1、ICS 35.110 M 11 YD 中华人民共和国通信行业标准YDrr 1736-2009 代替YDrr1736-2008 互联网安全防护要求Security protection requirements for internet 2009-12-11发布2010-01-01实施中华人民共和国工业和信息化部发布电话：82054513 h t t p :/w w w .p t s n .n e t .c nYD/T 1736-2009 目次前言. . . . . . . . . . . . . . .n 1范围.2规范性引用文件.3术语和定义.4缩略语. . . . 5互联网安全防护概述.5
2、.1 互联网安全防护范围. . . . . 5.2 互联网安全防护内容.46互联网定级对象和安全等级确定. . . . . . . . . . . . . . . . . . . . . . . . . .4 7互联网资产、脆弱性、威胁分析. . . . . . . . . . .5 7.1 资产分析.7.2脆弱性分析.7.3 威胁分析. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .6 8互联网安全等级保护要求. . . . . . . . . . . . . . . .7 8.1 第1级要求. . . . .
3、. . . . . . . . .7 8.2 第2级要求. . . . . .7 8.3 第3.1级要求.118.4 第3.2级要求. . . . . . . . . . . . . . . . . . . . .14 8.5 第4级要求. . . . . . . . . . . . . . . . . . . . . . . .14 8.6第5级要求. . . .14 9互联网灾难备份及恢复要求. . . . . . . . . . . . . . . . . . .14 9.1 互联网灾难备份及恢复等级要求. . . . . . . . . . . . . . .14 9.2 第1级要求.
4、149.3 第2级要求.14 9.4 第3.1级要求. . . . . . . .15 9.5 第3.2级要求. . . . . . . . . . . . . . . . . . . . . . .16 9.6 第4级要求.169.7 第5级要求. . . . . . . . . .16 参考文献. . . . . . . . . . . . . . . . . . . . . . . . . .17 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYDrr 1736-2009 目IJ 本标准是电信网和互联网安全防护体系系列标准之一。该系列标准
5、预计结构及名称如下z1. 电信网和互联网安全防护管理指南2. 电信网和互联网安全等级保护实施指南3. 电信网和互联网安全风险评估实施指南4. 电信网和互联网灾难备份及恢复实施指南5. 固定通信网安全防护要求6. 移动通信网安全防护要求7. 互联网安全防护要求)(本标准)8. 增值业务网一消息网安全防护要求9. 增值业务网一智能网安全防护要求10. 接入网安全防护要求11. 传送网安全防护要求12. Hp承载网安全防护要求13. 信令网安全防护要求14. 同步网安全防护要求15. 支撑网安全防护要求16. 非核J生产单元安全防护要求17. 电信网和互联网物理环境安全等级保护要求18. 电信网和互
6、联网管理安全等级保护要求19. 固定通信网安全防护检测要求20. 移动通信网安全防护检测要求21. 互联网安全防护检测要求22. 增值业务网一消息网安全防护检测要求23. 增值业务网一智能网安全防护检测要求24. 接入网安全防护检测要求25. 传送网安全防护检测要求26. Hp承载网安全防护检测要求27. 信令网安全防护检测要求28. 同步网安全防护检测要求29. 支撑网安全防护检测要求30. 非核心生产单元安全防护检测要求31. 电信网和互联网物理环境安全等级保护检测要求32. 电信网和互联网管理安全等级保护检测要求33. 域名系统安全防护要求H 电话：82054513 h t t p :/
