【通信行业标准(YD)】 IP承载网安全防护要求

中华人民共和国通信行业标准
YD/T1746-2008
IP承载网安全防护要求
Security Protection Requirements for tne IP Bearer Network2008-01-14发布
2008-01-14实施
中华人民共和国信息产业部发布前言·
1范围-
规范性引用文件·…
3术语、定义和缩略语·
4I承载网安全防护概述·
4.1IF承载网安全防护范围
4.2IP承载网安个防扩内容.
5IP承载网定级对象利安全等级确定*6IP承载网资产、脆弱性，威胁分析资产分析
脆弱性分析：
6.3威胁分析·
IP承裁网安全等级保护要求-
7.第1级要求·
7.2第2级要求
7.3第3.1级要求·…
第3.2级要求·
7.5第 4 级夢求
7.6第 S级要求
8IP承载网灾难备份及恢复要求
8.1灾难备份及恢复等级
8.2 第 1 级要求-
8.3第2级要求-
第3.1级要求·
8.5第3.2级要求
8.6第4级要求
8.7第 5 级要求-
参文献
YD/T 1746-2008
YD/T 1746-2008
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标推的结构及名称如下：8电信网和互联网安企防扩管理指南：1. YD/T 1728-2008
2.YD/T 1729-2008
3. YD/T 1730-2008
电信网和互联网安金等级保护实施指南：电信网和互联网安个风险评估实施指南：8电信网和互联网灾难备份及恢复实施指南：4.YD/T1731-2008
5．YDT1732-2008固定通信网安全防护要求：固定通信树安全防护检测要求：6.YD/T1733-2008
7.YD/T 1734-2008
8.YD/T1735-2008
移动通信网安全防护要求；
移动通信网安全防护检测要求：互联网安全防护要求：
9.YD/T 1736-2008
互联网安金防护检测要求：
10.YD/T 1737-2008
增值业务网——消息网安全防护要求：11. YD/T 1738-2008
3增值业务网一消息网安全防护检测要求：12. YD/T 1739-2008
增值业务网智能网安全防护要求：13. YD/T1740-2008
14.YD/T 174I-2008
增俏业务网—一智能网安全防护检测要求；15. YD/T 1742-2008
16. YD/T1743-2008
17.YD/T1744-2008
18.YD/T1745-2008
接入网安全防护要求：
接入网安全防护检测要求：
传送网安全防护要求：
传送网安全防护检测要求；
19.YD/T1746-2008
3IP承载网安全防护要求；
20.YD/T 1747-2008
21、YD/T1748-2008
22.YD/T1749-2008
23.YD/T 1750-2008
P承载网安全防护检测要求；
借令网安全防护要求：
信令网安全防护检测要求；
同步网安全防护要求：
同步网安全防护检测要求：
24. YD/T 1751-2008
25.YD/T1752-2008
支撑网安全防护要求：
26.YD1753-2008支撑网安全防护检测要求；电信网和互联网物理环境安全等级保护要求；27.YD/T17542008
28YTD1755-2008电信网和互联网物理环境安全等级保护检测要求：29、YD门1756-2008电信网和互联网管理安全等级保护要求：30.YDT1757-2008电信网和1互联网管理安全等级保护检测要求；31.YD/T1758-2008非核心牛产单元安全防护要求：32.YD/T1759-2008非核心牛产单元安全防护检测要求。本标准与YD/T1747-2008&IP成裁网安全防护检测要求》配套使用。YD/T 1746-2008
随荐电信网和互联网的发展，将不断补充和完善电信网和互联网安全防扩体系的相关标准。本标推由中国通信标化协会提出并归口。本标准起草单位：信息产业部电信研究院、中国电信集团公司、中国移动通信集团公司，中国网络通信集因公司、中国联合通信有限公司本标准主要起草人：杨剑锋、陈运清、陈敏时、叶华、杜之亭、张云勇1范围
