【YD通讯标准】 互联网数据中心(IDC)安全防护要求

ICS35.110
中华人民共和国通信行业标准
YD/T2584-2015
代替YD/T2584-2013
互联网数据中心（IDC）安全防护要求Security protection reguirements forthe Internet data center2015-04-30发布
2015-04-30实施
中华人民共和国工业和信息化部发布前言
1范围
2规范性引用文件…
3术语、定义和缩略语
3.1术语和定义.
3.2缩略语*
4互联网数据中心（IDC）安全防护概述目
4.1互联网数据中心（IDC）安全防护范围4.2互联网数据中心（IDC）安全风险分析.4.3互联网数据中心（IDC）安全防护内容：5互联网数据中心（IDC）安全防护要求5.1第1级要求
5.2第2级要求*
5.3第3级要求·
5.4第4级要求·
5.5第5级要求
附录A（规范性附录）互联网数据中心（IDC）安全风险分析YD/T2584-2015
YD/T2584-2015
本标准是“电信网和互联网安全防护体系”系列标准之一，该系列标准的结构及名称预计如下：1.《电信网和互联网安全防护管理指南》2.《电信网和互联网安全等级保护实施指南》3.《电信网和互联网安全风险评估实施指南》4.《电信网和互联网灾难备份及恢复实施指南》5.《固定通信网安全防护要求》6.固定通信网安全防护检测要求7.《移动通信网安全防护要求》8.《移动通信网安全防护检测要求》9.《互联网安全防护要求》
10.《互联网安全防护检测要求》11.《增值业务网一消息网安全防护要求》12.《增值业务网一消息网安全防护检测要求》13.《增值业务网一智能网安全防护要求》14.《增值业务网一智能网安全防护检测要求》15.《接入网安全防护要求》
16.《接入网安全防护检测要求》17.《传送网安全防护要求》
18.《传送网安全防护检测要求》19.《IP承载网安全防护要求》
20.《IP承载网安全防护检测要求》21.《信令网安全防护要求》
22.《信令网安全防护检测要求》23.《同步网安全防护要求》
24.《同步网安全防护检测要求》25.《支撑网安全防护要求》
26.《支撑网安全防护检测要求》27.《非核心生产单元安全防护要求》28.《非核心生产单元安全防护检测要求》29.《电信网和互联网物理环境安全等级保护要求》30《电信网和互联网物理环境安全等级保护检测要求》31.《电信网和互联网管理安全等级保护要求》32.《电信网和互联网管理安全等级保护检测要求》TiiKAoNiKAca
33.《域名系统安全防护要求》
34.《域名系统安全防护检测要求》35.《网上营业厅安全防护要求》36.《网上营业厅安全防护检测要求》37.《WAP网关系统安全防护要求》38.《WAP网关系统安全防护检测要求》39.《电信网和互联网信息服务业务系统安全防护要求》40.《电信网和互联网信息服务业务系统安全防护检测要求》41.《增值业务网即时消息业务系统安全防护要求》42.《增值业务网即时消息业务系统安全防护检测要求》43.《域名注册系统安全防护要求》44.（域名注册系统安全防护检测要求》45.《移动互联网应用商店安全防护要求》46.《移动互联网应用商店安全防护检测要求》47.《互联网内容分发网络安全防护要求》48.《互联网内容分发网络安全防护检测要求》49.（互联网数据中心安全防护要求》（本标准）50.《互联网数据中心安全防护检测要求》51.《移动互联网联网应用安全防护要求》52.《移动互联网联网应用安全防护检测要求》53.《公众无线局域网安全防护要求》54.《公众无线局域网安全防护检测要求》55.《电信网和互联网安全防护基线配置要求及检测要求网络设备》56.《电信网和互联网安全防护基线配置要求及检测要求安全设备》57.《电信网和互联网安全防护基线配置要求及检测要求操作系统》58.《电信网和互联网安全防护基线配置要求及检测要求数据库》59.《电信网和互联网安全防护基线配置要求及检测要求中间件》60.《电信网和互联网安全防护基线配置要求及检测要求WEB应用系统》61.《电信和互联网用户个人电子信息保护通用技术要求和管理要求》62.《电信和互联网用户个人电子信息保护检测要求》63.《互联网接入服务安全防护要求》64.《互联网接入服务安全防护检测要求》65.《网络交易安全防护要求》
66.《网络交易安全防护检测要求》67.《邮件系统安全防护要求》
68.《邮件系统安全防护检测要求》本标准按照GB/T1.1-2009给出的规则起草。YD/T2584-2015
HiiKAoiKAca
YD/T2584-2015
本标准是YD/T2584-2013《互联网数据中心（IDC）安全防护要求》的修订版本。本标准与YD/T2584-2013的主要差异在于：
1.本标准第2章更新并新增了规范性引用文件：2.本标准第3.1条更新了互联网数据中心（IDC）的定义，增加和删除了部分术语和定义；3.本标准第3.2条更新了适用于本标准的缩略语：4.本标准第4.2条修改了安全风险分析的部分内容：5.本标准第4.3条重新定义了安全防护内容；6.本标准第5章将第3.1级要求和3.2级要求合并为第3级要求；7.本标准第5章将原有的“安全域边界安全”“集中运维安全管控系统安全”章节并入现在“网络安全”下的“网络结构”和“网络管理”章节，主要涉及5.1.1、5.2.2、5.3.2小节；8.本标准第5章将原有“灾难备份以及恢复”章节并入现在“网络安全”下的“网络保护与恢复”章节，主要涉及5.2.2.5、5.3.2.5条：9.本标准第5章将原有“网络安全”章节下的“访问控制”、“安全审计”并入现在“网络安全”下的网络管理”章节，主要涉及5.1.1.2、5.2.2.2、5.3.2.2条：；10.本标准第5章网络安全”下增加了“网络安全监测”章节，主要涉及5.1.1.4、5.2.2.4、5.3.2.4条：
11.本标准第5章“网络安全”章节下的“网络设备防护”以及“主机安全”、“中间件安全”章节中的部分安全防护要求引用了相关标准，主要涉及5.2.2.6、5.3.2.6条及5.2.3、5.2.4、5.3.3、5.3.4小节；12.本标准第5章“管理安全”下新增了“风险评估要求”和“灾难恢复预案”，主要涉及5.2.6.4、5.3.6.1、5.3.6.2条
13.本标准第5章增加、删除、修改了部分安全防护要求。随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院、中国电信集团公司、中国移动通信集团公司、中国联合网络通信集团有限公司、国家计算机网络应急技术处理协调中心、北京奇虎科技有限公司、国瑞数码安全系统有限公司、方正宽带网络服务股份有限公司。本标准主要起草人：崔涛、魏薇、王昕、高胜、渠凯、杨晓光、贾亦辰、白健、张振涛、陈莹。
本标准于2013年7月首次发布，本次为第一次修订。IV
HiiKAoiKAca
1范围
互联网数据中心（IDC）安全防护要求YD/T2584-2015
本标准规定了互联网数据中心（IDC）分安全保护等级的安全防护要求，涉及到业务安全、网络安全、主机安全、中间件安全、物理安全和管理安全。本标准适用于公众电信网和互联网中的互联网数据中心（IDC）。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用手本文件，YD/T1099-2013
YD/T1627-2007
YD/T1255-2013
YD/T1629-2007
YD/T1096-2009
YD/T1097-2009
YD/T1358-2005
YD/T1359-2005
YD/T1478-2008
YD/T1731-2008
YD/T1754-2008
YD/T1756-2008
YD/T2698-2014
YD/T2700-2014
YD/T2701-2014
YD/T2702-2014
《以太网交换机技术要求》
《以太网交换机设备安全技术要求》《具有路由功能的以太网交换机技术要求》《具有路由功能的以太网交换机设备安全技术要求》《路由器设备技术要求一一低端路由器》《路由器设备技术要求高端路由器》《中低端路由器安全技术要求》《高端路由器安全技术要求》
《电信管理网安全技术要求》
《电信网和互联网灾难备份及恢复实施指南》《电信网和互联网物理环境安全等级保护要求》《电信网和互联网管理安全等级保护要求》《电信网和互联网安全防护基线配置要求及检测要求网络设备》《电信网和互联网安全防护基线配置要求及检测要求数据库》《电信网和互联网安全防护基线配置要求及检测要求操作系统》《电信网和互联网安全防护基线配置要求及检测要求中间件》YD/T2703-2014
《电信网和互联网安全防护基线配置要求及检测要求WEB应用系统》3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件：3.1.1
互联网数据中心（IDC）IntemetDataCenter利用相应的机房设施，以外包出租的方式为用户的服务器等互联网或其他网络相关设备提供放置、代理维护、系统配置及管理服务，以及提供数据库系统或服务器等设备的出租及其存储空间的出租、通HiiKAoiKAca
YD/T2584-2015
信线路和出口带宽的代理租用和其他应用服务。互联网数据中心业务经营者应提供机房和相应的配套设施，并提供安全保障措施。
互联网数据中心（IDC）安全等级SecurityClassificationofIDC互联网数据中心（IDC）安全重要程度的表征。重要程度可从互联网数据中心（IDC）受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.1.3
互联网数据中心（IDC）安全等级保护ClassifiedSecurityProtectionofIDC对互联网数据中心（IDC）分等级实施安全保护。3.1.4
组织Organization
由不同作用的个体为实施共同的业务目标而建立的机构，组织的特性在于为完成目标而分工、合作：一个单位是一个组织，某个业务部门也可以是一个组织。3.1.5
互联网数据中心（IDC）安全风险SecurityRiskofIDC人为或自然的威胁可能利用互联网数据中心（IDC）中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
互联网数据中心（IDC）安全风险评估SecurityRiskAssessmentofIDC运用科学的方法和手段，系统地分析互联网数据中心（IDC）所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解互联网数据中心（IDC）安全风险，或者将风险控制在可接受的水平，为最大限度地为保障互联网数据中心（IDC）的安全提供科学依据。3.1.7
互联网数据中心（IDC）资产AsSetofIDC互联网数据中心（IDC）中具有价值的资源，是安全防护保护的对象。互联网数据中心（IDC）中的资产可能是以多种形式存在，无形的、有形的，硬件，软件，包括物理布局，通信设备，物理线路、数据，软件，文档，规程、业务，人员，管理等各种类型的资源，如互联网数据中心（DC）Web服务器等。
互联网数据中心（IDC）威胁ThreatofIDC可能导致对互联网数据中心（IDC）产生危害的不希望事故潜在起因，它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶意攻击。常见的互联网数据中心（IDC）威胁有黑客入侵、硬件故障、人为操作失误、火灾、水灾等等。3.1.9
互联网数据中心（IDC）脆弱性VulnerabilityofIDC2
TiiKAoNiKAca
YD/T2584-2015
互联网数据中心（IDC）中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危害资产的安全。
互联网数据中心（IDC）灾难DisasterofIDC由于各种原因，造成互联网数据中心（IDC）故障或瘫痪，使互联网数据中心（IDC）的功能停顿或服务水平不可接受的突发性事件。3.1.11
互联网数据中心（IDC）灾难备份BackupforDisasterRecoveryofIDC为了互联网数据中心（IDC）灾难恢复而对相关网络要素进行备份的过程。3.1.12