7、w w w .p t s n .n e t .c nyorr 1736-2009 34. 域名系统安全防护检测要求35. 网上营业厅安全防护要求36. 网上营业厅安全防护检测要求本标准与YD.厅1737-2)9互联网安全防护检测要求)(修订YD厅1737-2008互联网安全防护检测要求)配套使用。本标准是YD厅1736-2008互联网安全防护要求的修订版本。本标准与YD.厅1736-28的主要差异在于z1.本标准的第2章规范性引用文件中补充和更新了标准正文中引用的规范文件。2.本标准的第4章缩略语中补充和更新了标准正文中适用的缩略语。3.本标准的第5章互联网安全防护概述中增加了互联网安全等级保
8、护相关业务及应用系统安全要求的内容和说明。4.本标准的第7章互联网资产、脆弱性、威胁分析中增加了环境和设施类资产及其主要资产说明。5.本标准的第8章互联网安全等级保护要求中修改和补充了安全等级保护相关要求和内容，主tf涉及8.2节、8.3节。其中业务及应用安全要求部分增加了互联网虚拟专用网服务相关内容，主要涉及8.2.1.6节、8.3.1.6节:增加了业务及应用系统安全要求相关内容，主要涉及8.2.2节、8.3.2节:修改了设备安全要求相关内容，主要涉及8.2.3.2节、8.3.3.2节:增加了物理环境安全要求的相关内容，主要涉及8.2.4节、8.3.4节:删除了移动互联网信息服务安全要求相关
9、内容，主要涉及原8.2.1.7节、原8.3.1.7节。随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。本标准由中国通信标准化协会提出并归口。本标准起草单位z工业和信息化部电信研究院、中国电信集团公司、中国移动通信集团公司、中国联合网络通信集团有限公司。III 本标准主要起草人:杨剑锋、杨洋、田慧蓉、赵阳、刘楠、李金玉、杜之亭、张云勇。本标准于2008年1月首次发布，本次为第一次修订。电话：82054513 h t t p :/w w w .p t s n .n e t .c nyorr 1736-2009 互联网安全防护要求1 范围本标准规定了互联网业务及应用系
10、统在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护要求。本标准适用于互联网业务及应用系统。2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注目期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。YD.厅1728-2008电信网和互联网安全防护管理指南m厅1729-2008电信网和互联网安全等级保护实施指南YD.厅1730-2008电信网和互联网安全风险评估实施指南YDfT 1731-2008 电信网和互联网灾难备份及
11、恢复实施指南YD.厅1742-2008接入网安全防护要求YD.厅1744-2007传送网安全防护要求YD.厅1746-2008IP承载网安全防护要求YDfT 1754-2008 电信网和互联网物理环境安全防护要求YD厅1756-2008电信网和互联网管理安全防护要求YD厅2052-2009域名系统安全防护要求m厅1658-2007宽带网络接入服务器安全技术要求四厅1045-20网络接入服务器技术规范m厅1392-2005无线应用协议仰1P)网关设备技术要求YD.厅1311-2004防范互联网垃圾电子邮件技术要求YDN 126-2009 增值电信业务网络信息安全保障基本要求3 术语和定义下列术语
12、和定义适用于本标准。3.1.1 互联网相关系统systems of Internet 组成互联网的相关系统，包括接入网、传送网和E承载网等。其中，接入网包括各种有钱、无线和卫星接入网等，传送网包括光缆、波分、SDH和卫星等。3.1.2 互联网安全等级security classification of Internet 互联网及相关系统重要程度的表征。重要程度从互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。电话：82054513 h t t p :/w w w .p t s n .n e t .c nYDIT 1736-2009 3.1
13、.3 互联网安全等级保妒classified security protection of Intemet 对互联网及相关系统分等级实施安全保护。3.1.4 组织。咱anization由互联网及相关系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作:一个单位是一个组织，某个业务部门也可以是一个组织。3.1.5 互联网安全风险security risk of Internet 人为或自然的威胁可能利用互联网及相关系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。3.1.6 互联网安全凤险评估security risk assessment of I
