【YD通讯标准】 互联网数据中心和互联网接入服务信息安全管理系统接口规范

ICS33.040
中华人民共和国宝通信行业标准YD/T2405-2015
代替YD/T2405-2012
互联网数据中心和互联网接入服务信息安全管理系统接口规范
Interfacestandard of information security management systemforInternetdatacenter/Internetserviceprovider2015-04-30发布
2015-04-30实施
中华人民共和国工业和信息化部发布前
规范性引用文件
术语和定义
缩略语.
接口功能要求.
基础数据管理
访问日志管理.
信息安全管理.
代码表发布功能..
ISMS状态报告功能
7接口流程.
通信方式
管理指令处理流程..
查询指令处理流程.
数据上报流程
8接口方法定义.
8.1idc_commando方法
8.2idc_commandack(方法
8.3file_load方法.
9编码说明.
互联网IP地址编码.
ICP备案号.
数据代码表
接入方式代码表..
单位属性代码表..
证件类型代码表..
机房性质代码表..
代理类型代码表.
服务内容代码表
f........
监测规则及过滤规则代码表，
违法违规情况表
......
YD/T2405-2015
YD/T2405-2015
10.9登记备案属性代码表
10.10指令优先级代码表..
数据交换内容描述
数据格式及匹配要求.
基础数据查询指令内容..
基础数据上报内容.
基础数据监测数据上报内容..
访问日志查询指令内容..
访问日志查询结果上报内容...
违法信息安全管理指令内容.
违法信息监测记录上报内容
违法信息过滤记录上报内容...
代码表发布指令内容..
指令执行情况上报内容.
ISMS活动状态上报内容
WebService方法调用返回文件内容.基础数据核验处理指令内容..
免过滤网站列表指令内容
违法网站列表指令内容..
活跃资源监测数据上报内容.
违法违规网站监测数据上报内容..活跃资源访问量查询指令内容
11.20违法管理指令执行记录指令..附录A（规范性附录）XML文件格式定义.Ⅱ
......
HiiKAoiKAca
本标准按照GB/1.1-2009给出的规则起草。YD/T2405-2015
本标准是”互联网数据中心和互联网接入服务信息安全管理系统”系列标准之一，本系列标准的结构和名称如下。
1.《互联网数据中心和互联网接入服务信息安全管理系统技术要求》2.《互联网数据中心和互联网接入服务信息安全管理系统接口规范》3.《互联网数据中心和互联网接入服务信息安全管理系统与接口测试方法》本标准代替YD/T2405-2012《互联网数据中心和互联网接入服务信息安全管理系统接口规范》。与YD/T2405-2012相比主要技术变化如下。一第2、3、4章中更新了本标准有关的规范性引用文件、术语和定义、缩略语；一第6章中更新和补充了基础数据核验处理、活跃资源监测/查询、违法网站/免过滤网站列表、核验处理等功能描述；
一第7章中补充了数据上报和处理结果代码；一第8章中更新了接口方法有关参数和描述；一第10章中新增了指令优先级代码表，对不同指令的优先级别做出了规定；第11章中删减了基础数据管理指令内容、信息安全管理指令内容、监测日志上报内容、过滤日志上报内容、信息安全管理指令查询指令内容、信息安全管理指令查询结果上报内容，补充和调整了基础数据查询指令内容、违法信息安全管理指令内容、违法信息监测/过滤记录上报内容、基础数据核验处理指令内容、免过滤网站列表指令内容、违法网站列表指令内容、活跃资源监测数据上报内容、违法违规网站监测数据上报内容、活跃资源访问量查询指令内容、违法管理指令执行记录指令内容等格式要求一附录A中更新和补充了有关消息的文件格式定义。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：国家计算机网络应急技术处理协调中心、工业和信息化部电信研究院、天津市通信管理局、山东省通信管理局、河北省通信管理局、北京市通信管理局、浙江省通信管理局、云南省通信管理局、江苏省通信管理局、安徽省通信管理局。本标准主要起草人：张新、李冠华、魏亮、马竹青、戴荣惠、刘善武、彭士涛、朱文君、干萌、赵云、许明峰、舒敏、杨剑锋、苗琳、宋海彬、钱康、张昊星、罗成、柳青、强倩。本标准于2012年首次发布，本次为第一次修订。I
iiKAoiKAca
1范围