互联网数据中心（IDC）灾难恢复DisasterRecoveryofIDC为了将互联网数据中心（IDC）从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.1.13
互联网数据中心（IDC）客户CustomerofIDC通过购买IDC服务以满足其业务需求的群体。3.1.14
中间件Middleware
一种独立的系统软件或服务程序，中间件位于客户机/服务器的操作系统之上，管理计算机资源和网络通讯，是连接两个独立应用程序或独立系统的软件，针对不同的操作系统和硬件平台，中间件可以有符合接口和协议规范的多种实现。实现互联网数据中心（IDC）功能的应用程序运行在中间件之上，此时中间件包括Web服务器和应用服务器功能模块。3.1.15
跨站脚本攻击Cross-SiteScripting入侵者在远程Web页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行，从而威胁用户浏览过程的安全。3.1.16
SQL注入攻击SQLInjectionAttack攻击者构造恶意的字符串，欺骗应用系统用于构造数据库查询语句并执行，从而达到盗取或修改数据库中存储的数据的目的。
安全边界SecurityBoundary
不同安全级别的网络相连接时，其连接部位即为安全边界，通常包括网络单元与外部网络之间的安全边界以及网络单元内部不同安全等级安全域之间的安全边界。3.2缩略语
下列缩略语适用于本文件：
Access Control List
访问控制列表
HiiKAoNiKAca
YD/T2584-2015
SYNFlood
UDPFlood
Challenge Collapsar
Central Processing Unit
Domain Name System
Distributed Denial of ServiceFile Transfer Protocol
InternetControl MessageProtocolInternet Data Center
Internet Protocol
Medium Access Control
SimpleNetworkManagement ProtocolStructured Query Language
Secure Shell
Secure Sockets Layer
Synchronize Flood
Transport Layer Security
User Datagram Protocol FloodUniform Resource Locator
Unicast ReversePathForwardingUser Security Model
View-based Access Control ModelVirtual Local Area Network
Virtual Private Network
4互联网数据中心（IDC）安全防护概述4.1互联网数据中心（IDC）安全防护范围挑战黑洞
中央处理器
域名系统www.bzxz.net
分布式拒绝服务
文件传输协议
Intermet控制报文协议
互联网数据中心
网络之间互连的协议
媒体介入控制层
简单网络管理协议
结构化查询语言
安全协议外壳
安全套接层
SYN洪水攻击
传输层安全协议
UDP洪水攻击
统资源定位符
单播逆向路径转发
用户安全模型
基于视图的访问控制模型
虚拟局域网
虚拟专用网
互联网数据中心（IDC）的安全防护范畴包括为用户提供各种IDC服务的IDC基础设施（包括IP网络、主机、服务器、安全设备等）、为了保证IDC正常运行所构建的IDC支撑系统（包括集中配置、集中监控、灾备等）和为了保证IDC网络安全所构建的IDC网络安全防护系统。4.2互联网数据中心（IDC）安全风险分析互联网数据中心（IDC）的资产可分为设备硬件、软件、数据、网络、服务、文档和人员等，详见附录A表A.1对资产的分类及举例，其中重点资产如下：a）互联网数据中心（IDC）中的各种软硬件设备，如主机设备，网络设备、操作系统、数据库、中间件、应用程序、支撑系统、网络安全防护系统等：b）互联网数据中心（IDC）中的重要数据，保存在互联网数据中心（IDC）的各种重要信息数据，设备配置数据、管理员操作维护记录等；c）互联网数据中心（IDC）中的重要服务，这些服务至少包括主机托管（机位、机架、VIP机房出租）、资源出租（如虚拟主机业务、数据存储服务）、系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断）。4