14、nternet 运用科学的方法和手段，系统地分析互联网及相关系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解互联网及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障互联网及相关系统的安全提供科学依据。3.1.7 互联网资产asset of Internet 互联网及相关系统中具有价值的资源，是安全防护体系保护的对象.直联网及相关系统中的资产可能以多种形式存在，如无形的和有形的或硬件和软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员和管理等各种类型的资源，如E承载网中的路由器、传
15、送网的网络布局。3.1.8 互联网资产价值asset value of Internet 互联网及相关系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。3.1.9 互联网威胁threatof Internet 可能导致对互联网及相关系统产生危害的不希望事故潜在起因，它可能是人为的，也可能是非人为的:可能是无意失误，也可能是恶意攻击。3.1.10 互联网脆弱性vulne阻bilityof Intemet 互联网及相关系统资产中存在的弱点、缺陆与不足，不直接对互联网资产造成危害，但可能被互联网威胁所利用从而危害直联网资产的安全。3.1.11 互联网灾难disaste
16、r of Intemet 2 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYDrr 1736-2009 由于各种原因，造成互联网及相关系统故障或瘫痪，互联网及相关系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.1.12 互联网灾难备份backup for disaster recove叩。fInternet 为了互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。3.1.13 互联网灾难恢复disaster recove叩。fInternet 为了将互联网及相关系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部
17、分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。4缩略语下列缩略语适用于本标准。ASP Application Service Provider 应用服务提供商CDN Content Delivery Network 内容分发网络DDoS Distributed Denia1 of Service 分布式拒绝服务DoS Denia1 of Service 拒绝服务DNS Domain Name System 域名系统FrP File Transfer Prot01 文件传输协议IITIP Hyper Text Transfer Protocol
18、超文本传输协议ICP Intemet Content Provider 互联网内容提供商IDC Intemet Data Center 互联网数据中心E Intemet Prot01 网际协议POP3 Post Office Prot01 v3 邮政代理协议第3版SIP Session Initiation Protocol 会话初始化协议SMTP SimpleMail Transfer Protocol 简单邮件传输协议VPN V让阳a1Private Network 虚拟专用网WAP Wireless Application Prot01 无线应用协议5 互联网安全防护概述5.1 互联网安
19、全防护范围互联网泛指包括广域网、局域网及终端(如个人计算机终端、移动手机终端等在内的，通过数据网络设备(如交换机、路由和、接入设备(如宽带网络接入服务器、WAP网关等基于一定的通讯协议连接形成的，功能和逻辑上的大型网络。目前我国(国内互联网业务主要包括互联网域名服务、互联网数据中心、互联网接入服务、互联网信息服务(如互联网信息浏览服务、互联网信息发布服务、互联网电子邮件服务、互联网用户通信服务等、互联网虚拟专用网服务、在线数据处理与交易处理等。互联网安全防护范围包括互联网各类业务和应用系统、以及与各类业务和应用接入、承载、传输等相关的互联网相关系统。互联网相关系统组成如图1所示。3 电话：82
