אבטחת .NET ו-C# מתחילה בבדיקת הרשאה לרשומה והפרדת שדות קלט משדות רגישים. השתמשו בפרמטרים ב-SQL, הגנו על מפתחות והוסיפו הגנת פעולות עם עוגיות.
עודכן תוכן העמוד: · מערכת VibeSec · מדיניות המקורות
מנוע ניתוח סטטי של GitHub
עדכונים אוטומטיים לתלויות פגיעות
כללי אבטחה וכלי CLI של Microsoft לזיהוי דפוסי קוד לא בטוחים, כולל C#.
פקודה מובנית ב-.NET SDK לאיתור חבילות NuGet פגיעות; הוסיפו include-transitive לבדיקת תלויות מעבר.
זיהוי סודות ומפתחות שדלפו לקוד
סריקת קוד וסודות ישירות ב-GitHub
סריקת סודות ומפתחות ב-Git
איתור חולשות בתלויות עם OSV
ניתוח אבטחה סטטי ל-C# ול-VB.NET; בדקו התאמה לגרסת SDK ולסביבת הבנייה.
ניתוח סטטי מהיר עם כללים גמישים
סריקת אבטחה מקצה לקצה לקוד ותלויות
איכות קוד ואבטחה בכלי אחד
סורק אוניברסלי לקונטיינרים ו-IaC
איתור סודות ומפתחות שנחשפו
הגנה על cookies ו-tokens עם ניהול מפתחות; יש להגן על key ring.
ניהול זהויות, סיסמאות, תפקידים ואימות במסגרת ASP.NET Core.
Middleware מובנה להגבלת קצב; רכיב Framework, ללא צורך בהמצאת חבילת התקנה.
מניעת SQLi באמצעות שאילתות פרמטריות, הפרדת נתונים מתחביר והרשאות מינימליות.
המדריך המקוצר של OWASP עודכן כדי להסביר טוב יותר כיצד למנוע התקפות מסוג Cross-Site Scripting. המטרה היא להבין איך להגן על האתר מבלי לרדוף אחר רמת הגנה בלתי אפשרית. מומלץ לעבור על המדריך כדי לחזק את עמידות הקוד שלכם.
OWASP מבהירים כיצד דפדפנים מודרניים מטפלים ב-SameSite Lax כברירת מחדל. הגדרה זו קריטית להגנה מפני התקפות CSRF (זיוף בקשות בין אתרים). בדקו שהגדרות העוגיות באתר שלכם תואמות להנחיות החדשות כדי למנוע חשיפת משתמשים.
חוקרי אבטחה זיהו קמפיין מתוחכם המשתמש בטכניקת הזרקת קוד (Injection) כדי להדביק מערכות הפעלה ספציפיות. התוקפים משתמשים במסגרת עבודה מורכבת כדי להריץ נוזקה מבלי להשאיר עקבות. מדובר בתזכורת חשובה לחשיבות של עדכוני אבטחה והגנה על רכיבי תוכנה רגישים.
נמצאה פרצה של חוסר אימות הרשאות ב-Chromium. עדכון הדפדפן לגרסה האחרונה סוגר את הפרצה הזו.
חולשת השחתת זיכרון במנוע ה-V8 של Chromium. מדובר ברכיב רגיש; עדכון הדפדפן דחוף מאוד.
גוגל ומיקרוסופט פרסמו עדכוני אבטחה לתיקון מספר חולשות קריטיות בדפדפנים מבוססי Chromium. מומלץ לוודא שהדפדפן שלכם מעודכן לגרסה האחרונה כדי למנוע ניצול של פגמי תוכנה אלו.
חולשת אימות קלט ברכיב ה-Command של הדפדפן. מומלץ לעדכן לגרסה הבטוחה.
גוגל ומיקרוסופט פרסמו עדכוני אבטחה לתיקון מספר חולשות קריטיות בדפדפנים מבוססי Chromium. מומלץ לוודא שהדפדפן שלכם מעודכן לגרסה האחרונה כדי למנוע ניצול של פגמי תוכנה אלו.
אמ;לק: בדיקת חדירות (Penetration Test, PT) היא ניסיון פריצה מבוקר שעושה אדם מקצועי לאתר או לאפליקציה שלכם, כדי למצוא חולשות לפני שתוקף אמיתי ימצא אותן. היא שווה את הכסף כשיש לכם משתמשים אמיתיים, מידע רגיש או כסף שעובר במערכת, ואחרי שכבר עשיתם את הבדיקות הבסיסיות בעצמכם. לפני זה, רוב הממצאים יהיו דברים שסורק חינמי היה מוצא.
גיא אקרמן · 4 דקות קריאה
אמ;לק: ליווי אבטחה בזמן הפיתוח שווה את הכסף כשהמערכת מחזיקה מידע רגיש או כסף, כשאין בצוות אף אחד שמבין באבטחה, או כשבונים מהר עם AI ומשנים הרבה. לא חייבים ליווי צמוד: לרוב מספיקות כמה נקודות מפגש קבועות. לפרויקט קטן בלי מידע רגיש בדרך כלל מספיק צ'קליסט טוב, וליווי מלא יהיה בזבוז.
גיא אקרמן · 3 דקות קריאה
אבטחת .NET ו-C# מתחילה בבדיקת הרשאה לרשומה והפרדת שדות קלט משדות רגישים. השתמשו בפרמטרים ב-SQL, הגנו על מפתחות והוסיפו הגנת פעולות עם עוגיות.
התחילו בבדיקות הבאות והתאימו אותן למערכת שלכם: DTOs אינם חושפים שדות תפקיד ובעלות, ונבדקות policies והרשאות למשאב. EF Core/raw SQL משתמשים בפרמטרים; אין שרשור קלט ב-FromSqlRaw.
לא. בודקים הרשאות לכל רשומה, סודות וקלט גם כאשר הקוד נוצר בעזרת AI או ספרייה מוכרת. הריצו בדיקה כאורח וכמשתמש שאינו בעל המידע.
בחרו כלי קוד ותלויות לפי הסביבה, הוסיפו סורק סודות ובדיקה פעילה רק באישור. הקטלוג בעמוד מציג כלים ותיעוד רלוונטיים; כלים משלימים בדיקה ידנית ולא מחליפים אותה.
מפתחות סודיים נשמרים בשרת או במנהל סודות, לא בקוד שמגיע לדפדפן ולא ביומני פעילות. תנו לחשבון היישום רק הרשאות נחוצות והחליפו מפתח שנחשף.
בדקו את המקור הרשמי, הגרסאות המושפעות וההגדרות הנדרשות לניצול. חדשות וסיכומי AI הם נקודת התחלה, ולא תחליף לייעוץ אבטחה או לקריאת הודעת הספק.
