = new SecRecord(SecKind.GenericPassword);
                    query.Service = NSBundle.MainBundle.BundleIdentifier;
                    query.Account = "UniqueID";

                    NSData uniqueId = SecKeyChain.QueryAsData(query);
                    if (uniqueId == null)
                    {
                        query.ValueData = NSData.FromString(System.Guid.NewGuid().ToString());
                        var err = SecKeyChain.Add(query);
                        _Key = query.ValueData.ToString();
                    }
                    else
                    {
                        _Key = uniqueId.ToString();
                    }
                }

                return _Key;
            }
        }

Ofusque los archivos binarios generados antes de distribuirlos a los usuarios finales

Establezca clientCredentialType en Certificate o Windows

Ejemplo

La siguiente configuración del proveedor de servicios WCF usa UsernameToken:

<security mode="Message"> 
<message clientCredentialType="UserName" />

Establezca clientCredentialType en Certificate o Windows.

El modo de seguridad de WCF no está habilitado

Ejemplo

La siguiente configuración establece el modo de seguridad en None.

<system.serviceModel> 
  <bindings> 
    <wsHttpBinding> 
      <binding name=""MyBinding""> 
        <security mode=""None""/> 
      </binding> 
  </bindings> 
</system.serviceModel> 

Ejemplo

Modo de seguridad En todos los enlaces de servicio, existen cinco modos de seguridad posibles:

• Ninguno. Desactiva la seguridad.
• Transport. Usa la seguridad de transporte para la autenticación mutua y la protección de mensajes.
• Message. Usa la seguridad de mensajes para la autenticación mutua y la protección de mensajes.
• Both. Permite proporcionar la configuración para la seguridad de transporte y de mensajes (solo es compatible con MSMQ).
• TransportWithMessageCredential. Las credenciales se pasan con el mensaje, y la capa de transporte proporciona la protección de mensajes y la autenticación del servidor.
• TransportCredentialOnly. Las credenciales del cliente se pasan con la capa de transporte y no se aplica la protección de mensajes. Use la seguridad de mensajes y de transporte para proteger la integridad y confidencialidad de los mensajes. La configuración siguiente indica al servicio que use la seguridad de transporte con las credenciales del mensaje.

  <system.serviceModel>
  <bindings>
    <wsHttpBinding>
    <binding name=""MyBinding""> 
    <security mode=""TransportWithMessageCredential""/> 
    <message clientCredentialType=""Windows""/> 
    </binding> 
  </bindings> 
  </system.serviceModel>