20、054513 h t t p :/w w w .p t s n .n e t .c nYO/T 1736-2009 固1互联网相关系统本标准主要对互联网业务及应用系统提出安全防护要求，随着互联网业务及应用的发展，本标准将不断补充完善。互联网相关系统中接入网安全防护的具体要求见YD厅1742-2008.传送网安全防护的具体要求见YD厅1744-2009.IP承载网安全防护的具体要求见四厅1746-2则。5.2 互联网安全防护内容根据m厅1728-28中电信网和互联网安全防护体系的要求，本标准的互联网安全防护内容分为安全等级保护、安全风险评估和灾难备份及恢复等3个部分z互联网安全等级保护主要包括定
21、级对象和安全等级确定、业务及应用安全、业务及应用系统安全、设备安全、物理环境去全和管理安全等。业务及应用安全指互联网相关业务及应用实现、业务管理和控制等方面的安全要求:业务及应用系统安全指由特定的业务及应用主机、服务器及附属设备和链路等构成的互联网业务及应用系统在结构(如系统平台架构、系统内部拓扑、功能如系统管理功能、攻击防范能力等方面的安全要求:设备安全特指各类互联网业务及应用相关主机、服务器和系统数据库及业务相关接入设备的安全要求。互联网业务及应用涉及的各相关系统如接入网、承载网、传送网)网络安全、设备安全等方面要求参见各相关系统安全防护要求的行业标准:物理环境安全指互联网相关业务及应用系
22、统所处机房环境、辅助设施等方面的安全要求:管理安全指互联网相关业务及应用相关管理制度、机构、人员等方面的安全要求。互联网安全风险评估主要包括互联网业务及应用相关资产识别、脆弱性识别、威胁识别、已有安全措施确认、安全风险分析、安全风险评估文件处理等，本标准仅对互联网业务及应用系统进行资产分析、脆弱性分析、威胁分析，在互联网业务及应用系统安全风险评估过程中对资产、脆弱性、威胁的赋值方法及资产价值、风险值的计算方法见YD厅1730-2008.互联网灾难备份及恢复主要包括互联网业务及应用相关灾难备份及恢复等级确定、针对灾难备份及恢复各资源要素的具体实施等。6 互联网定级对氯和安全等级确定我国具有管辖权
23、的互联网业务及应用系统的定级对象为各个互联网业务及应用系统。网络和业务运营商应根据YDIT1729-28附录A中确定网络安全等级的方法对各互联网业务及应用系统定级。针对各业务及应用系统，可根据相应的社会影响力、所提供服务的重要性、服务用户数的大小进行定级，权重、p、Y可根据具体业务及应用的情况进行调节。4 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYDrr 1736-2009 7 互联网资产、脆弱性、威胁分析7.1 资产分析互联网业务及应用系统的资产至少应包括设备硬件、设备软件、重要数据、提供的应用、文档和人员等，见表1。表1资产列表分类主
24、要资产各类业务及应用涉及的主机、服务器和数据库(如DNS服务器、Web服务器、电子邮件服务器等)，各设备及链路类业务及应用相关辅助设备(如安全过滤、入侵检测和防护设备)，系统内部网络设备(如系统内部组网路由器、交换机等设备、系统内部链路独立软件有必要独立识别的软件(如，相关应用软件、数据库软件、业务控制和运维管理软件等数据和信息保证互联网相关业务和应用正常提供的数据和信息如业务数据、系统配置数据、管理员操作维护记录、用户信息等)业务及应用互联网及有关业务系统可提供的各类业务及应用(如域名服务、接入服务、信息浏览和发布服务、电子邮件服务、多方通信服务、在线数据处理与交易处理等文档和资料纸质以及保
25、存在存储介质中的各种文件资料(如设计文档、技术要求、管理规定、工作计划、技术或财务报告、用户手册等人员相关管理、维护、开发、数据各份人员等环境和设施业务及应用系统和设备所处的物理环境，机房、电力、防火、防水、防静电、温湿度控制等相关设施7.2 脆弱性分析互联网业务及应用系统的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑。脆弱性识别对象应以资产为核心。表2给出了主要的脆弱性识别内容。表2脆弱性分析表类型对象存在的主要脆弱性相关服务器未进行合理备份，重要数据未及时进行备份t相关业务/应用协议存在漏洞，相关服务器的应用代码存在漏洞、后门:相关服务器存在过多不必要的开放端口:业务及应用相关服务器配置