iiKAoiKAca
YD/T2584-2015
互联网数据中心（IDC）的脆弱性可分为技术脆弱性和管理脆弱性两方面，脆骗性识别对象应以资产为核心。互联网数据中心（IDC）的脆弱性分析应包括但不限于附录A表A.2所列范围。互联网数据中心（IDC）的威胁可分为业务威胁、设备威胁、环境威胁和人为威胁，其中环境威助包括自然界不可抗的威胁和其他物理威胁：根据威胁的动机，人为威胁可分为恶意和非恶意两种，互联网数据中心（IDC）的威胁分析应包括但不限于附录A表A.3所列范围。互联网数据中心（DC）面临来自公众互联网上及内部的各种安全威胁，自身脆弱性一旦被利用后将产生很大的安全风险。其中包括设备安全风险、网络安全风险、应用安全风险和数据安全风险等。4.2.1设备安全风险
互联网数据中心（IDC）中网络设备的安全风险主要来自两个方面，一个是设备自身的安全风险，另外一个是外界环境的安全风险。具体的设备安全风险如下！a）设备自身的安全缺陷或未能够及时修复的安全缺陷，导致的针对该设备的缺陷利用，影响IDC业务的连续性可靠性和完整性：b）承载业务系统硬件、网络环境等方面的安全风险：c）业务系统自身安全风险。
4.2.2网络安全风险
互联网数据中心（IDC）网络的安全风险主要如下：a）来自内部和外部可能的网络攻击，如DDoS攻击，利用系统漏洞进行的各类攻击等b）蠕虫病毒入侵，局域网内部病毒等恶意软件的传播，尤其是维护终端、磁盘介质使用等导致的病毒扩散：
c）利用管理和技术漏洞，或者内部资源使IDC成为木马的被控资源或成为僵户网络，作为攻击外部网络的工具：
d）对DC网络维护不恰当而导致的安全风险。4.2.3应用安全风险
互联网数据中心（IDC）涉及应用的安全风险主要来自以下两个方面：a）来自互联网的风险，如垃圾邮件、蠕虫、病毒、针对Web/DNS/FTP等服务器的应用层攻击、针对服务器本身系统级的入侵行为等：b）来自内部恶意用户的安全风险，如内部用户有计划的窃听、偷窃或损坏信息，或拒绝其他授权用户的访问等。
4.2.4数据安全风险
4.2.4.1网管数据
互联网数据中心（IDC）网管数据，主要指互联网数据中心（IDC）管理层面的数据，其安全风险主要如下：
a）数据传输过程中被窃取、篡改、破坏：b）越权访问数据：
c）病毒入侵导致的数据丢失：
d）其他误操作，系统故障、介质问题等原因导致的数据丢失，泄漏。4.2.4.2内部业务数据
YD/T2584-2015
互联网数据中心（IDC）内部业务数据，主要指互联网数据中心（IDC）各个业务区域数据，其安全风险一方面来自于各个业务的不同要求，另外更主要一方面来自于业务数据的存放，具体如下：a）病毒、木马、间谋软件的入侵；b）针对敏感数据的非法篡改、获取：c）数据的存储安全风险，包括数据存储磁盘管理不善，数据访问管理不善等带来的风险4.2.4.3账号口令
a）口令密码明文保存导致失窃；b）弱口令导致的暴力破解；
c）明文传输账号口令导致网络监听。4.3互联网数据中心（IDC）安全防护内容互联网数据中心（IDC）已成为互联网时代不可或缺的重要基础性设施。互联网数据中心（IDC）的自身安全性、对其所提供各类服务的安全管控能力、支撑系统的安全防护能力是互联网数据中心（IDC）安全防护的重要内容，具体包括：业务安全、网络安全、主机安全、中间件安全、物理环境安全、管理安全。
5互联网数据中心（IDC）安全防护要求5.1第1级要求
5.1.1网络安全
5.1.1.1网络结构
IDC在生产运行、操作维护、系统管理等方面，应采用网络设备如交换机、路由器、防火墙等对其内部网络进行安全域划分，划分方式包括但不限于VLAN划分、IP网段划分、可信任域划分等。5.1.1.2网络管理
