АСТАНА, 27 апр — Sputnik. В связи с участившимися случаями атак на информационные системы министерство оборонной и аэрокосмической промышленности Казахстана озвучило рекомендации для избежания и предупреждения подобных ситуаций.
В первую очередь МОАП рекомендует принимать своевременные меры противодействия угрозам информационной безопасности.
"Так, основа обеспечения информационной безопасности интернет-ресурса — это обеспечение максимального уровня безопасности сервера, на котором он размещается. Веб-сервер формируется комплексным составом программного обеспечения, каждое из которых подвержено разнообразным способам атаки", — пояснили специалисты.
Атаки веб-серверов можно разделить на локальные и глобальные.
Локальные атаки обычно направлены на кражу информации или перехват управления на отдельном веб-сервере.
Для обеспечения безопасности веб-сервера, прежде всего, предлагается:
- систематически устанавливать последние обновления системы безопасности для операционной системы;
- регулярно обновлять все программное обеспечение, работающее на веб-сервере;
- использовать сертификат SSL для работы с ресурсом только через HTTPS;
- удалить программное обеспечение, не относящееся к необходимым компонентам функционирования интернет-ресурса;
- отключить неиспользуемые службы, устанавливаемые по умолчанию (например, FTP или SMTP) и все неиспользуемые серверные расширения;
- отключить функцию просмотра каталогов, если она не является необходимой, поскольку она позволяет посетителям видеть, какие файлы используются системой;
- отключить доступ к ресурсам по умолчанию, включив только необходимую функциональность ресурсов;
- вести журнал всех обращений и проводить его периодический анализ, желательно с настройкой автоматических уведомлений о выявлении подозрительной активности;
- установить межсетевой экран.
Для приложений, функционирующих на сервере в качестве компонентов интернет-ресурса, предлагается соблюдать следующие требования:
- не запускать приложения и сервисы (в том числе – системные) с правами администратора;
- задать разрешения доступа (списки управления доступом) ко всем ресурсам, необходимым приложению;
- использовать настройки с минимальным уровнем разрешений (например, сделать файлы доступными только для чтения, если это приемлемо для приложения);
- хранить файлы веб-приложения в папке под корнем приложения;
- запретить пользователям задавать пути доступа к файлам приложения, что позволит избежать получения пользователями доступа к корню сервера.
Для среды исполнения скриптовой части интернет ресурса (PHP или ASP) следует придерживаться следующих рекомендаций:
- установить переменную register_globals в значение off;
- установить переменную safe_mode в значение on;
- в переменной open_basedir следует указать базовый каталог;
- установить переменную display_errors в значение off;
- необходимо установить переменную log_errors в значение on;
- установить переменную allow_url_fopen в значение off.
"Применительно к остальным компонентам интернет-ресурса (CMS, сервисы, приложения) следует руководствоваться общими рекомендациями к обеспечению защиты на уровне программного обеспечения", — добавили эксперты. Согласно действующему законодательству владельцы, собственники объектов информатизации, а также пользователи обязаны осуществлять меры по защите объектов информатизации. О произошедших инцидентах информационной безопасности необходимо информировать РГП "Государственная техническая служба", — заключает министерство оборонной и аэрокосмической промышленности Казахстана.