26、不合理，访问控制策略存在漏洞:相关服务器的日志功能没有启用或不够详细1系统规划、设备部署、链路部署、资源配置、业务保护和恢复能力、安全技术措施和策略等方面的缺陷技术脆弱性相关设备存在硬件隐患或质量问题:相关设备的操作系统存在安全隐患:设备相关口令不够复杂、合理或没有经常更新:设备重要部件未配置主备用保护:相关设备超过使用年限或核心部件老化:相关设备发生故障后未及时告警机房场地选择不合理:物理环境防火、供配电、防静电、接地与防雷、电磁防护、温湿度控制不符合规范;通信线路、相关服务器、主机等设备的保护不符合规范5 电话：82054513 h t t p :/w w w .p t s n .n e
27、t .c nYDIT 1736-2009 类型|对象管理脆弱性7.3 威胁分析表2(续存在的主要脆弱性安全管理机构方面g岗位设置不合理(如人员配置过少、职责不清、授权和审批|程序简化、沟通和合作未执行、审核和检查未执行等安全管理制度方面z管理制度不完善、制度评审和修订不及时等:人员安全管理方面z人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训11、对于第三方人员未进行限制访问等:建设管理方面:安全方案不完善、软件开发不符合程序、工程实施来进行安全验收或验收不严格等:运维管理方面z物理环境管理措施简单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控
28、、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位，灾难恢复预案不完善互联网业务及应用系统面临的威胁可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。表3列举出互联网主要面临的威胁。表3威胁来源列表来源主要威胁描述相关主机和服务器、及系统网络设备使用时间过长或质量问题等导致硬件故障;系统链路发生故障;技术威胁相关设备的操作系统软件、应用软件运行故障:相关设备数据丢失或系统运行中断:存储介质老化或质量问题等导致不可用物理环境断电、静电、灰尘、潮湿、温湿度异常、电磁干扰等
29、:环境威胁意外事故或通信线路方面的故障自然灾害鼠蚁虫害、洪灾、火灾、泥石流、山体滑坡、地震、台风、雷击、闪电不满的或有预谋的内部人员滥用权限进行恶意破坏:攻击者利用非法手段进入机房内部盗窃、破坏等，攻击者非法物理访问相关设备、存储介质等:攻击者利用网络协议、操作系统、应用系统漏洞，越权访问相关设备的文件、数据恶意人员或其他资源:攻击者利用各种工具获取相关设备身份鉴别数据，并对鉴别数据进行分析和解剖，获得鉴别信息，未授权访问应用系统，或非法使用相关文件和数据:人为威胁攻击者利用应用系统扩散病毒、蠕虫、木马、垃摄电子邮件，利用相关攻击工具恶意消耗应用系统资源，导致系统能力下降或瘫痪、无法正常提供应
30、用服务;攻击者截获数据，进行篡改、插入，并重发，造成数据的完整性、真实性丧失内部人员由于缺乏责任心或者无作为而应该执行而没有执行相应的操作，或无意地执行了错误或危险的操作导致安全事件:无恶意人员内部人员没有遵循规章制度和操作流程而导致故障或信息损坏:内部人员由于缺乏培训|、专业技能不足、不具备岗位技能要求而导致故障或攻击;安全管理制度不完善、落实不到位造成安全管理不规范或者管理混乱导致安全事件6 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYOfT 1736-2009 8 互联网安全等级保护要求8.1 第1级要求不作要求。8.2 第2级要求8
31、.2.1 业务及应用安全要求8.2.1.1 通用安全要求除物理空间和资源出租类IDC业务(如机房/机柜出租、主机/服务器出租)、设备托管和代维类IDC业务(如主机托管、设备代维)、虚拟空间和资源出租类IDC业务(如虚拟主机服务以外，互联网相关业务及应用应满足:a)业务提供、控制与管理过程应保护用户隐私，不泄漏用户相关敏感信息:b)业务控制与管理应提供并启用身份鉴别、标识唯一性检查、鉴别信息复杂度检查及登录失败处理功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用，并根据安全策略对登录失败可采取结束会话、限制非法登录次数和自动退出等措施:c)业务控制与管理应严格限制默认账号的权限，各