IP承载网安全防护要求
YD/T 1746-2008
本标准规定了IP承载网在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护要求。本标准适用于公众卫底载网。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标雅达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。YD/T 1728-2008
YD/T 1729-2008
YD/T 1730-2008
YD/T 1731-2008
YD/T 1163-2001
YD/T 1170-2001
YD/T 1478-2006
YD/T 1099-2005
YD/T 1627-2007
YD/T 1255-2003
YD/T 1629-2007
YD/T 1691-2007
YD/T1096-2001
YD/T 1097-2001
YD/T 1358-2005
YD/T I359-2005
YD/T 1452-2006
YD/T 1454-2006
YD/T 1754-2008bzxz.net
YD/T 1756-2008
3术语、定义和缩略语
3.1术语和定义
电信网和互联网安全防护管理指南电信网和五联网安全等级保护实施指南电信网和互联网安金风险评估实施指南电信网和互联网灾难份及恢复实施指南P网络安全技术要求——安全框架P网络技术要求——网络总体
电信管理网安全技术要求
以太网交换机技术要求
以太网交换机设备安全技术要求其有路由功能的以太网交换机技术要求其有路由功能的以太网交换机设备安全技术要求具有内容交换功能的以太网交换机设备安全技术要求路由器设备技术规范低端路由器路由器设备技术规范——高端路由器路由器安全技术要求—中低端路由器路由器安全技术要求—高端路由器IPv6网络设备技术要求-—-支持IPv6的边缘路由器IPv6网络设备技术要求-支持IPv6的核心路由器电信网和互联网物理环境安全等级保护要求电信网和互联网警理安全等级保护要求下列术语和定义适用于本标准。3.1.1
IP承载网安全等级SecurityClassification ofIPBearerNetwork1
YD/T 1746-2008
IP承载网安全重要程度的表征。董要程度可从IP承载网受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡暨。3.1.2
IP承载网安全等级保护Classified Security Protection of IPBearerNetwork对IP承载网分等级实施安全保护。3.1.3
组织 Qrganization
组织是出不同作用的个体为实施共同的业务日标而建立的结构，组织的特性在于为完成日标而分工、合作。一个单位是一个组织，某个业务部门也可以是-…个组织。3.1.4
IP承载网安全风险SecurityRiskofIPBearerNetwork人为或自然的感胁可能利用P承载网中存在的脆弱性导致安全事件的发生及其对组织造成的影响。3.1.5
P承载网安全风险评活securityRiskAssessmentofIPBearerNetwork指运用科学的方法和手段，系统地分析中承载网所面临的威胁及其存在的脆弱性，评估安全事件一日发生叫能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解承载网安全风险或者将风险挖制在可接受的水平，为最大限度地为保障承载网的安全提供科学依据，3.1.6
IP承载网资产AssetofIPBearerNetworkP净载网中具有价值的资源，是安全防护保护的对象。P承载网中的资产可能是以多种形式存在无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务，人员，管理等各种类型的资源，如承载网的设备，线络、网绍布局等。3.1.7
