建構抗攻擊 Web 應用程式需採取整體方法，跨越網路、主機、應用程式三個物理層，涵蓋 Web 伺服器、應用程式伺服器、資料庫伺服器。本指南提供配置類別與應用程式缺陷類別兩大組織架構，系統化落實安全控制。
三層防禦範疇
- 網路層：路由器、防火牆、交換機 — 流量控制、入侵偵測、分段隔離。
- 主機層：作業系統、.NET Framework、平台服務 (SQL Server、企業服務)、執行階段服務 (ASP.NET、CAS)。
- 應用程式層：程式碼邏輯、輸入驗證、驗證授權、敏感資料處理、業務流程完整性。
整體安全方法論
- 網路安全：強化三大網路元素配置，建立邊界與內部分段防禦。
- 主機安全：依配置類別 (修補管理、服務精簡、協定封鎖、帳號原則、稽核、加密、檔案系統權限、登錄強化、IIS/ASP.NET 鎖定) 自上而下系統性執行。
- 應用程式安全：依缺陷類別 (輸入驗證、驗證授權、敏感資料、會話管理、加密、參數操作、例外處理、稽核日誌) 於設計、開發、部署各階段落實。
威脅建模六步驟
- 識別資產：列出必須保護的高價值資源 (資料、服務、信譽)。
- 建立架構概覽：繪製子系統、信任邊界、資料流向簡圖。
- 分解應用程式：識別設計/實作/部署配置中的潛在缺陷，建立安全設定檔。
- 識別威脅：結合攻擊者目標與架構缺陷，列舉相關威脅 (STRIDE 模型：詐騙、竄改、否認、資訊洩露、阻斷服務、提權)。
- 記錄威脅：使用標準威脅模板 (風險等級、攻擊向量、影響範圍、對策)。
- 評估優先序：風險 = 機率 × 影響，優先處理高風險威脅，成本效益分析決定是否處理低風險項目。
產品生命週期整合
| 階段 | 關鍵安全活動 | 主要角色 |
|---|
| 需求/設計 | 威脅建模、安全架構審查、隱私影響評估 | 架構師、安全專家 |
| 開發 | 安全編碼標準、程式碼審查、靜態分析 (SAST)、單元測試 | 開發人員、架構師 |
| 測試/驗證 | 滲透測試、動態分析 (DAST)、模糊測試、部署審查 | 測試人員、安全專家 |
| 部署/營運 | 安全配置基線、修補管理、監控告警、事件回應 | 系統管理員、營運團隊 |
RACI 責任矩陣
明確每項安全任務的 Responsible (執行)、Accountable (負責)、Consulted (諮詢)、Informed (通知) 角色，避免責任模糊導致安全控制缺位。
核心檢查清單
- 網路：防火牆規則審查、DMZ 架構、IDS/IPS 部署、加密傳輸 (TLS 1.2+)。
- 主機：修補基線、服務最小化、帳號鎖定/複雜度、稽核原則、NTFS 權限、防火牆啟用、防毒/EDR。
- 應用：輸入驗證白名單、參數化查詢、CSRF/SSRF 防護、安全標頭 (CSP、HSTS)、敏感資料加密、錯誤處理不洩露堆疊追蹤。
安全非一次性專案，而是貫穿全生命週期的持續改善過程。本指南提供結構化框架，協助團隊系統化思考、執行與驗證 Web 應用程式安全。