32、账号应依据最小授权原则授予为完成各自承担任务所需的权限，按安全策略要求控制对文件、数据库表等内容的访问:d)系统访问控制策略应由授权主体配置:e)业务控制与管理应提供覆盖到每个账号的安全审计功能，应保证无法删除、修改或覆盖审计记录:f)业务相关审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等:g)对业务管理和控制应符合国家、企业的相关规定及要求。8.2.1.2 互联网域名服务互联网域名服务安全应满足YD厅2052-2009域名系统安全防护要求中第2级要求。8.2.1.3 互联网数据中心安全要求除物理空间和资源出租类IDC业务(如机房/机柜出租、主机/服务器出租)、设备托管
33、和代维类IDC业务(如主机托管、设备代维)、虚拟空间和资源出租类IDC业务(如虚拟主机服务以外，互联网数据中心业务应满足8.2.1. 1节和本节要求:a)对用户信息、数据应提供严格的本地访问控制机制，保证业务信息、数据授权访问:b) ASP类IDC业务(如应用业务出租、内容制作和包装服务应具备为用户(如ICP)提供信息和主义据安全保护如发布信息检查、内容过滤和屏蔽)的技术支撑能力:c)附加增值服务类IDC业务(如业务质量和流量监测、附加安全增值服务应提供专门的用户信息保护措施(如加密机制)保护用户相关信息和数据的安全性:d)应记录并留存业务控制和管理相关的日志信息(如登录和登出时间、用户名称、
34、登录账号、使用的地址和端口等)，并且保留一定期限(至少60天)e)网络和业务运营商提供的相关ASP类IDC业务(如邮件业务平台出租、Web业务平台出租应符合本标准中有关的业务及应用安全要求:f)业务相关其他安全要求见YDN126-2009附录Fo8.2.1.4 互联网接入服务安全要求互联网接入服务应满足8.2.1. 1节和本节要求:7 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYOfT 1736-2009 a)应提供有效可靠的用户接入、认证、授权和计费机制:b)在管辖网络内，应提供业务管理、控制相关信息的溯源能力(如记录用户设备地址和账号相
35、关分配信息、记录用户登录/登出时间、记录用户地址转换相关信息)c)在管辖网络内，应采取有效技术手段保证用户数据包的真实性:d)应记录用户业务相关日志(如用户接入时间和时长、用户账号、使用的地址和端口、主叫号码等), 并且保留一定期限至少60天)e)业务相关其他安全要求见YDN126-29附录A.8.2.1.5 互联网信息服务安全要求互联网信息服务应满足8.2.1. 1节和本节要求:a)应保护业务相关信息的安全，避免相关数据和页面被篡改和破坏;b)应禁止不必要的内嵌网络服务，应禁止在用户端自动安装恶意软件:c)提供信息服务的平台不应向公众发布有害信息，应采用自动技术手段和人工手段结合的方式对各类
36、文本、图像、音频、视频等信息进行有效的监控、屏蔽和过滤，以有效阻止有害信息通过业务网络向公众传播:d)提供电子邮件服务的平台应按照相关规定要求，提供相应的安全措施(如垃圾邮件防范和过滤等)保证用户邮件业务的正常:e)提供网络存储和转发的平台应对用户上传、下载等操作行为进行监控，防止用户的非授权的读写操作，应能拒绝来自未被允许的地址、用户名、子网域的操作请求，应能够限制单个地址(地址段)、用户名、子网域的连接数量和连接频率:f)提供互联网短消息服务的平台，应能够防范、清除以群发方式发送伪造、隐匿信息发送者真实标记的短信息:g)提供用户间通信服务的平台(如即时消息服务、基于互联网的音视频通话服务等
37、)，应提供必要的保护措施(如加密机制保护用户间通信数据的机密性和完整性:h)提供内容推送服务的平台如CDN服务)，应能对各类无效连接/请求进行有效管理，有效保护或隔离核心服务器相关资源:D提供内容推送服务的平台，应能对各边缘/缓存服务器流量、响应、负载等运行状况进行实时监测和管理，应能对平台内、外部相关的端到端性能如丢包率、延时等)进行实时监测，并及时处置各类告警和异常:j)应建立有害信息检查机制和投诉处理机制:k)应记录并留存业务控制和管理相关的日志信息，应记录用户发布信息、浏览信息、评论、邮件收发、文件上传和下载等相关日志信息(如操作内容、操作时间、使用的网络地址或者域名、操作等), 并且
38、保留一定期限至少60天)D业务相关其他安全要求见YDN126-29附录B。8.2.1.6 互联网虚拟专用网服务互联网虚拟专用网服务应满足8.2.1. 1节和本节要求za)应提供严格的用户信息、数据访问控制机制，保证用户数据的受控访问:8 电话：82054513 h t t p :/w w w .p t s n .n e t .c nyorr 1736-2009 b)应提供有效可靠的用户数据信息安全保护措施和机制(如逻辑隔离、数据加密)，以保证其机密性和完整性:c)应具备有效的业务管理和控制技术手段(如用户数据流向识别、用户业务行为分析等)，在必要的情况下实现对VPN内用户相关业务的规范化管理和
