【行业标准】 域名注册系统安全防护检测要求

ICS 33.100.70
中华人民共和国通信行业标准
YD/T 2246-2011
域名注册系统安全防护检测要求Security protection testing requirements for the domain nameregistrationsystem
2011-06-01发布
2011-06-01实施
中华人民共和国工业和信息化部发布前言·
】范围·
2规范性引用文件
3缩略语、术语和定义·
3.1缩略语
3.2术语和定义
4域名注珊系统安金防护检测概述4.1安全防护检测范围
4.2安金防护检测对象
4.3安全防护检测内容·
4.4安全防护检测结果判定
5域名注册系统安全等级保护检測要求·5.1第1级要求
5.2第2级婴求
5.3第3.1级要求*
5.4第3.2级要求bzxz.net
5.5第4级要求
5.6第 5 级要求·--
6域名注册系统安全风险评估检测要求6.1安全风险评估范围·
6.2安全风险评估内容-
6.3安全风险评估要素
6.4安全风险评估赋值原则
6.5安全风险评估计算方法
6.6安全风险评估文件类型，
6.7安全风险评估文件记录
7域名注册系统灾难备份及恢复捡测要求.7.1第 1 级要求*
7.2第 2级要求-
7.3第 3.1级要求
7.4第 3.2 级要求-..
7.5第 4级要求
7.6第 5级要求
参考文献
TTTKAONATKACA
YD/T 2246-2011
YD/T2246-2011
本标准是\电信网和互联网安全防护体系\系列标准之一。该系列标准的结构及名称预计如下，电信网和互联网安全防护管理指南电信网和互联网安全等级保护实施指南一电信网和互联网安全风险评估实施指南电信网和互联网灾难备份及恢复实施指南固定通信网安全防护要求》
移动通信网安全防护要求”
互联网安全防护要求》
增值业务网—消息网安全防护要求票增值业务网一智能网安全防护要求长接入网安全防护要求》
《传送网安全防护要求》
正承载网安全防护要求”
信令网安全防护要求》
同步网安全防护要求》
支撑网安全防护要求”
非核心生产单安金防护婴求”
电信网和互联网物理环境安全等级保护要求及电信网和互联网管理安全等级保护要求》《固定通信网安全防护检测要求”《移动通信网安全防护检测要求”互联网安全防护检测要求”
长增值业务网一消息网安全防护检测要求《增值业务网一智能网安全防护检测要求”接入网安全防护检测要求》
传送网安全防护捡测要求
IP承载网安全防护检测要求
“信令网安全防护检测要求”
“同步网安全防护检测要求”
《支撑网安全防护检测要求》
非核心生产单元安全防护检测要求》《电信网和互联网物理环境安全等级保护检测要求”《电借网和互联网管理安全等级保护检测要求》Ⅱ
TTTKANTKACA
YD/T2246-2011
《域名系统安全防护要求》
一《域名系统安全防护检测要求》一（网上营业厅安全防护要求\一网上营业厅安全防护检测要求”《域名注册系统安全防护要求》域名注册系统安全防护检测要求（本标准）WAP网关系统安全防护要求
WAP网关系统安全防护检测要求》电信网和互联网信息服务业务系统安全防护要求电信网和互联网信息服务业务系统安全防护检测要求《增值业务网即时消息业务系统安全防护要求》（增值业务网即时消息业务系统安全防护检测要求多本标推同时是“域名注册服务技术规范体系\系列标推之一，该系列标的结构及名称如下：域名注册服务总体技术要求款
域名注册数据存储技术要求”
域名注册服务系统安全技术要求》一域名注册系统服务水平要求
…域名注册审核要求”
域名注册协议可扩展供放协议技术要求《域名注册协议传输技术要求》一域名注册协议联系人供应技术要求》（域名注册协设域名供应技术要求一域名注册协议生机供应技术要求一域名注册系统安全防护要求
&域名注册系统安企防护检测要求多（本标准）本标准与YD/T2245-2011域名注册系统安全防护要求配套使用。随着电信网和互联网的发展，将不断补充和完誉电信网和互联网安全防护体系的相关标准。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国互联网络信息中心、工业和信息化部电信研究院。本标准主要起草人：毛伟、李晓东、李洪涛、王、徐颖、耿光刚TKAaNYKAcA
1范围
域名注册系统安全防护检测要求YD/T 2246-2011
本标准规定了公众电信网和互联网相关城名注册系统在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护检测要求。本标准适用于国内各级域名注册服务系统。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。YD/T 1755-2008
YD/T 1757-2008
3缩略语、术语和定文
3.1缩略语
电信网和互联网物理环境安全等级保护检测要求电信网和互联网管理安全等级保护检测要求下列缩略语适用丁本标准。
Distributed Denial of ServiceDenial of Service
