長期服務的完整安全性指南

下列是建立和部署長期服務時使用的安全性方針。

鎖住對持續性資料庫的存取並執行資料庫稽核以檢查有無任何存取違規，並防止惡意使用者修改或刪除序列化形式的服務執行個體。
使用 MaxConcurrentSessions 和 MaxConcurrentInstances 屬性控制作用中執行個體內容所使用的快取大小上限。如果惡意使用者將多個執行個體啟動訊息大量湧入您的長期服務，設定快取大小上限可以讓惡意使用者不致於耗用掉您伺服器上所有可用的記憶體。
實作長期重新執行偵測機制，讓使用者在服務執行個體資訊已保存且回收主應用程式方案後，不會執行重新執行攻擊；或者偵測有無攻擊者對 Web 伺服陣列中的不同節點重新執行訊息。請遵循Replay Attacks中的 WCF 安全性最佳做法。
使用 WCF 擴充點來實作執行個體特定存取控制機制，以防止惡意使用者透過傳送內容屬於有效使用者的訊息來冒充有效使用者。
使用 EncryptandSign 或 Https 傳輸通訊協定，以防止惡意使用者讀取用戶端和服務之間傳送的機密內容標頭或 Cookie 資訊。
使用 ACL 保護任何組態檔，並且選擇性地加密保存在 connectionStrings 項目中的連線字串，以防止惡意使用者找到您用於連線至資料庫的連線字串。
瞭解當使用工作階段傳輸的內容繫結時，身分識別在工作階段的存留期間不是不變的。

請參閱