39、控制:d)业务相关其他安全要求见YDN126-29附录G。8.2.1.7 在钱数据处理与交易处理安全要求互联网在线数据处理与交易处理服务应满足8.2.1.1节和本节要求:a)应提供可靠的用户接入认证与授权机制，以保证使用业务相关用户的合法性以及业务本身的安全性:b)应利用密码技术进行业务会话初始化验证，应采用校验码技术保证通信过程中数据的完整性，应对通信过程中的敏感信息进行加密:c)应能够记录用户业务日志(如详细的交易事件信息、操作步骤、时间等)，并且保留一定期限(至少60天)d)业务相关数据应定期进行备份，并按照有关要求对备份数据进行有效性验证，重要业务数据应加密存储，保证业务数据的安全:e
40、)业务相关其他安全要求见YDN126-2009附录D。8.2.2 业务及应用系统安全要求除物理空间和资源出租类IDC业务(如机房/机柜出租、主机/服务器出租、设备托管和代维类IDC业务(如主机托管、设备代维)以外，互联网相关业务及应用系统应满足za)应绘制与当前运行情况相符的系统拓扑结构图:b)应根据应用和服务的特点，在满足高峰期流量需求的基础上，合理设计带宽:c)应根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，设备依照功能划分及其重要性等因素分区部署:d)应在系统边界部署访问控制设备，启用访问控制功能，应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力:e)
41、应对系统管理用户进行有效的身份标识和鉴别，并确保用户标识(用户名)具有唯一性和不易被冒用的特点，相关用户口令长度应不小于8字节，口令应有复杂度要求(使用大写字母、小写字母、数字、标点及特殊字符4种字符中至少3种的组合，且与用户名或D无相关性)并定期更换(更新周期不大于90天)f)应按系统管理用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户:g)应对系统中的重要设备运行状况、网络流量监测信息、系统管理及维护等进行日志记录，并且保留一定期限(至少180天)h)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息:i)应在系统边
42、界处对发生的端口扫描、强力攻击、木马后门攻击、DoSIDDoS攻击、缓冲区溢出攻击、E碎片攻击和网络蠕虫攻击等攻击和入侵事件提供有效的抵御和防范能力:9 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYDIT 1736-2009 j)互联网数据中心业务内部网络应能提供有效的安全防护技术手段(如防火墙、入侵检测、漏洞扫描)k)系统年窑机时间不超过8.76h.可靠性应达到99.9%以上。8.2.3 设备安全要求8.2.3.1 电信设备安全要求互联网业务和应用系统涉及的电信设备主要包括各类数据网络设备(如路由器、交换机)和业务相关接入设备(如宽带网络
43、接入服务器、WAP网关)等，相关设备应满足za)应对构建相关业务及应用系统内部网络结构的数据网络设备，如各类路由器、交换机等，进行必要的安全检测:b)业务及应用系统相关设各的安全应满足相应设备技术规范、设备安全要求等行业标准的有关规定(如，宽带网络接入服务器安全要求见YD厅1658-2007、网络接入服务器设备安全要求见YD，厅1045-20、WAP网关设备安全要求见YD.厅1392-2005); c)应对登录设各的用户进行有效的身份标识和鉴别，确保用户名具有唯一性，应为不同用户分配不同的权限，相关用户口令长度应不小于8字节，口令应有一定的复杂度，井定期更换:d)业务及应用系统相关设备应符合设
44、备入网管理相关要求的规定，应符合网络和业务运营商相关设备的要求。8.2.3.2 通用设备安全要求除物理空间和资源出租类IDC业务(如机房/机拒出租、主机/服务器出租)以外，互联网业务和应用系统涉及的通用设备主要包括各类主机、服务器、数据库(如域名服务器、Web服务器、电子邮件服务摇)等，相关设备应满足za)应对提供相关应用和服务的各类通用计算机、服务器等主机设备进行必要的安全检测，出具安全测试及验收报告并妥善保存:b)各类计算机、服务器设备应符合并满足相关行业标准(如电子邮件服务器设备安全要求见YD厅1311-24) .以及网络和业务运营商相关通用设备的要求:c)应对登录操作系统和数据库系统的
