安全合规.NET Core：标准遵循
项目地址: https://gitcode.com/GitHub_Trending/core82/core 在当今数字化时代，软件安全与合规已成为企业发展的关键基石。.NET Core作为一款广泛应用的跨平台开发框架，其安全合规特性备受关注。本文将深入探讨.NET Core在安全合规方面的标准遵循，帮助开发人员和企业更好地理解和应用相关功能，构建安全可靠的应用程序。
安全政策框架
.NET Core项目提供了全面的安全政策框架，为开发和使用过程中的安全问题提供了明确的指导。SECURITY.md 文件详细阐述了安全政策的各个方面，包括支持的版本范围和漏洞报告流程。
支持的版本
.NET和ASP.NET Core的支持政策，包括支持的版本信息，可以在.NET支持政策页面中找到。了解支持的版本范围对于确保应用程序的安全性至关重要，因为只有在支持范围内的版本才会获得安全更新和补丁。
漏洞报告
安全问题和漏洞应私下报告给Microsoft安全响应中心（MSRC），可以通过发送电子邮件至secure@microsoft.com或通过https://msrc.microsoft.com门户进行。报告后，应在24小时内收到响应。如果未收到响应，请通过电子邮件跟进以确保原始消息已被收到。有关更多信息，包括MSRC PGP密钥，可以在MSRC报告问题常见问题解答中找到。
通过MSRC提交的报告可能有资格获得.NET漏洞赏金。有关.NET漏洞赏金的详细信息，包括条款和条件，请访问https://aka.ms/corebounty。
请不要为任何可能具有安全隐患的问题打开议题。
内容审核机制
为了维护项目的安全和质量，.NET Core项目建立了完善的内容审核机制。Documentation/moderation.md 文件详细介绍了这一机制的运作方式。
自助服务
如果发现明显存在问题的议题，应采取行动。最快速和最重要的行动是关闭议题，这将从大多数人的视图中删除有问题的内容，为审核人员采取行动提供时间。关闭议题的标准应该较低，如果是正确的选择，我们总是可以重新打开它。不要就行为准则违规和“下次做得更好”发表回应，只需关闭议题。将回应（如果需要）留给审核人员。
GitHub提供了自助式的“报告内容”功能，使用它是一个很好的选择。通常情况下，用户会在其他仓库/组织中以类似的方式行事，GitHub会注意到这一点，并可以基于他们更广泛的视角采取行动。
THE 0TH POSITION OF THE ORIGINAL IMAGE
识别恶意行为
识别恶意行为通常可以通过观察用户的一些特征来判断。高度怀疑恶意行为的迹象包括：账户是新创建的、个人资料是私有的、个人资料是公开的但在其他仓库/组织中有类似的重复活动。
人们往往有一种自然的本能，试图帮助那些可能只是缺乏按照我们的规范参与的技能或经验的人，这是好的！需要帮助的人往往会以与恶意行为者截然不同的信号来识别自己，他们绝不会以5000个文件的PR或更新我们的CI基础设施开始。
常见恶意活动
恶意活动是一个非常广泛的话题，常见的例子包括：重新发布我们的公告，通常在同一个仓库中；将恶意代码（如恶意程序）作为有用的示例发布；无缘无故删除或更新文件的PR；运行旨在通过反向shell窃取机密的脚本的PR。
“贡献”越大，就越应该引起关注。在噪音中隐藏恶意有效载荷非常容易，例如XZ后门事件。
二进制文件验证
下载.NET文件后，为了确保安全，需要验证文件的完整性。可以通过在计算机上计算文件的校验和，并将其与原始校验和进行比较来实现。这将验证文件是否被篡改或损坏。Documentation/verifying-binaries.md 文件详细介绍了验证的方法。
Linux和MacOS系统验证
在Linux和MacOS系统中，可以使用以下命令查看下载文件的校验和进行比较：
$ sha512sum dotnet-sdk-7.0.203-osx-x64.pkg
然后可以将该校验和与下载.NET后提供的值进行比较。
要与每个.NET版本提供的校验和文件进行比较，可以使用curl下载校验和文件：
curl -O https://builds.dotnet.microsoft.com/dotnet/checksums/7.0.5-sha.txt
然后验证校验和是否匹配：
sha512sum -c 7.0.5-sha.txt --ignore-missing
如果输出表明文件有效（显示“OK”），则可以使用该文件。
Windows系统验证
在Windows系统中，可以通过以下方式查看下载文件的校验和：
- 在命令提示符中：
certutil -hashfile dotnet-sdk-7.0.203-win-x64.exe SHA512 - 在PowerShell中：
(Get-FileHash 'dotnet-sdk-7.0.203-win-x64.exe' -Algorithm SHA512).Hash
然后将该校验和与下载.NET后提供的值进行比较。
要与每个.NET版本提供的校验和文件进行比较，可以使用PowerShell执行校验和比较。使用curl下载校验和文件（curl是Invoke-WebRequest的别名）：
curl https://builds.dotnet.microsoft.com/dotnet/checksums/7.0.5-sha.txt -OutFile 7.0.5-sha.txt
然后验证校验和是否匹配：
(Get-Content .\7.0.5-sha.txt | Select-String "dotnet-sdk-7.0.203-win-x64.exe").ToString().Contains((Get-FileHash 'dotnet-sdk-7.0.203-win-x64.exe' -Algorithm SHA512).Hash.ToLower())
如果输出表明文件有效（显示“True”），则可以使用该文件。
CVE漏洞跟踪
.NET团队在Patch Tuesday 文件详细列出了.NET 6的CVE漏洞信息。
CVE漏洞示例
以下是一些.NET 6版本中的CVE漏洞示例：
-
6.0.35（2024年10月）
-
6.0.32（2024年7月）
CVE风险是累积的。例如，运行在6.0.0版本上的应用程序可能容易受到6.0.1及更高版本中存在的CVE漏洞的影响。最新版本不会受到任何已发布CVE漏洞的影响。
总结与展望
通过对.NET Core安全合规标准遵循的探讨，我们了解到.NET Core在安全政策框架、内容审核机制、二进制文件验证和CVE漏洞跟踪等方面都有完善的措施。这些措施为开发安全可靠的应用程序提供了有力的保障。
在未来，随着技术的不断发展和安全威胁的不断变化，.NET Core团队将继续加强安全合规方面的工作，不断完善相关标准和措施。开发人员和企业应密切关注.NET Core的安全更新和公告，及时升级版本，确保应用程序的安全性和合规性。
让我们共同努力，充分利用.NET Core的安全合规特性，构建更加安全、可靠的软件系统。
如果您对.NET Core的安全合规有更多的疑问或建议，欢迎在评论区留言交流。同时，也欢迎点赞、收藏本文，关注我们获取更多关于.NET Core的安全知识和最佳实践。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