IP承载网资产价值Assat Value of IPBearerNetworkrP承载网中资产的重要程度或撤感程度。IP承载网资产价值是IP承载网资产的属性，也是进行IP承载网资产识别的上要内容。
iP承载网威胁ThreatofIPBearerNetwork可能导饺对P戚裁网产生危害的不希望事件潜在起因，“它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶点攻市。常见的IP承载网络威胁有攻击、膜探，设备节点故障，火灾、水灾等。3.1.9
IP承载网脆端性Vulnerability of IPBearerNetwork随弱性是IP承载网中存在的弱点，缺陷与不足，不直接对P承载网资产造成危害，但可能被P承载网威胁所利用从而危及IP承载网资产的安全。3.1.10
IP承载网灾难DisasterafIPBearerNetwork2
YD/T 1746-200B
由子各种原因，造成P承载网故障或摊痪：使卫承载网支持的业务功能停顿或服务水平不可接受，达到特定的时间的突发性事件。3.1.11
IP承载网灾难备份BackupforDisasterRecoveryofIPBearerNetwork为了P承载网灾难恢复而对相关的网络要素进行备份的过程。3.1.12
iP承载网灾难恢复DisasterRecoveryofPBearerNetwork为了将正承载网从灾造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从火难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.2缩略语
下列缩略语适用于本标准。
DNSSEC
Border Gateway Protocol
Distributed Denial of ServiceDomain Natne System
DNS SECurity
Denial of Service
Internet Protocol
Multi-Pratocol Label Switch
边界网关协议
分布式拒绝服务
域名系统
DNS安全性
拒绝服务
网际协议
协议标签交换
Quality of Service
服务质量
QoSPolicyPropagation ThroughtheBGP通过BGP的QoS策略传播ResourceReSerVation ProtocolSimpleNetwork ManagementProtocolSecute Shell
Secure Socket Layer
Transport Layer Security
User Security Model
View-based Access Control Model41P承载网安全防护概述
4.1IP承载网安全防护范距
资源预留协设
简单网络管理协议
安全外壳
安全套接层
传输层安全
用户安全模型
基于视图的访问控制模型
P承载网是指以P技术为基础的用于承载各类业务网数据的承载网络，是构成数据通信网的基础网络。IP承载网的基本功能包括为上层应用和业务网络提供分组数据的网络路出、交换和传送等。作为承载各种业务及上层应用的信息和数据、连接相关业务系统和功能平台的综合承载网络，IP承载网络的安全可靠性直接关联到业务网络及相关各类业务和上层应用的安全可靠性。4.2IP承载网安全防护内容
根据YD/T1728-2008《电信网和互联网安全防护管理指南》中电信网和互联网安全防护体系的费求，将IP承载网安全防护内容分为安全风险评估、安全等级保护、灾难备份及恢复等三个部分。3
YD/T 1746-200B
一一IP承载网安全等级保护，主要包括定级对象和安全等级的确定、网络安全、设备安全、物理环境安牟，管理安全等。