互联网数据中心和互联网接入服务信息安全管理系统接口规范
YD/T2405-2015
本标准规定了互联网数据中心和互联网接入服务类业务相关信息安全管理系统与电信管理部门依照国家法律法规授权建设的信息安全管理系统间接口的功能要求、数据通信要求及数据交换格式等。本标准适用于提供包括但不限于业务机房及配套设施租赁、服务器托管和租用、虚拟主机等服务的IDC业务经营者及为互联网信息服务提供者提供互联网接入服务的ISP业务经营者所建设的业务信息安全管理系统。
2规范性引用文件
下列文件对于本标准的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本标准。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本标准。中华人民共和国行政区划代码
GB/T2260-2007
YD/T2248-2015
3术语和定义
互联网数据中心和互联网接入服务信息安全管理系统技术要求YD/T2248-2015界定的术语和定义适用于本文件4缩略语
下列缩略语适用于本文件。
5概述
File Transfer Protocol
Internet Data Center
Internet ContentProvider
Internet Service Provider
Internet Protocol
Information SecurityManagement InterfaceInformation Security Management SystemSecurityMonitorManagementSystemUniform Resource Locator
Extensible Mark-up Language
文件传输协议
互联网数据中心
互联网内容提供商
互联网服务提供商
互联网协议
信息安全管理接口
信息安全管理系统
安全监管系统
统一资源定位符
可扩展标记语言
IDC/ISP信息安全管理系统接口（ISMI）是IDC/ISP企业侧信息安全管理系统（ISMS）与电信管理部门侧安全监管系统（SMMS）之间的接口，主要功能包括基础数据管理、访问日志管理、信息安全管理、代码表发布等。
HiiKAoNiKAca
YD/T2405-2015
ISMI包括命令通道和数据通道。SMMS通过命令通道下发指令给ISMS，ISMS通过数据通道上传数据给SMMS
ISMI与ISMS、SMMS之间的关系，如图1所示。IDCISI经营者
IDCISP信息安全
管理系统
(ISMS)
IDCISP经营者
IDCISP信息安全
管理系统
(ISMS)
信息安全管理接口
(ISMD)
电信管理部门
安全监管系统
(SMMS)
图1信息安全管理接口示意
每个IDC/ISP经营者应建设一个统一的ISMS，并通过一个ISMI与SMIMS对接，以实现对其所管辖范围内所有IDC业务机房/ISP业务节点的管理。本标准中所有未指明的机房均泛指IDC业务机房或ISP业务节点。本标准仅规定了ISMI的功能要求、接口流程、接口方法及数据交换格式定义,ISMS系统技术要求见YD/T2248。本标准中未明确的技术细节由ISMS根据SMMS的要求实现。SMMS的技术要求不在本标准中规定。6接口功能要求
6.1基础数据管理
基础数据管理包括基础数据上报与查询、基础数据异常监测，如图2所示。基础数据上报与查询
ISMS主动上报基础资源
数据新增或者变更的数据
SMMS核验存有
基础数据上报与查询
异常的基础资源数据
ISMS对SMMS核验存有
异常的基础资源数据重新上报
SMMS实时查询基础资源数据
ISMS根据SMMS查询
需求上报基础资源数据
基础数据异常监测
ISMS定时主动上报
基础数据异常监测记录
SMMS下发基础数据查询指令
ISMS根据SMMS指令要求
上报基础数据异常监测记录
图2基础数据管理
基础数据记录包括IDC/ISP经营单位、IDC/ISP业务客户有关主体信息记录以及IDC/ISP业务经营单位所辖全部IDC业务机房/ISP业务节点有关的资源信息记录。ISMS应在本地新增基础数据或更新基础出数据2
iiKAoiKAca
YD/T2405-2015
后同步将新增数据记录或含修改内容的数据记录上报给SMMS，上报消息格式见11.3。同时，ISMS能根据SMMS的上报基础数据信息核验反馈指令，对存在异常的记录及时进行补正并重新上报，核验结果反馈消息格式见11.14，上报消息格式见11.3。ISMS应支持SMMS针对特定记录的实时查询。SMMS通过ISMI接口向ISMS下发基础数据查询指令的方式实现基础数据查询。基础数据查询消息格式见11.2、上报消息格式见11.3。基础数据异常监测