Internet Protocol
Narne Server
Netwark Time Protocol
Transmission Control ProtocolStream Control Transrnission ProtocolSecure Sockets Layer
Extensible Provisioning Protocol3.2术语和定义
下列术语和定义适用于本标准。3.2.1
分布式拒绝服务
拒绝服务
网际协议
域名服务器
网络时间协议
传输控制协议
流控制传输协议
安全套接层
可扩展供应协议定义
域名注册系统安全等级SecurityClassificationoftheDormainNameRegistrationSystem域名注册系统安全重要程度的表征。重要程度可从城名注册系统受到破坏后，对国家安全，社会秩序、经济运行、公共利益、网络和业务运营商/服务提供商造成的损害来衡量。3.2.2
域名注册系统安全等级保护 Classlfled Securlty Protectionof the Domain Name Registratian System对域名注册系统分等级实施安全保护。TTTKONKACA
YD/T2246-2011
组织Organization
由不筒作用的个体为实施共同的业务自标而建立的结构，组织的特性在于为完成目标而分工。合作，一个单位是一个组织，某个业务部门也可以是一个组织。3.2.4
域名注册系统安全风险Security Risk of the Domain Name Reglstration System人为或自然的威胁可能利用域名注册系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。3.2.5
域名注册系统安全风险评估Security Risk Assessmant of the Dornain Narme Registration Systerm运用科学的方法和手段，系统地分析域名注册系统所面临的崴胁及其存在的跪弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解域名注册系统安全风险，或者将风险控制在可接受的水平，为最大限度地为保障域名注册系统的安全提供科学依据。3.2.6
城名注册系统资产Assetof theDomain Name Registration System域名注册系统中具有价值的资源，是安全防护保护的对象。域名注册系统中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如域名注册系统的设备、线路、数据信息等。3.2.7
城名注册系统资产价值AssetValueoftheDomalnNameRegistrationSystem域名注册系统中资产的重要程度或敏感程度。域名注册系统资产价值是域名注册系统资产的属性，也是进行域名注册系统资产识别的生要内容。3.2.8
域名注册系统威助Threat of th Dormain Name Registration Systerm可能导致对域名注册系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶意攻击。常见的域名注册系统威胁有攻击、故障、灾害等等。3.2.9
斌名注册系统脆弱性Vulnarabilityof theDomaln NameRegistration System域名注册系统中存在的弱点、缺陷与不足，不直接对域名注册系统资产造成危害，但可能被城名注册系统感助所利用从面危及域名注册系统资产的安全。3.2.10
城名注册系统灾难DisasteroftheDomainNameRegistrationSystem由于各种原因，适成域名注册系统故障或摊痪，使域名注册系统提供的服务功能停赖或服务水平不可接受、达到特定的时间的突发性事件。3.2.11
城名注册系统灾难备份BackupforDisasterRecoveryoftheDomainNameRegistrationSystem为了域名注册系统灾难恢复而对相关的要素进行备份的过程。3.2.12
TTIKANYKACA
YD/T 2246-2011
域名注册系统灾难恢复Disaster Recovery of the Domain Name Registration System为了将域名注系统从究难超成的故障或续状态复到正常运行优态惑郁分正常运行状态、开物其提供的服务功能、服务水平等从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.2.13
访谈Interview
检测人员通过与有关人员（个人/群体）进行交流、讨论等活动，获取证据以检查域名注册系统安全等级保护、域名注册系统风险评估和域注珊系统炭难备份及恢复捐关措施的潜要情说双及相关工作的开展情况的一种方法。
捡查Examination
