2．密码与后台管理
密码问题是直接导致系统被入侵原因，因此网站管理员需要变更为复杂性密码，其规则可以参考微软的操作系统建议，同样适合Web服务器页面的后台管理验证，如：
是否允许用户重新使用旧的密码（强制密码历史），在两次更改密码之间的时间（最大密码寿命以及最小密码寿命），最小密码长度（最小密码长度），以及用户是否必须混合使用大小写字母、数字和特殊字符（密码必须满足复杂性要求）。我建议你最低要求，也应该采用每45天更改一次密码，或要求至少8个字符的密码，并确保开启了密码必须满足复杂性要求设置。
另外需要防止后台入口的使用标准目录结构，如更换成某些注入工具字典中没有的后台目录名称。当然，如果有更高安全要求可以启用SSL+CA+验证码的组合登录凭证，或者采用更高等级的动态（令牌）认证。
3．多层身份验证
在此方案中，Web 服务器验证调用方的身份，并通过使用调用方的标识限制对本地资源的访问。数据库验证 ASP默认进程标识（它是权限最少的帐户）的身份（即数据库信任 ASP 应用程序），可监测ASP代码安全，并升级到SQL Server数据库实现多层身份认证，参见表2。
表2 安全措施
|
类别
|
详细信息 |
|
身份验证
|
● 通过在 IIS 中使用集成 Windows 身份验证，在 Web 服务器上提供增强身份验证来验证原调用方的身份。 ● 在 ASP.NET 内使用 Windows 身份验证（不模拟）。 ● 通过将 SQL Server 配置为使用 Windows 身份验证，确保数据库连接的安全。 ● 数据库信任 ASP.NET 辅助进程以进行调用。可以在数据库中验证 ASP.NET 进程标识的身份。 |
|
授权
|
● 使用绑定到原调用方的 ACL 在 Web 服务器上配置资源。为了简化管理，将用户添加到 Windows 组中并在 ACL 中使用组。 ● Web 应用程序对原调用方执行 .NET 角色检查，以限制对页面的访问。 |
|
安全通信
|
● 保护在 Web 服务器和数据库之间传送的机密数据 ● 保护在原调用方和 Web 应用程序之间传送的机密数据 |