a）应对IDC业务及客户源地址进行梳理和备案。b）IDC应启用跨安全域访问控制策略，控制内容包括但不限于访问源的MAC地址、IP地址、端口号等信息。
c）IDC集中运维安全管控系统应与为IDC提供服务的基础设施相隔离并部署在不同网络区域。d）IDC集中运维安全管控系统的网络边界设备应接不同业务需求配置相应的访问控制策略，只开放管理需要的服务及端口，避免开放较大的IP地址段及服务。e）IDC集中运维安全管控系统应采用安全的管理和控制信息分发、过滤机制。网络管理信息应加密传送；应对目的地址为管理接口的非管理报文和目的地址为数据业务接口的管理报文进行控制。5.1.1.3网络入侵防范
IDC面向互联网应具备相应防护能力，对进出IDC的所有数据流量进行防护。5.1.1.4网络安全监测
IDC应能在互联网接口处进行流量监控分析，及时发现导致流量异常的安全事件。5.1.1.5网络设备防护
IDC网络设备主要包括各类路由器、交换机设备等，相关设备应满足：网络设备的安全应满足相关设备技术规范、设备安全要求以及设备入网管理相关要求的规定（如以太网交换机的安全应满足YD/T1099-2013、YD/T1627-2007的安全要求；具有路由功能的以太网交换6
YD/T2584-2015
机的安全应满足YD/T1255-2013、YD/T1629-2007的安全要求；低端路由器或边缘路由器的安全应相应满足YD/T1096-2009、YD/T1358-2005的安全要求：高端路由器或核心路由器的安全应相应满足YD/T1097-2009、YD/T1359-2005的安全要求；网络设备的安全基线配置应满足YD/T2698-2014的安全要求。
5.1.2主机安全
IDC通用主机设备主要包括各类通用服务器、工作站、终端、数据库等，相关设备应满足：通用主机设备的操作系统安全基线配置应满足YD/T2701-2014，数据库的安全基线配置应满足YD/T2700-2014，Web应用系统的安全基线配置应满足YD/T2703-2014的安全要求。5.1.3中间件安全
IDC自身业务使用中间件的安全基线配置应满足YD/T2702-2014的安全要求。5.1.4物理环境安全
应满足YD/T1754-2008《电信网和互联网物理环境安全等级保护要求》中的第1级要求。5.1.5管理安全
应满足YD/T1756-2008《电信网和互联网管理安全等级保护要求》中的第1级要求。5.2第2级要求
5.2.1业务安全
应满足第1级的要求以外，还应满足：a）应按照合同保证IDC客户业务的安全b）应保证IDC网络单元关键网络设备的业务处理能力具备穴余空间，满足业务高峰期需要。c）IDC与互联网接口处的流量带宽应具备穴余空间，满足业务高峰期需要。5.2.2网络安全
5.2.2.1网络结构
应满足第1级的要求以外，还应满足：a）应绘制与当前运行情况相符的网络拓扑结构图（反映互联网接口、内部网络划分等内容）。b）IDC的网络结构应根据网络的运营、管理或区域等因素在逻辑上合理的实现分层和分级，IDC内部网络区域的划分应与网络结构和组织形式保持一致。5.2.2.2网络管理
应满足第1级的要求以外，还应满足：a）通过运营企业内部网络（如DCN网络）远程访问IDC中设备时，应按业务需求在被访问的IP网络边界设备上启用接入访问控制策略，应对包括但不限于源P地址、端口号等在内的控制项进行限制，避免开放过长IP地址段及过多端口。b）通过公共互联网远程访问IDC中设备时，应使用VPN方式访问，并按业务需求在被访的IP网络边界设备上启用接入访问控制策略，应对包括但不限于源IP地址、端口号等在内的控制项进行限制，避免开放过长IP地址段及过多端口。c）IDC网络单元边界隔离设备如采用Web方式进行配置和管理，应采用如下措施：1）应使用用户安全鉴别和认证措施，如支持SSL/TLS协议等：2）应防止Web安全漏洞，如SQL注入攻击、跨站脚本攻击等：7
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。