检测人员通过对检测对象进行观察、查验和分析等活动，获取证据以检查域名注册系统安全等级保护、域名注册系统风险评估和域名注册系统灾难备份及恢复相关措施的落实情况以及相关工作的开展情况的-一种方法。
测试Testing
检测人员通过对检测对象按照预定的方法工具使其产生特定行为的活动，检查、分析输出结果，获取证据以检查域名注册系统安全等级保护、域名注册系统风险评估和城名注册系统灾难备份及恢复相关措施的落实情况以及相关工作的开展情况的一种方法，4域名注册系统安全防护检测概述4.1安全防护检测范围
本标推的检测范国包括公众电信网和互联网中提供关域名注册服务的业务系线，4.2安全防护检测对款
域名注册系统安全防护检测对象为我国的城名注册服务系统。一个完整的域名注册服务系统通常由一个域名注册数据库服务器和一至多个域名注册服务器共同组成，并且作为一个对象进行安全防护检测。域名注册系统安全等级保护的检测对象确定以后，风险评估的抢测对象、灾难备份及恢复的检测对象应与安全等级保护的检测对象相一致。4.3安全防护检测内容
与域名注册系统安全防护要求相对应，域名注册系统安全防护检测包括以下三个部分：域名注册系统安全等级保护检测主要包括业务及应用安全检测、拓扑安全检测、设备安全检测、物理环境安全检测、管理安全检测等，—域名注册系统安全风险评估检测主要包括安全风险评估范国检测、安全风险评估内容检测、安全风险评估要检测、安全风险评估赋值原则检测、安全风险评适计算方法检测、全风险评估安件类型检测和要全风险评活文件记录检测链：城名注珊系统突摊备份效碳发检测主要包括穴余系统，亢余设备及亢余链路检测、穴余路由检测，备份数据检测、人员和技术支持能力检测、运行维护管理能力检测和灾难恢复预案检测等。4.4安全防护检测结果判定
TTIKANYKACA
YT2246-2011
域名注册系统安全防护检测包括对域名注册系统的安全等级保护、安全风险评估、灾难备份及恢复三个部分的检测，应对三个部分的检测结果分别进行判定，并根据检测结果分别出具检测报告，检测报告中应其体说明安全防护工作的优势和不足。对每个部分中的每一个测试项，应根据具体实施情况进行等级化评价（分5级：很好、较好、一般、较差、很差）。参照表1将各测试项的评价等级换算成评分，各测试项的分数经过一定的算法（例如加权平均）分别得到安全等级保护、安全风险评估、灾难备份及恢复三个部分的总分数，根据总分数分别对安全等级保护、安全风险评估、灾难备份及恢复三个部分的检测结果进行等级化评定，总分数和评定等级的关系如表2所示。在计算总分数过程中，应充分考虑到各测试项在安全防护检测要求中所点的比重，候如，裘3给出了安全等级保护子类所占的比重。表1测试项评分方法
评价结果
实施很好
实较好
实施一般
实随较差
实随很差
总评分x
3.5 ≤r<4.5
2.5 ≤x3.5
1.5 然1<2.5
≤ x<1.5
比重（%)
表2总评分和评定等级的关系
表3安全等级保护子类所占的比孟5域名注册系统安全等级保护检测要求5.1第1级要求
本标准对安全等级为第1级的域名注册系统暂不作要求，5.2第2级要求
5.2.1业务及应用安全
5.2.1.1业务提供
5,2,1.1.1检测方式
访谈，检查，测试。
5.2.1.1.2检测对象
TTTKANTKACA
评定等级
安全等级保护子类
业务及应用安全
拓扑安全
设备安全
物理环境安全
管理安全
YD/T2246-2011
系统设计/验收文档，相关服务和应用管理流程文档，系统管理文档，设备管理配置记录，故障告警记录，系统运维记录，网络和业务运营商/服务提供商提供的其他文档，系统及相关设备等。5.2.1.1.3检测实施
a）应访谈系统管理员，并检查系统设计验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，捡查注册服务机构是否根据注册管理机构提供的规范数据格式提供注册信息到注册管理机构：
b）应访谈系统管理员，并检查系统设计验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，检查和测试注册系统是否具有处理并发数据请求的功能；）应访谈系统管理员，并检查系统设计验收文档、相关服务和应用管理流程、网络和业务运营商/服务提供商提供的其他文档，检查域名注册系统是否具备不间断运行的条件，检查故障告警记录、系统运维记录，检查系统运维状况，按月统计，检查注册服务的可用性是否均大于95.00%，系统业务中断时间符合网络和业务运营商服务提供商相关规定：）应访谈系统管理员，并检套系统设计验收文挡、相关服务租应用管理流程，网络和业务运管商服务提供商提供的其他文档，检查和测试注册管理机构的注册系统是否确保不能重复注册已注册的域名：e）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、网络和业务运营商，服务提供商提供的其他文档，捡查和测试名注册服务机构的注册系统在数据变更前，是否在注册服务机构和用户之间使用了密码验证，短信验证，邮件验证等多因索中的至少2种结合进行强验证，f)应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，检查和测试域名注册管理机构的注册系统在数据变更前，是否在注册管理机构和注册服务机构之间使用密码验证、安全证书验证，P限制等多因素中的至少2种结合进行强验证：g）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、网络和业务运营商！