【YD通讯标准】 互联网安全防护要求

中华人民共和国通信行业标准
YD/T1736-2008
互联网安全防护要求
Security Protection Requirements for Intemet2008-01-14发布
2008-01-14实施
中华人民共和国信息产业部发布前
范围·
规范性引用文件
术语和定义
缩略语
互联网安全防护概述-
5.1互联两网安全防护范围·
5.2互联网安全防护内容
互联网定级对象和安全等级确定6
互联网资产、脆弱性、威胁分析.资产分析
瞻弱性分析·
7.3威胁分析
8互联网安全等级保护要求·
第[级要求+
第2级要求+
第3.1级要求
第3.2级要求
8.5第4级要求
8.6第5级要求
9互联网灾难备份及恢复要求
互联网灾难备份及恢复等级…
9.2第1级要求-
9.3第2级要求
第3.1级要求·
第3.2级要求
9.6第4级要求
第5级要求
参考文献·
YD/T 1736-2008
YD/T 1736-2008
本标准是“电信网和互联网安全防扩体系”系列标准之一。该系列标准的结构及名称如下：1、YD/T1728-2008电信网和互联网安全防护管理指南；2.YDIT1729-2008电信网和互.联网安全等级保护实施指南：3.YD/T1730-2008电信网和百联网安个风险评估实施指南：4. YD/T 1731-2008
电信网利1五联网灾难备份及概复实施指南：5.YD/T1732-2008
6.YD/T1733-2008
7. YD/T 1734-2008
8. YD/T 1735-2008
9.YD/T 1736-2008
10. YD/T 1737-2008
11. YD/T 1738-2008
12.YD/T 1739-2008
13. YD/T 1740-2008
14. YD/T 1741-2008
15. YD/T 1742-2008
16. YD/T 1743-2008
17. YD/T 1744-2008
18.YD/T1745-2008
固定通信网安全防护要求；
固定通信网安全防护检测要求：移动通信网安全防护要求：
移动通信网安金防护检测要求；互联网安全防护要求；
互联网安全防护检测要求：
增值业务网——消息网安全防护要求：增值业务网—消息网安全防护检测要求：增值业务网—智能网安全防护要求：增值业务网——智能网安全防护检测要求；接入网安全防护要求：
接入网安全防护检测要求：
传送网安全防护要求：
传送网安全防护检测要求：
8IP承载网安全防护要求；
19.YD/T 1746-2008
20. YD/T 1747-2008
3IP承载网安金防护检测要求：
8信令网安全防护要求；
21. YD/T 1748-2008
22. YD/T 1749-2008
3信令网安全防检测要求；
23, YD/T 1750-2008
同步网安全防护要求：
3同步网安全防护检测要求：
24. YD/T 1751-2008
3支撑网安全防护要求：
25.YD/T 1752-2008
26.YD/T1753-2008支撑网安全防护检测要求：27.YD/T 1754-2008
28.YD/T 1755-2008
电信网和互联网物理环境安全等级保护要求：电信网和互联网物理环境安全等级保护检测要求；29. YD/T 1756-2008
电信网和互联网管理安全等级保护要求：30. YD/T 1757-2008
31. YD/T 1758-2008
电信网和互联网管理安全等级保护检测要求：非核心生产单元安全防护要求：3非核心生产单元安全防护检测要求。32. YD/T 1759-2008
本标准与YD/T1737-2008互联网安全防护检测要求”配套使用。H
YD/T 1736-2008
随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。本标准由中国通信标推化协会提出并归口。本标准起草单位：信息产业部电信研究院、中国电信集团公司、中国移动通信集团公司、中国网络通信集团公司、中国联合通信有限公司本标准主要起草人，杨洋、田熬蓉、赵阳、刘、楠、李金玉、杜之亭、张云勇1范围
互联网安全防护要求
YD/T 1736-2006
本标准规定了互联网业务及应用系统在安全等级保护、安全风险评估、灾滩备份及恢复等方面的安全防护要求。
本标准适用于互联网业务及应用系统。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文性的最新版本。凡尾不注日期的引用文件，其最新版本适用于本标雅。电信网和互联网安全等级保护实施指南YD/T1729-2008
YD/T1731-2008电
电信网和互联网灾难备份及恢复实施指南YD/T 1742-2008
3接入网安全防护要求
YD/T1744-2008传送网安全防护要求YD/T1746-2008P承载网安全防护要求YD/T 1754-2008
Y0/T 1756~2008
YD/T 1658-2007
YD/T 1045-2000
电信网和互联网物理环境安全等级保护要求电信网和互联网管理安全等级保护要求宽带网络接入服务器安全技术要求网络接入服务器技术规范
YDT [311-2004
防范互联网垃圾电子邮件技术要求YD/T 126-2005
3术语和定义
增值电信业务网络信息安全保障基本要求下列术语和定义适用于本标准。3.1
互联网相关系统 Systerns of Intemet组成互联网的相关系统，包括接入网、传送网、P承载网等，其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SD旺、卫星等。3.2
互联网安全等级 Security Classlflcation of Intemet互联网及相关系统重要程魔的表征，重要程度从互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.3
宣联网安全等级保护 Classified Security Protection of Internet对互联网及相关系统分等级实施安全保护。3.4
YD/T1736-2008
组织Organization
组织是由互联网及相关系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作：-一个单位是一个组织，某个业务部门也可以是一个组织。3.5
互联网安全风险SecurityRisk ofIntarnet人为或自然的感胁可能利用互联网及相关系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
互联网安全风险评估SecurityFiskAssessmentof Intemet指运用科学的方法和手段，系统地分析互联网及相关系统所面临的威胁及其存在的魔弱性，评估安全事件一发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解互联网及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障互联网及相关系统的安全提供科学依据。
互联网瓷产Assetofinternet
互联网及相关系统中具有价值的资源，是安全防护体系保护的对象。互联网及相关系统中的资产可能以多种形式存在，无形的、有形的、硬件、软件，包括物理布同、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等客种类型的资源，如承载网中的路由器、传送网的网络布局，3.8
互联网资产价值AssetValueof Intermet互联网及相关系统中资产的重要程度或感程度。资产价值是资产的属性：也是进行资产识别的主要内容。
互联网威助 Threat of Internet可能导致对互联网及相关系统产生危害的不希望事故潜在起因：它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。3.10
互联网脆弱性 Vulnerabillty of Intermet互联网及相关系统资产中存在的弱点，缺陷与不足，不直接对互联网资产造成危，但可能被互联网威胁所利用从而危害互联网资产的安全。3.11
互联网卖难Disaster of Internet由于各种原因，造成互联网及相关系统故障或瘫痪，使互联网及相关系统支持的业务功能停顿或服务水平不可接受、送到特定的时间的爽发性事件。3.12
互联网灾难备份BackupforDisasterRecoveryofIntemet为了互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。2
互联网灾难恢复DisasterAecovery of InternetYD/T 1736-2008
为了将互联网及相关系统从灾难造成的故障或瘫痰状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从火难造成的不正常状态恢复到可接受状态，而改计的活动和流程。4缩略语
下列缩略语适用于本标准。
5互联网安全防护概述
5.1互联网安全防护范围
Derial of Service
Domain Name System
File Tran sfer Protocol
Simple Mail Transfer ProtocolVirtual Private Network
拒绝服务
域名系统
文件传输协议
简单邮件传输协议
虚拟专用网