：IP承载网安全风险评估，主要包括资产识别、脆弱性识别、威胁识别、已有安全措施的确认，风险分析、风险评估文件记录等。本标准仅对IP举载刚进行资产分析、脆弱性分析、威胁分析，在IP承载网安全风险评估过程中确定各个资产、腕弱性、威胁的具体值。资产、脆弱性、威胁的赋值方法及资产价值、风险值的让算方法参见YD/T1730-2008电信网和.五.联网安全风险评估实施指南”。一-IP承载网灰难备份及恢复，于要包括灾难备份及恢复等级确定，针对灾难备份及恢复对各资源要素的具体要求等。
5IP承载网定级对象和安全等级确定我国公众P承载网定级对象通常应为P骨十网、IP城域网.网络和业务运實商应根据YD1729-2008《电信网和互联网安全等级保护实施指南附录A中确定安全等级的方法对承载网定级，即对P骨干网、P城域网根捂社会影响力、所提供服务的重要性、服务规模的大小分别定级，权董α，、可根据具体网络情况进行调节。
考虑到不同地域Ⅱ城域网络的规模、结构、运营、管理等因素对于网络安全防护要求的差异，网络和业务运营商可恨实际情况，将卫城域网下辖核心层、汇聚层等树络作为独立的对象，确定相应的安全等级以实施安全防护。
6IP承载网资产、脆弱性、威胁分析6.1资产分析
正承载网资产的识别与选职应符合科学性，合理性，正承载网资产大效包括各类设备严机、数据信息，业务、文件，人员物理环境设施等。IP承载网的资产分析应包括但不限于表1所列范围。表1资产类别
网络设备/上机
独立软件
文档/数据
服务业务
网络资源
环境/设施
包括：数据设备，如包括各类路由器、交换机等网宵系统设格，如包括各类管理服务器、主机、终端、辅助设备等：域名系统设备，如包拓各类域名服务器、辋助设备等：链路等。
（网络设备/主机资产中可包含与设备主机直接相关且没有必要细分的软、硬件及相关附件）包括有必要独立识别的软件，如成用软件、系统程序、数据库等包括数据信息，如网络、设备、功能系统相关的各类业务，配置、管理等方面的数据和信息等：文挡资料：如各类形式的文件、档案、资料（如设计文档、技术料、管理规定、工作计划、财务报告、数据下册等）
包括网络、各助能业务系统提供的各类服务和业务等包括网绍相关的链踏。带宽、务类设备溶置、网络地址空间等资源包括各类人员以及相关技术经验、管理机制等，如掌相关技术的网络维护人员、设备维护人员、组织、管理机制等
包括机房、电力供应系统，电磁防护系统、防火、防水和防潮系统、防静电系统、防雷击系统、温湿度控制系统以及相关设备等
6.2脆弱性分析
YD/T 1746-2008
F承裁网的晚弱性包括技术脆竭性和管理跪弱性两个方面。脆竭性识别对象应以资产为核心。P承载网的跪弱性分析应包括似不限于表2所列范围。表 2 脆弱性类别
脆弱性
脆弱唑
包括：网络规划和拓扑，设备部器、资源配置的缺陷等；网络保护和恢复能力的缺陷、安企技术措施和策略等方而的漏洞等：业务相关的接入、访问、服务优先级、资源管理、数据信息检查和过滤等业务接入管理方面的缺陷和漏洞等
包括：设备硬件安全性、软作安全性的漏洞等：可靠性、稳定性、业务支持能力和数处垣能力、容错和恢复能力的缺陷等：设备/主机
设备访问的莲接、授权、鉴则、代理利控制等方面的安全漏河，以授权接入的口令、方式、安全连接，用广鉴别、代理等访问控制方询存在的溺洞隐患等：相关数据信息在使用、传送，份，保存、恢复等坏节的安全保护技术缺隔和安全策略的漏洞等物蛭环境
肾理脆弱性
6.3威胁分析
包括物理环境安全防护能力的缺陷：可分为机房场地选择，防火、供配也。防静也、接地与防需、电磁防护、温湿度萨制、通信线路、机房设施及设备的保护等包括网络相关的方案和预案、人员，保障，组织等安全机制和节理制度在制定和实施等环节的漏涧利缺陷，可分为安全管理机构方面（如岗位设置、授校和审批程序、沟通和合作等），安全肾理制度方面（如管理制度及相应的评审利修订等），人员安全管理方面《如人员录用、上岗、安全培训、组织。访问控制等），建设管理方面（如安全方案不完善、软件开发不符合程序、工程实施末逊行安全验收战验收不严格等），运继管理力面（如物理环境管理、设备维护、技术支持关键性能指标临控、改止防恶措施、数据备份和恢复、访问控制、操作管理、应急保障措施等）LP承载网的戚胁根据来源可分为技术成胁、环境胁和人为威胁。环境威胁包括自然界不可抗的感胁和其他物理胁。根据戚胁的动机，人为威胁义可分为恶意和1非恶意两种。IP承裁网的威胁分析应包括但不限于表3所列范围
