Госорганам рекомедовали удалить со своих сайтов Google Переводчик, Analytics, CAPTCHA и чужие API

Федеральная служба по техническому и экспортному контролю (ФСТЭК) России подготовила рекомендации для госорганов, которые направлены на повышение уровня защищённости их веб-сайтов. Ведомство рекомендует удалить с ресурсов некоторые зарубежные сервисы, в том числе Google Analytics, Google Карты, Google Переводчик и др.

Источник изображения: Ronald Carreño / Pixabay

Согласно имеющимся данным, рекомендации были направлены федеральным органам исполнительной власти 28 февраля в связи с новыми данными о спецификации хакерских атак зарубежных группировок. В сообщении сказано, что рекомендации ФСТЭК основываются на информации Национального координационного центра по компьютерным инцидентам, который сообщил, что компрометация и нарушение работы сайтов госорганов РФ является одним из векторов проведения хакерских атак из-за границы в отношении информационной инфраструктуры страны.

На основании этого ФСТЭК считает необходимым проведение инвентаризации служб и веб-сервисов, которые используются для обеспечения функционирования сайтов госорганов. Неиспользуемые службы предлагается отключить, а требования, которые предъявляются к парольной политике администраторов и пользователей сетей, усилить, в том числе исключив использование заданных по умолчанию паролей. При этом сетевое взаимодействие должно осуществляться с применением защищённых актуальных версий протоколов HTTPS, SSH и др.

Вместе с этим ФСТЭК рекомендовала отказаться от использования на сайтах госорганов сервисов подсчёта и сбора данных о посетителях, сервисов предоставления информации о местоположении и иных сервисов, разработанных иностранными организациями. В число таких служб вошли onthe.io, ReCAPTCHA, YouTube, Google Analytics, Google Карты и Google Переводчик. По мнению регулятора, госорганы должны исключить на своих сайтах возможность применения встроенных видео- и аудиофайлов, API-интерфейсов, виджетов и других инструментов, загрузка которых осуществляется с других ресурсов.

Некоторые рекомендации ФСТЭК направлены на повышение устойчивости сайтов госорганов перед DDoS-атаками. Например, предлагается обеспечить настройку правил средств межсетевого экранирования, направленных на блокировку неразрешённого входящего трафика, а также обеспечить фильтрацию трафика прикладного уровня с использованием средств межсетевого экранирования уровня приложений. В дополнение к этому предлагается ограничить число подключений с каждого IP-адреса, блокировать трафик, поступающий с IP-адресов США и стран Евросоюза, а также трафик, поступающий из «теневого» интернета через Tor-браузер.

Источник: