Doporučení System4u k zabezpečení e-mailových serverů

V návaznosti na vydané nařízení NÚKIB pro správce a provozovatele informačních systémů klíčových pro fungování státu, přináší společnost System4u doporučení k zabezpečení e-mailových serverů pro všechny firmy, podniky a instituce, kterým záleží na jejich datech a bezpečné komunikaci.

"Vítáme iniciativu NÚKIB, která má za cíl zabránit špehování a falšování e-mailové komunikace. Rádi bychom ale upozornili, že tato doporučení jsou platná pro jakoukoli firmu provozující e-mailový server - ať již v cloudu nebo on-premise. Vedou k omezení spamu a bezpečnější komunikaci přes internet pro nás všechny," říká Ladislav Blažek, ředitel technické podpory společnosti System4u.

"Zavedení těchto opatření je pro většinu správců a provozovatelů systémů, které spadají pod náš zákon, povinné, ale samozřejmě je doporučujeme i těm, kteří pod naši regulaci nespadají, ale chtějí mít svou poštu v bezpečí," doplňuje ředitel NÚKIB Karel Řehka k aktuálně vydanému ochrannému opatření dle zákona o kybernetické bezpečnosti.

Pokud IT správci firem níže uvedená doporučení sami nezvládnou, pomůže tým techniků ze System4u.

Doporučení System4u:

Podpora pro STARTTLS na e-mailovém serveru - umožňuje předávat elektronickou poštu mezi SMTP servery šifrovaně pokud toto obě strany podporují - lze tak zabránit odposlechu komunikace, která by jinak putovala otevřeně

Komunikace pouze s využitím TLS 1.2 a vyšší - staré verze bezpečnostních protokolů obsahují známé zranitelnosti, které mohou být využity pro odposlech šifrované komunikace (main-in-the-middle exploity), proto doporučujeme používat jen TLS 1.2 a vyšší

Ověřování domény technologií DNSSEC - umožňuje klientovi ověřit platnost informací získaných ze systému DNS a chrání vás tak proti podvržení či úmyslné manipulaci DNS záznamů, DNSSEC používá asymetrické šifrování - držitel domény elektronicky podepíše informace vkládané do DNS a pomocí veřejného klíče uloženého u nadřazené autority jeho domény je možno tento podpis verifikovat - lze tak ověřit, že zadaná adresa je přeložena na správnou IP adresu

Správné nastavení SPF záznamu - SPF záznam v DNS umožňuje správcům určit, které e-mailové servery mohou odesílat e-maily z dané domény, pokud je pošta odeslána ze serveru, který není obsažen v SPF záznamu, jedná se pravděpodobně o spam

DMARC záznam - DMARC technologie využívá DKIM a SPF záznamy k validaci e-mailových zpráv a identifikaci podvržených mailů a definuje, za jakých podmínek má být adresa odesilatele (hlavička From:) vyhodnocena jako důvěryhodná

DKIM záznam - DKIM je metoda ověření, zda byla zpráva skutečně odeslána z adresy odesilatele - hlavičky zpráv odesílaných z firemního e-mailového serveru jsou podepisovány DKIM podpisem, jeho veřejný klíč je zároveň uložen u domény odesilatele v systému DNS pro verifikaci na straně příjemce