表3威胁类别
技术威胁
物理环境
环境威
包括：未究分考虑加余，可罪性及业务安全，应用需求等原因，妨碍相关功能定全实现的缺陷或隐惠造成的安全事件等：系统差错、节点/链路叫菲性等原因造成的故障等：错误响应和恢复等：
相关数据、信息在备份、保存、快复过程中发生的差错、损坏、丢失等；地址、带宽、处能力、存储空间等资源的滥用、浪费和过消耗等；突发流量和异常数据流量等
包括：供电故障，灰尘，潮湿、温度超标，静比。心磁干扰等：意外事故或通信线路方面的故障等包括：服蚊出害：
洪灾、火灾、泥石流、山体渭坡、地震、台风、雨心等然灾害：战争、礼会动乱、恐怖活动等
YD/T 1746-2008
恶意人员
人为威胁
非恶意
表3（续）
包拓：针对网络的恶意拥案，针对业务、设备等相关数据的拦截、签改、谢除等政出行为：针对网络、业务数据、服务、设备进行的悉您扫描、监听、截获等噢探行为：恶态代码、病母等：
作授权访问、越权操作等：
伪逆和撤骗等：
物理攻击，损坏、盗窃等
包拓；误操作；
无作为、技能不足等；
相关数据、信息无意泄漏，激据损坏利丢失等；组织、安全管理制度不完善、制度推行不力、缺乏资源等作规范安全管理等7IP承载网安全等级保护要求
7.1第1级要求
本标准对安个等级为第1级的P承载网暂不作要求。7.2第2级要求
7.2.1网络安全要求
7.2.1.1网络拓扑
a）P承载网的网络结构应符合YD/TI170-2001中相关要求。b）P承载网口治域划分应与网络结构和组织形式致。c）卫承载网的地址应统一规划，并体现网络层次性，应有利下路由的组织。d）承载网路由的规划和设计合理，具有较高的可用性和可扩展性。e）[P承载网应绘制与当前运行情况相符合的网络拓扑图。7,2.1,2网络保护与恢复
a）IP承载网节点重要部件和模块应配置为主备用方式。b）IP承载网应能够根据业务或应用的需求采用链路倒换，链路案合等安全保护措施。相关技术和指标应达到网络和业务运营商的要求，并符合相关行业技术标准的规定。）P城域网应根据实际情，合埋选择核心节点改置为汇接节点：汇接节点原则上应至少与两个上层节点相连。
d）IP城域网络间原则上应通过告干网络或城域汇接节点互联：7.2.1.3网络管理
）P承载网应根据网络结构形式，原则上采用多级分域的管理方式：应根据实际需求或运维体制设置分级权限，实现对网络的灵活管理。b）TP承载网网管网与业务网络应严帮隔离。c）IP承载网网络管理应采用安全的管理和控制信息的分发、过滤机制。网络管单信息应通过加密传送。对予专用管理接口，应对目的地址为设备本身的非管理报文和到数据业务接口的报文进行严格控制。
YD/T 1746-2008
d）IP承载网网络管理应使用用户安全鉴别和认证措施：应符合YD/T1478-2006中相关安全技术要7.2.1.4网络安全防范
a）网络和设备应具有一定抵抗常见政击、差错防范和处理的能力。b）P承载网应根据需要采用有效的QS和流量管理策略，应保证管理和控制信息具有较高的优先级，应对播、组播进行必要的控制。c）网络设备的软件应具备完善的实时操作、信息处理、更新升级、差错防护、故障定位等功能。）通用服务器/主机设备的系统软件应当制利1禁用可能造成漏洞的服务和端口，应安装和使用防火墙和病裁查杀工具或采取其它防病毒利防攻击措施，软作应及时安补丁，定期更新，及时消除可能的隐患。
e）网络设备应具有安全日志的功能。日志应包含访问、配置、状态、统计、告警等安全相关事什的来源、时间、描述等信息内穿。7.2.2设备安全要求
P承载网设备按功能划分包括数据设备、网管系统设备和域名系统设备等。数据设备包括各类路由器、交换机设备等：网管系统设备指用于实现对网络和网无进行控制、维扩、监测、采集与评估等功能的设备，主要包括各类服务器和终端等士机的软件系统及硬件平台、数据库、辅助设备（如外围设备、探针）等设备：DNS系统设备主要包括实现域名解析功能的服务器，数据库等。IP承载网数据设备的安全应满足相关设备技术规范、设备安企要求以及设备入网管理相关要求的规定：
