Condividi tramite

Istruzioni sulla protezione dei servizi durevoli

  • Articolo

Di seguito è riportato un insieme di istruzioni sulla protezione da seguire durante la creazione e la distribuzione di servizi durevoli.

  • Bloccare l'accesso al database di persistenza ed eseguire il cotrollo del database per rivedere eventuali violazioni di accesso e impedire a utenti malintenzionati di modificare o eliminare il form serializzato dell'istanza del servizio.
  • Utilizzare le proprietà MaxConcurrentSessions e MaxConcurrentInstances per controllare le dimensioni massime della cache utilizzate per i contesti dell'istanza attivi. In questo modo, sarà impedito a utenti malintenzionati di utilizzare tutta la memoria disponibile nel server se tentano di sovraccaricare il servizio durevole con un numero eccessivo di messaggi di attivazione dell'istanza.
  • Implementare meccanismi durevoli di rilevamento di attacchi di tipo replay per impedire agli utenti di eseguire tale tipo di attacchi dopo che le informazioni di istanza di servizio sono state rese persistenti e la soluzione host è stata riciclata, oppure se un pirata informatico tenta un attacco di tipo replay inviando il messaggio relativo in un nodo diverso di una Web farm. Seguire le procedure di protezione consigliate di WCF riportate in Replay Attacks.
  • Implementare meccanismi di controllo degli accessi specifici dell'istanza utilizzando punti di estensibilità di WCF per impedire a utenti malintenzionati di rappresentare utenti validi inviando un messaggio con un contesto appartenente a un utente valido.
  • Utilizzare EncryptandSign o il protocollo di trasporto HTTPS per impedire a utenti malintenzionati di leggere un'intestazione di contesto riservata o informazioni cookie in transito tra il client e il servizio.
  • Proteggere i file di configurazione utilizzando ACL ed eventualmente crittografare la stringa di connessione contenuta nell'elemento connectionStrings per impedire a utenti malintenzionati di rilevare la stringa di connessione utilizzata per la connessione al database.
  • Tenere presente che, quando si utilizza un contesto di associazione per il trasporto della sessione, l'identità è modificabile nel corso di una sessione.

Vedere anche

Altre risorse

Considerazioni sulla protezione dei servizi del flusso di lavoro e dei servizi durevoli

Copyright © 2007 Microsoft Corporation. Tutti i diritti riservati.