ISMS应对基础数据异常情况进行监测并形成基础数据监测异常记录。基础数据监测异常记录应定时通过ISMI自动上报并支持SMMS的实时查询。SMMS通过ISMI接口向ISMS下发基础数据查询指令的方式实现基础数据监测异常记录的查询功能，有关的基础数据监测异常记录的查询消息格式见11.2，上报消息格式见11.4。6.2访问志管理
ISMS应基于外部访问用户对IDC/ISP接入互联网业务客户有关应用和服务的访问行为，完整记录和统计访问信息，形成访问日志，并供SMMS查询，如图3所示。访问日志管理
SMMS下发访问日志指令
ISMS根据SMMS查询
需求上报访问日志
图3访问日志管理
SMMS通过ISMI接口向ISMS下发访问日志查询指令的方式实现访问日志的查询功能，有关的访问日志查询消息格式见11.5，上报消息格式见11.6。6.3信息安全管理
SMMS通过ISMI接口向ISMS下发信息安全管理指令和查询指令，实现活跃资源监测管理、违法违规网站管理、违法信息监测和处置等功能，如图4所示。活跃资源监测管理功能：ISMS应自动实现对机房内全部活跃域名、活跃IP地址访问量的监测和统计，并将记录信息主动定时上报给SMMS。同时，ISMS应支持SMMS针对特定域名和IP地址访问量的实时查询。有关上报消息格式见11.17、查询消息格式见11.19。违法违规网站管理功能：ISMS应能根据SMMS下发的违法网站列表实现违法违规网站发现和处置功能，对违法违规网站监测和处置情况进行记录。监测记录应定时通过ISMI自动上报并支持SMMS的实时查询。有关违法网站列表消息格式见11.16、免过滤网站列表消息格式见11.15、监测/处置记录上报消息格式见11.18、查询消息格式见11.20、管理指令执行情况上报消息格式见11.11。违法信息监测功能：ISMS应对IDC/ISP的双向流量数据进行监测，根据具体的违法信息监测指令对发现的违法信息进行记录。监测记录应实时通过ISMI自动上报并支持SMMS的查询。有关监测指令消息格式见11.7，监测记录上报格式见11.8，查询消息格式见11.20，管理指令执行情况上报消息格式见11.11。违法信息过滤处置功能：ISMS应对IDC/ISP的双向流量数据进行监测，根据具体的违法信息过滤指令对发现的违法信息进行过滤处置，并进行记录。处置记录应实时通过ISMI自动上报并支持SMMS3
TiiKAoNiKAca
YD/T2405-2015
的查询。有关过滤处置指令消息格式见11.7，过滤记录上报格式见11.9，查询消息格式见11.20，管理指令执行情况上报消息格式见11.11。活跃资源监测管理
ISMS定时主动上报
活跃资源监测记录
6.4代码表发布功能
SMMS下发特定域名或者
IP地址访问量的实时查询
ISMS根据SMMS指令要求上报特定域名或者IP地址访问量的实时记录违法违规网站管理
ISMS定时主动上报违法违规网站记录违法信息监测
SMMS下发过滤指令
ISMS根据SMMS指令要求将
监测记录实时自动上报给SMMS
SMMS下发监测执行记录指令
ISMS根据SMMS指令要求将监测执行情况自动上报给SMMS
违法过滤处置
SMMS下发过滤指令
ISMS根据SMMS指令要求将违法信息进行过滤并将记录自动实时上报给SMMSSMMS下发过滤执行记录指令
ISMS根据SMMS指令要求将违法信息过滤执行情况自动上报给SMMS
图4信息安全管理
SMMS通过代码表发布指令，将系统所用代码数据全量下发给ISMS，ISMS依据SMMS下发的代码更新本地代码，如图5所示。有关的代码表发布消息格式见11.10，指令执行情况上报消息格式见11.11。代码表发布
6.5ISMS状态报告功能
SMMS下代码表指令
图5代码表发布功能
iiikAoNiKAca
YD/T2405-2015
ISMS应每10min通过FTP方式向SMMS报告其状态信息，状态信息包括ISMS下级机房数目、出现异常的机房及对应机房ID，如图6所示。ISMS状态信息上报数据格式见11.12。ISMS状态报告
7接口流程
7.1通信方式
ISMI包括命令通道和数据通道。ISMS每10min自动上报状态信息
图6ISMS状态报告功能
