ЗЭП.6 – Приказ ФСТЭК России № 117
Защита метаданных и иной технической информации сервисов электронной почты
Цель
Обеспечение защиты метаданных и иной технической информации, связанной с функционированием сервисов электронной почты, для предотвращения их несанкционированного использования.
Требования к реализации
Информационное взаимодействие между пользователями ящиков электронной почты и сервером электронной почты должно осуществляться с использованием технологий и сетевых протоколов, обеспечивающих сокрытие метаданных и иной технической информации, связанной с функционированием сервисов электронной почты.
Должно обеспечиваться сокрытие метаданных и иной технической информации, связанной с функционированием сервисов электронной почты, а именно:
служебные заголовки сообщений электронной почты, содержащие информацию об инфраструктуре информационной системы, а также программном обеспечении, с использованием которого отправлено сообщение электронной почты (например, X-Mailer, User-Agent);
служебные заголовки сообщений электронной почты, содержащие информацию о маршруте передачи сообщения (например, X-Originating-IP, Message-ID).
Сокрытие информации, содержащейся в служебных заголовках, должно осуществляться одним из следующих способов:
настройка параметров сервера электронной почты, при которой обеспечивается запрет записи информации в служебные заголовки отправляемых сообщений электронной почты;
использование промежуточного сервера (SMTP-шлюз или прокси-сервер), позволяющего подменять или удалять информацию, содержащуюся в служебных заголовках.
Должна быть исключена возможность получения информации о существующих ящиках электронной почты, содержащихся на сервере электронной почты, с использованием:
запрета использования на почтовом сервере команд VRFY/EXPN;
средства защиты информации, позволяющего блокировать запросы на получение информации о существующих ящиках электронной почты, содержащихся на сервере электронной почты.
Требования к документированию
Не предъявляются.
Требования к усилению
1) сервер электронной почты, доступный из сети «Интернет», не должен поддерживать прием и передачу почтового сетевого трафика, предназначенного для других информационных систем (доменов).
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗЭП — Защита сервисов электронной почты
- Классы защищённости
- К3, К2, К1
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.