有人对 .NET Web 应用程序的安全审计有什么建议吗？
我对所有选项都感兴趣。我希望能够对我的应用程序进行不可知的安全风险探测。
编辑：
为了澄清，系统的设计考虑了安全性。环境的设置考虑了安全性。我想要一个独立的安全措施，而不是 - “是的，它是安全的”......让某人审计 1M+ 行代码的成本可能比开发成本更高。看起来还没有一个好的自动化/廉价方法。感谢您的建议。
审计的重点是独立验证团队实施的安全性。
顺便说一句 - 有几种自动黑客/探测工具可以探测应用程序/Web 服务器，但我有点担心它们是否是蠕虫......
【问题讨论】：
最好的办法：
以下工具会有所帮助：
聘请一些安全专家是一个更好的主意（尽管会花费更多），因为他们不仅会发现自动化工具可能会发现的注入和技术问题，还会发现所有逻辑问题。
【讨论】：
您遇到的任何人都有以下可用选项：
Mitchel 已经指出了 Fortify 的用途。事实上，Fortify 有两个产品涵盖静态和动态分析领域——SCA（静态分析工具，用于开发）和PTA（在测试期间执行测试用例时执行应用程序分析） .
但是，没有任何工具是完美的，您最终可能会出现误报（代码库的片段虽然不易受到攻击，但会被标记）和误报。只有代码审查才能解决此类问题。代码审查的成本很高 - 不是您组织中的每个人都能够以安全专家的眼光审查代码。
首先，可以从 OWASP 开始。强烈建议在学习OWASP Development Guide 之前了解principles behind security（3.0 处于草稿中；2.0 可以认为是稳定的）。最后，您可以准备执行first scan of your code base。
【讨论】：
我开始对我们的内部应用程序做的第一件事是使用 Fortify 等工具对您的代码库进行安全分析。
否则，您可能会考虑使用专门从事安全性的第三方公司的服务，让他们测试您的应用程序
【讨论】：
测试和静态分析是查找安全漏洞的一种非常糟糕的方法，如果您在整个设计和实施过程中都没有考虑到安全性，那么它确实是一种不得已的方法。
问题是您现在正试图枚举应用程序可能失败的所有方式，并拒绝（通过修补），而不是试图指定您的应用程序应该做什么，并阻止一切不是这样的（通过防御性编程）。由于您的应用程序可能有无数种出错的方式，而且只有少数几件事是它应该做的，所以您应该采取“默认拒绝”的方法，只允许好的东西。
换句话说，无论它们如何出现，构建控件以防止所有典型漏洞类别（例如，参见其他答案中提到的 OWASP）都更容易和更有效，而不是去寻找您的代码的某些版本具有哪个特定的错误。您应该尝试证明存在良好的控制（可以做到），而不是没有坏的东西（不能）。
如果您让某人审查您的设计和安全要求（您究竟想防范什么？），并且可以完全访问代码和所有详细信息，这将比某种黑盒测试更有价值。因为如果你的设计是错误的，那么你实现它的好坏就无关紧要了。
【讨论】：
我们已经使用Telus 为我们进行了几次渗透测试，结果给我们留下了深刻的印象。
【讨论】：
我建议您联系Artec Group、Security Compass 和Veracode 并查看他们的产品...
【讨论】：