命令通道采用WebService方式，SMMS通过调用ISMI接口方法将管理指令等下发给ISMS，管理指令处理流程见7.2，查询指令流程见7.3，接口方法见8.1、8.2；数据通道采用FTP方式，ISMS使用FTP协议或SFTP协议将数据文件上报给SMIMS，数据上报流程见7.4，接口方法见8.3。
7.2管理指令处理流程
SMMS通过管理指令完成对ISMS基础数据核验处理、违法网站和免过滤网站列表管理、违法信息监测和处置指令管理以及代码更新管理等功能。SMMS将管理指令发送到ISMS后，等待接收ISMS反馈的指令生效反馈信息。
管理指令处理流程如下（如图7所示）。1. ido_command
2.idc_command返回
3.idc_commanidack
4.idc_commaidatk返回
5.file_load
图7管理指令处理流程示意
、2、3、4使用
指令通道
WebService实现
-5使用数据通道
用FTP方式实现
步骤1SMMS系统调用idc_commandO方法，将指令下发至ISMS。指令以XML文件的格式封装步骤2ISMS接收SMMS下发指令，进行认证和信息校验，完成信息校验后保存指令，并在同一连接内及时反馈指令接收是否成功的信息（见11.13）：如果ISMS没有成功收到下发命令，SMMS则需要重新下发指令；
步骤3ISMs在约定时间内执行指令，将指令生效的结果信息通过调用idc_commandackO方法返回给SMMS，返回的内容是以XML文件的格式封装的结果（见11.11）；5
TiiKAoNiKAca
YD/T2405-2015
步骤4SMMS接收ISMS的指令生效结果信息，完成信息校验后进行保存，并在同一连接内及时反馈接收情况（见11.13）：如SMMS没有成功收到指令生效信息，ISMS需要重新上报指令生效结果信息步骤5如果下发的指令需要上报数据，则ISMS调用数据上报流程上报数据。7.3查询指令处理流程
SMMS通过查询指令查询ISMS的基础数据记录及其监测异常记录、访问日志记录、活跃资源监测记录、违法违规网站监测记录、违法信息监测和处置记录等。符合查询条件的数据记录通过数据上报流程异步上报到SMMS。SMMS按查询指令流程实现ISMS上报基础数据记录核验结果的反馈查询指令处理流程如下（如图8所示）。1. ide_ccmmand
2.ide_command返回
3. file_load
图8查询流程示意
1、2使用指令通
道，用WebService实
-3使用数据通道
用FTP方式实现
步骤1SMMS系统调用idc_commandO方法，将查询指令下发至ISMS。指令以XML文件的格式封装；
步骤2ISMS接收SMMS下发的查询指令，对指令进行信息校验。完成校验后保存查询指令，并在同一连接内及时反馈指令接收情况（见11.13）；如ISMS没有成功接收到下发命令，SMMS则需要重新下发；
步骤3查询的结果信息通过调用数据上报流程返回查询结果。7.4数据上报流程
数据上报流程中上报的数据包括基础数据记录、基础数据监测异常记录、访问日志记录、活跃资源监测记录、违法违规网站监测记录、违法信息监测和处置记录以及ISMS活动状态等。SMMS为每个ISMS创建一个根目录，为便于描述，下文用idc_home表示该目录，ISMS负责维护自己的根目录。上报数据文件的存放路径规则为：/idc_home/上报数据类型代码/上报日期/。其中，上报数据类型共计9种，对应的代码表见表1，日期采用yyyy-MIM-dd的格式编写。文件以生成时间命名且应带有.xml后缀名，生成时间用1970年1月1日到文件生成时的秒数表示（如，”生成时间.xml”形式）。ISMS通过数据通道将上报的数据放到SMMS的相应自录下。数据上报文件大小的要求为单个上报数据文件必须小于12M字节，如上报数据量较大，可分拆为多个文件。每个根目录下除了表1中所列的数据上报目录以外，还应有一个名为999的目录，用来存放SMIMS生成的上报文件处理结果。特定上报文件的处理结果文件存放路径为：/idc_home/999/数据类型代码-对应的文件原名一处理结果代码。SMMS生成数据上报处理结果为UTF-8编码的纯文本文件，文件内容为处理结果的必要描述，文件原名不含后缀（如，”上报数据类型代码一上报数据文件名一处理结果代码形式）。其中，数据类型代码见表1，处理结果代码见表2。6
数据上报类型代码表
上报数据类型
基础数据记录
基础数据监测异常记录
访问日志查询记录
违法信息监测记录
违法信息过滤记录
（保留）
ISMS活动状态
活跃资源监测记录
违法违规网站监测记录
表2上报文件处理结果代码