服务提供商提供的其他文档，检查注册服务机构确认其不能对外公并握供用户的注册信息：）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，检查注册管理机构和注册服务机构是否定期（频率不低于每月一次）对注册数据库进行了审计，并且生成相应记录：i）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，检查和测试是否定期对系统记录数据相关信息进行备份，以便在数据被破坏后，能够及时恢复服务，特别是恢复注册信息；j）应访谈系统管理员，并检查系统设计验收文挡、相关服务和应用管理流程、网络和业务运营商，服务提供商提供的其他文档，检查和测试注册系统日志是否定期备份，达到数据不会丢失的要求，做到操作可追溯，历史数据可统计。5.2.1.2身份鉴别
5.2.1.2.1检测方式
访谈，检查，测试。
5.2.1.2.2检测对象
统设计验收文档，相关服务和应用管理流程文档，系统管理文档，设备管理配置记录，故障告警记录，网络和业务运营商/服务提供商提供的其他文档，系统及相关设备等，5
TTTKANTKACA
YD/T2246-2011
5.2.1.2.3检测实施
a）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、网络和业务运营商，服务提供商提供的其他文档，检查和测试是否提供专用的登录控制模块对登录用户进行身份标识和鉴别；b）应访谈系统管理员，并检查系统设计验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他女挡，检查和测试是否提供用户身份标识唯一和监别信息复杂度检查功能，测试是苦能保证应用系统中不存在重复用户身份标识，身份鉴别信息是否不易被旨用：c）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程，网络和业务运营商/服务提供商提供的其他文档挡，检查和测试是否提供登录失败处理功能，测试置录失败处理措施（如结束会话、限制非法登录次数和自动退出等）是否有效：d）应访谈系统管理员，并检查系统设计/验收文档、关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，检查和测试是否启用身份鉴别、用户身份标识唯一性检查、用户身份监别息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数：e）应访谈系统管理员，并检查系统设计验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文档，检查和测试用户和注册服务机构的登陆账户口令是否有复杂度要求（使用大写字母、小写字母、数字、标点符号及特殊字符四种字符中至少二种的组合，且与用户名无相关性），并定期重换（薪周期不大于90天）。5.2.1.3访问控制
6.2.1.3.1检测方式
访谈，检查，测试。
5.2.1.3.2检测对象
系统设计验收文档，相关服务管理流程文档，系统管理文档，系统安全策略，设备管理配置记录！故障告警记录，网络和业务运营商服务提供商提供的其他文档，系统及相关设备等。5.2.1.3.3检测实施
）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和测试是否提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问b）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和测试访问控制的履盖范围是否包括与资源访问相关的主体、客体及它们之间的操作：c）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、系统安全策略，网络和业务运营商服务提供商提供的其他文档，检查和测试是否由授权主体配置访问控制策略，测试是否严格限制默认账户的访问权限；d）应访谈系统管理员，并检查系统设计/验收文档、相关服务和应用管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和测试是否授予不同账户为完成各自承担任务所帮的最小权限，测试不同账户问是否存在相互制约的关系：e）应访谈系统管理员：并检查系统设计验收文档、相关服务和应用管理流程、网络和业务运营商服务提供商提供的其他文挡，检查和测试域名注册服务的传输控制是否建立在TCP或SCTP之上。6
TTTKANTKACA
5.2.1.4安全审计
5.2.1.4.1检测方式