以太网交换机的安全应满足YD/T1099-2005、YD/T1627-2007等相关标准的安全要求：具有路由功能的以太网交换机的安全应满足YD/T1255-2003.YD/T1629-2007等相关标准的安全要求：
其有内容交换功能的以太网交换机的安全应满足YD/T1691-2007等相关标推的安全要求：低端路中器或达缘路由器的安全应相应满足YD/T1096-2001：YD/T1358-2005，YD/T1452-2006等相关标准的安全要求
高端路由器或核心路由器的安全应相应满足YD/T1097-2001、YD/T 1359-2005、YD/T1454-200F等相关标准的安全要求。
P我载网网管系统，域务系统相关服务幕，土机等用设备做进行必要的安全检测，出具安全测试及验收报告并要善保存。相关设备应符合并满足网络和业务运营商相关通用设备的要求，7.2.3物理环境安全要求
应满足YD/T1754-2008电信网和联网物理环境安金等级保护要求》中第2级的相关要求。7.2.4管理安全要求
Li满足YD/T1756-2008电信网和互联网管理安全等级保护要求》F第2级的相关要求。7.3第3.1级要求
7.3.1网络安全要求
7.3.1.1网络拓扑
除满足第2级的要求之外，还应满足以下几点：了
YD/T 1746-2008
a）卫P承裁网络结构概据网络的运营。管理或区域等因素在逻辑上合理的实现分层和分级b）P承载网网络成保留一定的备而地址，满足业务扩展的需求：c）承裁网节点域内接口应使用内部路由协议，域间接！使用外部璐由协议：d）【P城域网汇聚层节点组织和分布应能满足业务接入和汇聚的需求，节点功能应能满足网可扩展的需求。
7.3.1.2网络保护与恢复
除满足第2级的要求之外，还应满足以下几点：a）P承载网应具有一定的节点完余，链璐穴余和保护等措施：网络组织和分布应满足业务稳定性和安全性需求：
h）IP承裁网应能够根据业务或应用的需求采用转发检测、保护倒换、重路出、负载均衡等安全保护措施。相关技术和指标应达到网络和业务运营商的要求，并符合相关行业技术标准的规定：心）卫骨干网节点问链路原则上应至少保有两条不同物理路径的连接；d）城域网汇聚层应根据实际情说，合埋选择核心节点设置为汇接节点，汇接节点间原则工应至少保有两条不同物理路径的连接。7.3.1.3网络管理
除满足第2级的要求之外，还应满足以下几点：a）卫载网的网络管理应启用访问和资源控制的安全措施，遵循最小特权原则对接口使用、讲问和资源等进行限制。
b）IP承载网络管理原则上应具有对业务相关数据进行检测，统计、控制、过滤的功能。）P承载网络管理应能对节点、链路和各类资源的预馨，告警，故障进行及时有效地定位，关各类预警阅值设置合理。
d）IP承载网络管理使用的SNMP协议原则应支持SNMPv3并支持VACM和USM安全机：对于远程登录应支持SSH以及相关加密和认证算法，对于Web管理应支持SSL/TLS安全协议：设备支持的SNMP、SSH服务等应能在必要情况下关闭和禁用。7.3.1.4网络安全防范
除满足第2级的要求之外，还应满足以下儿点：a）在控制平面网络和设备应根据实际情况对相关控制信息逆行有效合理地加密、认证和过滤：对于目的地址为设备本身的数据包，应具有有效的攻击识别和防范能力，对了异常数据流量具有识别和处理能力。
b）网络应采用灵活、有效的服务质量和流量控制<如IPQoS，MPLSQoS、流量映射、RSVP、码点标记，流量限速、队列调度，QPPB等）技术策略，符合端到端业务的需求。心）网络设备的安全日志应通过特定的安全机制在本地或外部设备上逊行记录、输出、存储，应支持志的管理和审计。
7.3.2设备安全要求
同第2级要求。
7.3.3物理环境安全要求
应满足YD/T1754-2008《电信网和互联网物理环境安全等级保护要求》中第3.1级的相关要求。8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。