互联网泛指广域网、局域网及终端（包括计算机、手机等）通过交换机、路由器、网络接入设备等基于一定的通信协议连接形成的功能和逻辑上的大型网络。互联网安全防护范围包括互联网业务及应用系统以及互联网相关系统
目前运营的互联网业务包括互联网域名服务，互联网数据中心，互联网接入服务、互联网信息服务，在线数据处理与交易处理、移动互联网信息服务等。主流的互联网信息服务包括Web刻览、电子邮件，FTP、公众信息发布等，主流的移动互联网信息服务包括信息浏览、电子邮件、下裁业务等。这些业务及应用涉及DNS服务器、域名注册/交易服务器、宽带网络接入服务器、网络接入服务器、Web服务器、电子邮件服务器、FTP服务器、公众信息发布服务器、在线数据处理与交易处理服务器、数据库服务器等互联网业务及应用系统的相关服务器以及用户端网络设备，互联网相关系统组成如图1所系。楼
互联相关系统
图1互联网相关系统
应对互联网业务及应用系统以及各相关系统分别实施安全等级保护、安全风险评估、灾难备份及恢复等工作，在此基础上充分考虑互联网业务及应用系统以及各相关系统之间的关系和相互影响，实现对互联网的整体安全防护。
本标准主要对互联网业务及应用系统提出安全防护要求，随著互联网业务及应用的发展，本标将不断补充完普。互联网相关系统中接入网安全防护的具体要求参见YD/T1742-2008接入网安全防护要求》，传送网安全防护的具体要求参见YD/T1744-200名，传送网安全防护要求，IP承载网安全防护的具体要求参见YDT1746-2008《IP承载网安全防护要求。3
YD/T 1736-2008
5.2互联网安全防护内容
根据电信网和互联网安全防护体系的要求，将互联网安全防护内容分为安全等级保护、安全风险评估、灾难备份及恢复等3个部分：-互联网安全等级保护
主要包括定级对象和安全等级确定、业务及应用安全、设备安全、物理环境安全、管理安全等。互联网安全风险评估
主要包括互联网资产识别、脆弱性识别、威胁识别、已有安全施确认、安全风险分析、安个风险评估文件处理等，本标准仪对互联网业务及应用系统进行资产分析、脆弱性分析、鼓胁分析，在互联网业务及应用系统安全风险评估过程中对资产、脆弱性、威胁的赋值方法及资产价值、风险值的计算方法参见YD/T1730-2008《电信网和互联网安全风险评估实施指南》。—一互联网灾难备份及恢复
土要包括灾摊备份及恢复等级确定、针对灾难备份及恢复各资源要素的具体实施等。6互联网定级对象和安全等级确定我国具有管辖权的互联网业务及应用系统的定级对象为各个互联网业务及应用系统。网络和1业务运营商应根据YD/T1729-2008《电信网和互联网安全等级保护实施指南》附录A中确定网络安全等级的方法对互联网业务及应用系统定级。针对业务及应用系统，可根据相应的社会影响力、所提供服务的重要性、服务用户数的大小进行定级，权量α、8、可根据具体业务及应用的情况进行调节。7互联网资产、脆弱性，威胁分析7.1资产分析
互联网业务及应用系统的资产至少应包括：设备硬件、设备软件、重要数据、提供的应用、文档，人员等，如表 1所示。
轰1资产列表
设备硬件
设备软件
重要数据
业务及应用
主要资产
和各种点联网业务及应用的正常提供相关的服务器，包括DNS服务器、域名注川交易服务器、带网络接入服务器、网络接入服务器、Web服务器、了邮件服务器、FTP服务器、公众信息发布服务器、在裁数据处理与交易处理服务器，数据库服务器等：和弃种互联网业务及底用的正常提供相关的用户端网络设备，包括路由器、交换机、网管系统设备等：和各种互联网业务及应用正常提供相关的用户端网络链路；相关服务磐和用户端网络设备的操作维护系统：相应的数据存储和备份齐质等
相关服务器和用户端网络设备的操作系统和应用软件等：相关服务器和用户端网络设备的操作维护系统软件保证丘联网业务和应用正常提供的重要数据，包据业务数据，系统配置数据、管理员操作维护记录、用户信息等
互联网可提供的各种业务及应用，包括互联网域名服务、互联网数据中心，互联网接入服务、互联网信息服务、在线数据处理与交愿处理、移动互联网信息服务等纸质以及保存在存储介质中的各种文件，如设计文档，技术要求，管理规定（机构设置、管理制度、人员管理办法）、工作计划、技术或财务根告、用户手册等如相关服务馨和用户端网络设备维护人员、系统开发人员、数据备份人员等7.2脆弱性分析
YD/T 1736-2008
互联网业务及应用系统的脆弱性可以从技术跪弱性和管理脆弱性2个方面考虑。脆弱性认别对象应以资产为核心。表2给出了上要的脆弱性识别内穿。表 2脆弱性分析表
技术脆弱性
业务及应用
物理环境
管理脆弱性
7.3威胁分析
存在的主要脆弱性
相关服务器未进行合理备份，重要数据未及时逊行备份、相关业务/应用协议存在漏洞，料关服务器的应用代码存在湘洞、后门：相关及务馨存在过多不必要的并放端口。
