数据保护与通讯安全

数据保护:
 授予最低权限,以限制用户只能访问为完成任务所需要的功能、数据和系统信息。
 保护所有存放在服务器上缓存的或临时拷贝的敏感数据,以避免非授权的访问,并在临时工
作文件不再需要时被尽快清除。
 即使在服务器端,任然要加密存储的高度机密信息,比如,身份验证的验证数据。总是使用
已经被很好验证过的算法,更多指导信息请参见 " 加密规范 " 部分。
 保护服务器端的源代码不被用户下载。
 不要在客户端上以明文形式或其他非加密安全模式保存密码、连接字符串或其他敏感信息。
这包括嵌入在不安全的形式中: MS viewstate 、 Adobe flash 或者已编译的代码。
 删除用户可访问产品中的注释,以防止泄露后台系统或者其他敏感信息。
 删除不需要的应用程序和系统文档,因为这些也可能向攻击者泄露有用的信息。
 不要在 HTTP GET 请求参数中包含敏感信息。
 禁止表单中的自动填充功能,因为表单中可能包含敏感信息,包括身份验证信息。
 禁止客户端缓存网页,因为可能包含敏感信息。 "Cache-Control: no-store" ,可以和 HTTP 报头
控制 "Pragma: no-cache" 一起使用,该控制不是非常有效,但是与 HTTP/1.0 向后兼容。
 应用程序应当支持,当数据不再需要的时候,删除敏感信息(比如:个人信息或者特定财务
数据)。
通讯安全:
 为所有敏感信息采用加密传输。其中应该包括使用 TLS 对连接的保护,以及支持对敏感文件
或非基于 HTTP 连接的不连续加密。
 TLS 证书应当是有效的,有正确且未过期的域名,并且在需要时,可以和中间证书一起安装。
 没有成功的 TLS 连接不应当后退成为一个不安全的连接。
 为所有要求身份验证的访问内容和所有其他的敏感信息提供 TLS 连接。
 为包含敏感信息或功能、且连接到外部系统的连接使用 TLS 。
 使用配置合理的单一标准 TLS 连接。
 为所有的连接明确字符编码。
 当链接到外部站点时,过滤来自 HTTP referer 中包含敏感信息的参数。


推荐阅读

如何保护我们系统的安全?

相关推荐
爱思德学术3 分钟前
中国计算机学会(CCF)推荐学术会议-A(网络与信息安全):Eurocrypt 2026
安全·网络安全·密码学
数据智能老司机34 分钟前
面向网络安全的数据工程——数据工程基础
安全·架构·数据分析
ALex_zry2 小时前
Go语言中的迭代器模式与安全访问实践
安全·golang·迭代器模式
.Shu.7 小时前
计算机网络 TLS握手中三个随机数详解
网络·计算机网络·安全
std8602115 小时前
ISO 22341 及ISO 22341-2:2025安全与韧性——防护安全——通过环境设计预防犯罪(CPTED)
安全
Warren9821 小时前
如何在 Spring Boot 中安全读取账号密码等
java·开发语言·spring boot·后端·安全·面试·测试用例
杭州泽沃电子科技有限公司1 天前
工业环境电缆火灾预防的分布式光纤在线监测
运维·人工智能·科技·安全
ScottePerk1 天前
前端安全之XSS和CSRF
前端·安全·xss
Bruce_Liuxiaowei1 天前
使用批处理脚本安全清理Windows系统垃圾
网络·windows·安全·网络安全
lingggggaaaa1 天前
小迪安全v2023学习笔记(七十讲)—— Python安全&SSTI模板注入&项目工具
笔记·python·学习·安全·web安全·网络安全·ssti