ЗПИ.3 – Приказ ФСТЭК России № 117
Проверка на соответствие спецификации API
Усиления, обязательные по классам
К1
- 1) в информационной системе должен быть осуществлен пересмотр перечня и спецификации API при изменении кода или конфигурации приложений, реализующих данные API;
Цель
Обеспечение контроля запросов к интерфейсам взаимодействия приложений с целью выявления и блокирования запросов, не соответствующих утвержденной спецификации API.
Требования к реализации
При организации сетевого информационного взаимодействия между субъектами доступа (пользователями и приложениями) и объектами доступа в информационной системе посредством API в информационной системе должна быть определена спецификация API.
В информационной системе должна быть обеспечена возможность автоматической проверки запросов на предмет соответствия формату, структуре и ограничениям, предусмотренным разработанной спецификацией API. В информационной системе должно быть определено множество правил, описывающих виды запросов, не соответствующих спецификации API, подлежащие автоматическому блокированию средствами защиты информации до момента оказания запросом воздействия на приложение, доступное посредством API.
В информационной системе должен быть осуществлен пересмотр перечня и спецификации API на предмет выявления недокументированных, устаревших и неиспользуемых API и ресурсов, доступных внешним пользователям информационной системы посредством данных API, ежегодно или при изменении API.
В информационной системе должна осуществляться проверка поступающих к API запросов на соответствие формату, структуре и ограничениям, и блокировка запросов, не соответствующих спецификации API.
Требования к документированию
Не предъявляется.
Требования к усилению
1) в информационной системе должен быть осуществлен пересмотр перечня и спецификации API при изменении кода или конфигурации приложений, реализующих данные API;
2) должен обеспечиваться автоматический анализ трафика сетевого информационного взаимодействия между внешними субъектами доступа и внешними API информационной системы на предмет выявления недокументированных, устаревших и неиспользуемых API и ресурсов, доступных внешним пользователям информационной системы посредством данных API.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗПИ — Защита программных интерфейсов взаимодействия приложений (API)
- Классы защищённости
- К3, К2, К1 (усиления: 1)
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.