机关服务器配置不合理，访问控制策略存在漏洞。相关服务器的日志功能没有启用或不够详细。用户端网络规划和拓扑、设备部署、链路部署、资源配置、网络保护利恢复能力、安全技术措施和策略等方面的缺陷
相关服务器和用户端网络设备存在硬件隐患或质量问题：相关服务器和用户端网络设备的操作系统存在安全随患相关口令不酵复求、合理或泄有经常更新：重要部件未配置主备用保护；
相关务器和用户端网络设备超过使用年限或核心部件老化：相关展务器和用户端网络设备发生放障启米及时告警机房场地选择不合理：
防火、供配电、防静电、接地与防雷、电避防护、溺视度挖制不符合规范：通信线略，相关服务器和用户端网络设备的保护不符合规范安全管理机树方面：阅位设不合理（如人员配置过少、职责不清）、授权和市批程序简化、沟通和合作未执行、审核和检查未执行等！安全管理制度力面：管理制度不完善，制度评审和修订不及时等；人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员术进行安全培训、对于第三方人员末进行限制访问等；建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行交全验收或验收不严格等：
运维管理方面：物理环境管理措施简单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位，灾难恢复预案不完誉
互联网业务及应用系统面临的威胁可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种，表3列举了互联网主要面临的威胁。
YD/T 1736-2008
技术威胁
物理环境
环境威胁
自懋灾告
恶意人员
人为贼胁
无恶意人员
表 3 威胁来源列表
主要威胁描述
相关服务器和用户端网络设备使用时间过长或质鱼问题等导致硬件故障；用户端网络链路发生故障；
相关照务器和用户端网络设备的操竹系统软件，应用较件运行故障。相关腰务器和用户端网络设备数据苦失或系统运行中断：存储介质老化或质量问题等导致不可用断电、静电、灰尘、潮湿、温湿度异带、电磁平扰等：意外事故或通信线骼方面的故障鼠蚁出苦。洪灾、火灾，泥石流、山体滑坡、地蔗、台凤、露击、闪电不满的或有预谋的内部人员滥用权限进行悲意破坏：政击者利用非法乎段进入机房内部盗窃，破坏等，攻出者非法物理访问相关服务器，用户端网络设备、存储介质等：
攻击者利用网络协议、操作系统、应用系统潴洞，越权访问相关服务器和用户端网络设各的文件、数据惑其他贫源：
攻击者利用各种工具获取机关服务和用户端网络设备身份鉴别数据，并对监别数据进行分析和解剖，获得鉴别信息，未授权访问应用系统，或非法使用相关文件和数据：攻击者利用应用系统扩放病盘、龋虫、木马、垃圾电子邮件，利用相关攻击工具恶意消耗应用系统资源，导致系统能力下降或瘫痪、无法正常提供应用服务：攻击者战状教据，进行寡改、插入，并重发，造成数据的完整性、真实性丧失内部人员由于缺乏击任心或者无作为而应该执行而没有执行相应的操作、或光意地批行了错误或危险的操作导致安全事作：内部人员没有避循规章制度和操作流程而导致故障或信息摄坏：内部人员由于缺乏培训、专业技能不足，不只备网位技能要求而导致故障或攻击：安全管理制度不完善。落实不到位造成安全管理不规范或者管理混乱导致安全事件B互联网安全等级保护要求
8.1第1级要求
不作要求。
8.2第2级要求
8.2.1互联网业务及应用安全要求8.2.1.1通用安全要求
a）应保护用户隐私，不泄漏用户相关信息：b）DNS服务器、域名注册交易服务器、宽带网络接入服务器、网络接入服务器、Web服务器、电子邮件服务器、FTP服务器、公众信息发布服务器、在线数据处理与交易处理服务器、数据库服务器等相关服务器应使用防火墙和防病毒等软件，应具备一定的容错、防病毒传播、防恶意软件、防DoS攻击、防黑客攻及防范其他来自内部和外部各种常见攻击的能力；C）相关服务器应定期更新各种软件、系统补丁，定期检查相关服务器安金状况，开做相应检查记录·
d）应通过IP地址、用户名、子网域名等方式对相关服务器的管理和各种操作进行控制，并保留相应的管理和操作记录，相关服务器应设置必要的读写权限和访问控制策略：应给予用户执行日常任务所6
YD/T 1736-2008
必需的最低等级的访问许可权，相应口令应足够复杂，相应口令应经常更换，应尽可能减少相关服务器的共享和开放端口：
e）在问用户提供业务/应用时应保证相关系统之间传送信息的真实性和完整性，相关系统之间的认证、授权、安全协议及安全算法应满足相应标推的要求：f）互联网应用系统的用户端网络安全具体要求见YD/T1746-2008IP承载网安全防护要求第2级要求。