上报数据类型
处理完成
文件解密失败bzxZ.net
文件校验失败
文件解压缩失败
文件格式异常
文件内容异常（版本错误）
文件内容异常
文件内容异常
文件内容异常
文件内容异常
文件内容异常
上报类型错误
节点/子节点长度错误
节点/子节点类型错误
节点/子节点内容错误
节点/子节点缺漏
其他异常（存在其他错误，需重新上报）其他异常（处理中）
YD/T2405-2015
每个ISMS在数据上报目录下有新建和写入权限，无删除权限：而在上报文件处理结果目录下有删除权限，无新建和写入权限。
数据上报的具体流程如下（如图9所示）。1.file_load
2.处理结果文件下载
数据上报流程
使用数据通
道，用FTP方式
ISMS调用file_load方法（见8.3），将原步骤1ISMS产生上报数据并以XML文件的格式封装，始的上报数据经过压缩加密封装后仍以XML格式传送至SMMS：步骤2SMMS对上报的数据信息进行信息认证，如果认证成功则对上报的信息进行解密、解压等
过程，得到原始上报数据，并进行相应处理；7
YD/T2405-2015
步骤3处理结束后，SMMS应生成相应的处理结果文件步骤4ISMS应在完成上报数据文件传送后及时获取SMMS对相应上报数据的处理结果解决文件处理过程中产生的错误和异常，并重新进行数据上报流程。通常情况下，SMMS对上报数据处理的时长不超过10min（如遇极端情况，SMMS应在10min内通过代码999”的处理结果文件告知ISMS相应上报数据仍在处理过程中）。
8接口方法定义
8.1idc_command()方法
8.1.1方法原型
publicStringidc_command(Stringidcld,StringrandVal,StringpwdHash,Stringcommand,StringcommandHash,Int commandType,Long commandSequence, IntencryptAlgorithm,InthashAlcompressionFormat, String commandVersion)。8.1.2服务请求地址
http:/ISMS服务器IP地址/IDCWebService/idcCommand?wsdl。8.1.3参数描述
本方法共使用11个参数，各项参数的描述如表3所示。表3idc_command()方法参数
参数名称
randVal
pwdHash
command
commandHash
commandType
参数类型
字符串
字符串
字符串
字符串
字符串
参数描述
hm,Int
IDC/ISP经营者ID，采用电信管理部门颁发的IDC/ISP许可证号，长度上限是18字节SMMS调用该方法时生成的随机字符串，长度上限是20字节将用户口令和随机字符串连接后使用hashAlgorithm指定的哈希算法进行哈希运算，然后进行base64编码得到的结果。
用户口令由设备所在SMMS维护管理，长度至少为6字节，最多32字节对指令文件使用compressionFormat指定的压缩算法进行压缩，再对压缩后的信息按照encryptAlgorithm参数的要求进行加密，然后进行base64编码运算得到的结果；指令包括基础数据查询指令（见11.2节）、基础数据核验处理指令（11.14节）、访问日志查询指令（见11.5节）、信息安全管理指令（见11.7节、11.15节、11.16节），代码表发布指令（见11.10节）和信息安全查询指令（见11.18、11.19节、11.20节）对指令文件使用compressionFormat指定的压缩算法进行压缩，压缩后串接消息认证密钥，然后使用hashAlgorithm指定的哈希算法进行哈希运算得到哈希值，并对哈希值进行base64编码运算形成commandHash，用于验证完整性。消息认证密钥由SMMS与ISMS事先配置确定，长度至少为20字节，最多32字节指令类型如下。
0：基础数据管理指令（基础数据核验处理指令）；1：访问日志查询指令：
2：信息安全管理指令（违法网站列表管理指令、免过滤网站列表管理指令、违法信息监测和处置指令管理指令）；
3：保留
4：代码表发布指令
5：基础数据查询指令（基础数据记录查询指令、基础数据监测异常记录查询指令）6：信息安全查询指令（活跃资源监测记录查询指令、违法违规网站监测记录查询指令、违法信息监测和处置记录查询指令）
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。