45、用户进行身份标识和鉴别，应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性，通用主机操作系统和数据库系统管理用户身份标识所具有不易被冒用的特点，相关用户口令长度应不小于8字节，口令应有复杂度要求(使用大写字母、小写字母、数字、标点及特殊字符4种字符中至少3种的组合，且与用户名或B无相关性并定期更换(更新周期不大于60天)d)当对各类主机进行远程管理时，应采取必要措施，防止鉴别信息在传输过程中被窃听:e)应启用访问控制功能，依据安全策略控制用户对资源的访问，应及时删除多余的、过期的账户，避免共享账户的存在:f)应实现操作系统和数据库系统特权用户的权限分离，应限制或禁止默认账
46、户的访问权限:g)应通过设定终端接入方式、网络地址范围等条件限制终端登录，应根据安全策略设置登录终端的操作超时锁定:h)审计范围应覆盖到主机/服务器上的每个操作系统用户和数据库用户:10 电话：82054513 h t t p :/w w w .p t s n .n e t .c nYOIT 1736-2009 D审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件，审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;j)应保护审计记录，避免其受到未预期的删除、修改或覆盖等，保留一定期限至少180天)k)通用主机操作系统应遵循最小安装的原则
47、，仅安装需要的组件和应用程序，并通过去全的方式(如设置升级服务器保持系统补丁及时得到更新:D通用主机应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库。8.2.4 物理环境安全要求a)应满足四厅1754-28中第2级要求:b)互联网相关业务及应用系统所处机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于750kg/m飞c)互联网相关业务及应用系统所处机房机架/机拒应以交替模式排列布局(即相邻列的机架或机拒朝向以相向/相背的设置布局交替排列); d)互联网相关业务及应用系统所处机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。8.2.5 管理安全要求应满足四厅1756-2008
48、中第2级要求。8.3 第3.1级要求8.3.1 业务及应用安全要求8.3.1.1 通用安全要求除物理空间和资源出租类IDC业务(如机房/机柜出租、主机/服务器出租、设备托管和代维类IDC业务(如主机托管、设备代维)、虚拟空间和资源出租类IDC业务如虚拟主机服务)以外，互联网相关业务及应用应满足8.2.1.1节和本节要求za)应能根据需要对业务及应用相关通信过程中的全部报文或整个会话过程提供必要的保护如进行通信数据加密)，并提供业务及应用相关访问、通信等数据的防抵赖功能:b)应能够对业务及应用服务水平进行检测，具有当服务水平降低到预先规定的阀值时进行告警的功能。8.3.1.2 互联网域名服务安全
49、要求互联网域名服务安全应满足四厅2052-219(域名系统安全防护要求中第3.1级要求.8.3.1.3 互联网数据中心安全要求除物理空间和资源出租类IDC业务(如机房/机拒出租、主机/服务器出租、设备托管和代维类IDC业务(如主机托管、设备代维、虚拟空间和资源出租类IDC业务(如虚拟主机服务以外，互联网数据中心业务应满足8.2.1.3节、8.3.1.1节和本节要求:a)应能提供有效的安全保护及隔离技术手段为服务对象的有关系统提供有效安全隔离和保护:b)应能按照服务对象的需求，根据优先级、安全策略等对有关服务涉及的相关资源进行统一分配和控制。8.3.1.4互联网接入服务安全要求互联网按入服务应满
50、足8.2.1.4节、8.3.1. 1节和本节要求za)应可选择不同的认证协议对用户身份进行组合验证:11 电话：82054513 h t t p :/w w w .p t s n .n e t .c nyorr 1736-2009 b)对不同类型用户(如不同地址/地址段、不同域)应设置不同的控制策略来分配或限制占用相关资源的最大限额和最小限额。8.3.1.5互联网信息服务安全要求互联网信息服务应满足8.2.1.5节、8.3.1.1节和本节要求za)提供信息浏览和发布服务的平台应拒绝由未被允许的地址、子网域发起的请求(如浏览、发布、评论等)，应拒绝以未授权的方式访问服务器上有限公开的相关内容和资
