ЗВТ.3 – Приказ ФСТЭК России № 117
Контроль и фильтрация трафика веб-приложений
Усиления, обязательные по классам
К1
- 1) в информационной системе контроль и фильтрация трафика веб-приложений должны осуществляться в том числе методом анализа вложений (полезной нагрузки) пользовательских запросов;
Цель
Обеспечение контроля и фильтрации сетевого трафика веб-приложений.
Требования к реализации
В информационной системе должна быть обеспечена возможность автоматического контроля и фильтрации сетевого трафика веб-приложения, поступающего по сетевому интерфейсу программного взаимодействия с веб-приложением, в соответствии с мерой защиты информации ЗПИ.3.
Контроль и фильтрация данных пользовательских запросов должны быть направлены на обнаружение, как минимум, следующих событий:
нарушение содержащимися в запросе пользователя данными установленных в информационной системе ограничений по типу, размеру, формату и допустимому содержимому (схемы запроса);
включение в состав запроса управляющих символов и конструкций, способных изменить логику обработки веб-приложением пользовательских запросов (например, SQL-запросы, JavaScript-код, системные команды);
включение в состав запроса аутентификаторов доступа или иной чувствительной информации в открытом виде;
формирование запросов автоматизированными инструментальными средствами поиска и эксплуатации уязвимостей веб-приложений;
формирование запросов автоматизированными инструментальными средствами перебора (подбора) аутентификационной информации.
Контроль и фильтрация сетевого трафика веб-приложения должны обеспечиваться на основе как минимум следующих атрибутов пользовательского запроса протокола передачи гипертекста:
унифицированный идентификатор запрошенного информационного ресурса;
веб-метод запроса;
значения заголовков запроса;
наименования и значения параметров запроса;
идентификатор веб-клиента (набор значений заголовков атрибутов веб-клиента).
Контроль и фильтрация сетевого трафика веб-приложений, использующих расширения протокола передачи гипертекста и иные версии прикладных протоколов (например, протокол WebSocket), должны обеспечиваться на основе атрибутов, описанных во внутреннем стандарте, содержащем требования к типовым конфигурациям и настройкам программных, программно-аппаратных средств.
Для веб-приложений, доступных из сети «Интернет», указанные меры защиты информации должны быть реализованы с использованием межсетевого экрана уровня веб-сервера, или многофункционального межсетевого экрана уровня сети.
Требования к документированию
Не предъявляются.
Требования к усилению
1) в информационной системе контроль и фильтрация трафика веб-приложений должны осуществляться в том числе методом анализа вложений (полезной нагрузки) пользовательских запросов;
2) в информационной системе должны выявляться события, связанные с нарушениями в пользовательских запросах спецификации протокола передачи гипертекста и ограничений на структуру пользовательского запроса.
- Приказ
- Приказ ФСТЭК России № 117 — ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ О ЗАЩИТЕ ИНФОРМАЦИИ, СОДЕРЖАЩЕЙСЯ В ГОСУДАРСТВЕННЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ, ИНЫХ ИНФОРМАЦИОННЫХ СИСТЕМАХ ГОСУДАРСТВЕННЫХ ОРГАНОВ, ГОСУДАРСТВЕННЫХ УНИТАРНЫХ ПРЕДПРИЯТИЙ, ГОСУДАРСТВЕННЫХ УЧРЕЖДЕНИЙ
- Группа мер
- ЗВТ — Защита веб-технологий
- Классы защищённости
- К3, К2, К1 (усиления: 1)
- Организационное закрытие
- только технически – нужно техническое средство
Для этой меры в каталоге пока нет средств защиты, ОС и ППО, закрывающих её. Подбор СрЗИ под требования приказа покажет, что можно применить.