B.2.1.2互联网域名服务安全要求a）提供域名注册服务的机构，应对注册的域名进行审查，杜绝不良城名的出现；b）应确保重要数据例如域名倍息的安全性，防止被募改和破坏；心）针对互联网域名解折眼务，在拜除外力因系（非本企业可控制的因系）的请税下，服务器组的可用性应≥99,99%;
d）针对不同的服务，应保存相应的服务记录，并保留一定期限，以便需要时能够查询相关信息，并避免相关数据和信息被改和破坏。8.2.1.3互联网数据中心安全要求a）应保护客户相关资产的安全性，包括硬件，软件、数据以及应用等：b）对托管/代维的服务器，应按照托管代维的要求对网络带宽、电力系统、环境等进行理：心）对代维的服务器，应按照代维的要求对服务器进行维护管理，保证服务器的正常运行：d）应按照客户的要求，记录对相关服务器的操作访问等日志，并保留一定期限，以便需要时能够查询相关后息，并避免相关数据和借息被集改和破坏。8.2.1.4互联网接入服务安全要求参见YDN126-2005增值电信业务网络借息安全保障基本要求》附录A。8.2.1.5互联网情息服务安全要求8.2.1.5.1web浏览安全
在）应保护业务相关信息的安全，避免相关数据和页面被算改和破坏；b）应禁止不必要的内嵌网络服务，应禁止在用户端自动安装恶意软件，应监控用户下载的软件是否含有病，并自动来取相应处理措施；心）对外提供web浏览服务的平台不应向公众发布有害信息：d）应记录间公众发布的信息内容及其发布时间、互联网地址或者域名等，并保存60日（业务日志的内客和保留期限参照互联网信息服务管理办法，如果该法规修订，则本标推应作相应改动），以便需要时能够查询相关信息，应避免相关数据和信息被募改和破坏：e）应对用户访问Web服务器的操作进行日志记录，以便需要时能够查询相关信息，应避免相关数据和信息被筹改和破坏。
8.2.1.5.2电子邮件安全
a）电子邮件服务器应监控收发电子邮件中是否含有病毒，并自动录取相应处理措施；b）应建立有效的机制防范垃圾邮件，例如垃圾邮件投诉处理机制等，确保正常用户邮件业务的使用：
YD/T 1736-2008
c）应对用户收发邮件等操作进行日志记录，以便需要时能够查询相关信息，应避免相关数据和信息被篡改和破坏。
8.2.1.5.3FTP安全要求
a）FTP服务器应监控用户上传.文件中是否含有病毒，并白动采取相应的处理措施：b）应防止用户对FTP服务器进行非法读写，应拒绝由未被允许的P地址、用户名、子网域发求的FTP操作请求，应能够限制单个P地址、IⅡ地址段、用户名、了网域的连接数量和连接频率；c）应对用户上传下载文件等操作进行日志记录，以便需要时能够查询相关信息，应避免相关数据和信息被基改和破坏。
8.2.1.5.4公众信息发布安全要求公众信息发布是指用户通过互联网实现的个人或公共信息发布，如博客、播客、电子公告、威克、维克等，发布的信息他括文本、图片、音频、视频文件等等。公众信息发布安全要求包括：a）对公众提供信息发布服务的平台应实时监控用户发布和评论的文字、图片、音频、视频文件中是否含有病毒，并白动采取相应的处理措施。b）对公众提供信息发布服务的平台应对向公众发布的各种文本信息内容进行实时的过满，以阻止有害信息的传播；应采用技术或人工手段有效防止其他类型（图像、音频、视频等）有害信息通过业务网络向公众传播。免费标准bzxz.net
心）应建立有害信息检查机制和投诉处理制度。d）应记录间公众发布的信息内容及其发布时间、五联网地址或考域名等，并保存60日（业务H志的内容和保留期限参照“互联网信息服务管理办法》，如果该法规修订，则本标准应作相应改动），以便需要时能够查询相关信息，应避免相关数据和信息被篡改和破坏。e）应对用户发布信息、浏览信息、评论、下载等操作逊行日志记录，以便需要时能够查询相关信息：应避免相关数据和信息被熹改利破坏。8.2.1.6在线数据处理与交易处理安全要求容见YDN126-2005（增值电信业务网络信息安全保障基本要求》附录D。8.2.1.7移动互联网信息服务安全要求应根据服务类型，满足8.2.1.5节互联网信息服务的安全要求。8.2.2互联网设备安全要求
宽带网络接入服务器的具体设备安全要求参见YD门1658-2007，网络接入服务器的具体设备安全要求参见YD/T1045-2000的安全要求，电子邮件服务器的具体设备安全要求参见YD/T1311-2004，用户端网络设备的具体安全要求参见YD/T1746-2008《IP承载网安全防护要求》8.3节。8.2.3互联网物理环境安全要求
应满足YD/T1754-2008电信网和互联网物理环境安全等级保护要求》第2级要求。8.2.4互联网管理安全要求
应满足YD/T1756-20084电网和互联网管理安全等级保护要求》第2级要求。8.3第3.1级要求
8.3.1互联网业务及应用安全要求8.3.1.1通用安全要求
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。