访谈，检查。
5.2.1,4.2捡测对象
YD/T2246-2011
系统设计验收文档，相关服务管理流程文档，系统管理文档，系统安全策略，故障告警记录，审计记录及报告，网络和业务运营商/服务提供商提供的其他文档，系统及相关设备等。5.2.1.4.3检测实施
a）应访谈系统管理员，并检查系统设计/验收文挡、相关服务管理流程、系统安全策略、审计记录及报告，网络和业务运营商/服务提供商提供的其他文档，检查是否提供覆盖到每个系统账号的安全审计功能，是否对应用系统董要安全事件进行审计；b）应访谈系统管理员，并检查系统设计验收文档、相关服务管理流程、系统安全策略、审计记录及报告，网络和业务运营商/服务提供商提供的其他文档，检查是否能保证无法删除，修改或履盖审计记：
℃）应访谈系统管理员，并检查系统设计验收文档、相关服务管理流程、系统安全策略、审计记录及报告、网络和业务运营商/服务提供商提供的其他文档，检查审计记录的内容是否至少包括事件日期、时间、发起者信息、类型、描述和结果等。5.2.1.5通信数据安全性
5.2.1.5.1检测方式
访谈，检查，测试。
5.2.1.5.2检测对象
系统设计验收文，相关服务管理流程文档，系统管理文档，系统安全策略，设备管理配置记录！网络和业务运营商/服务提供商提供的其他文档：系统及相关设备等。5.2.1.5.3检测实施
）应访谈系统管理员，并检查系统设计/验收文档、相关系统管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档：检查和测试是否对系统用户的登录会话进行有效的初始验证：b应访谈系统管理员，并检查系统设计验收文档，相关系统管理程、系统安全策略、络和业务运营商/服务提供商提供的其他文档，检查和测试注册系统之间是否基于SSL安全链路交互：c）应访谈系统管理员：并检查系统设计/验收文档、相关系统管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和满试注册系统是否基于EPP：d）应访谈系统管理员，并检查系统设计验收文档、相关系统管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和测试否采用内外网隔离或加密等保护措施避免域名注册数据在公共互联网上明文传输。5.2.1.6盗源控制
5.2.1.6.1检测方式
访谈，检查，测试。
5,2.1.6.2检测对象
YD/T2246-2011
系统设计/验收文档，相关服务管理流程文档，系统管理文档，系统安全策略，网络和业务运营商，服务提供商提供的其他文档，系统及相关设备等。5.2.1.6.3检测实施
B）应访谈系统管理员：并检查系统设计/验收文档，相关服务管理流程、系统安全策略、网络和业务运营商服务提供商提供的其他文档，检查和测试当系统通信会话双方中的一方在一段时间内未作任何响应时，另一方是否能够自动结束会话b）应访谈系统管理员，并检查系统设计/验收文档、相关服务管理流程、系统安全策略、网络和业务运营商服务提供商提供的其文挡，检查利试是香对系统的最大并发会话连接教进行有效限制：c）应访谈系统管理员，并捡查系统设计/验收文挡，相关服务管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和测试是否能够对单个账户的多重并发会话进行限制。5.2.2拓扑安全
5.2.2.1结构安全
5.2.2.1.1检测方式
访谈，检查，测试。
5.2.2.1.2检测对象
系统设计验收文档，相关服务管理流程文挡，系统管理文档，系统安全策略，系统拓扑图，设备管理配置记录，故障告警记录，网络和业务运营商/服务提供商提供的其他文档，系统及相关设备等。5.2.2.1.3检测实施
）应访谈系统管理员，并检查系统设计/验收文档、系统拓扑图、网络和业务运营商/服务提供商提供的其他文档，检查是否有与当前运行情况相符的系统拓扑结构图；b）应访谈系统管理员，并检查系统设计验收文档、系统拓扑图、网络和业务运营商/服务提供商提供的其他文档，检查和测试在指定服务域内，是否具有2台以上的服务器提供域名注册服务：c）应访谈察统管理员，并检查系统设计/验收文档、相关服务管理流程、系统安全策略、网络和业务运商/服务提供商提供的其他文档，检查是否根据业务的特点，合理设计出口带宽，系统的带宽是否满足商峰期业务流量的需求：
d）应访谈系统营理员，并检查系统设计验收文档、相关服务管理流程、系统安全策略、网络和业务运营商/服务提供商提供的其他文档，检查和测试提供远程算理功能时是否采取加密、专线等措施保障信息不被窃听。
5.2.2.2访问控制
5.2.2.2.1检测方式
访谈，检查，测试。
5.2.2.2.2检测对象
系统设计验收女档，相关服务管理流程文档，系统管理文档，系统安全策略，设备管理配置记录，故障告警记录，网络和业务运营商/服务提供商提供的其他文档，系统及相关设备等。5.2.2.2.3检测实施
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。