??? 本標(biāo)準(zhǔn)規(guī)定了支撐網(wǎng)在安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)等方面的安全防護(hù)要求。

本標(biāo)準(zhǔn)適用于公眾電信網(wǎng)中的支撐網(wǎng)。

??? 下列文件中的條款通過(guò)本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)。然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。

? YD/T 1729-2008??? 電信網(wǎng)和互聯(lián)網(wǎng)安全等級(jí)保護(hù)實(shí)施指南

? YD/T 1730-2008??? 電信網(wǎng)和互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指南

? YD/T 1731-2008??? 電信網(wǎng)和互聯(lián)網(wǎng)災(zāi)難備份及恢復(fù)實(shí)施指南

? YD/T 1754-2008??? 電信網(wǎng)和互聯(lián)網(wǎng)物理環(huán)境安全等級(jí)保護(hù)要求

? YD/T 1756-2008??? 電信網(wǎng)和互聯(lián)網(wǎng)管理安全等級(jí)保護(hù)要求

??? 下列術(shù)語(yǔ)和定義適用于本標(biāo)準(zhǔn)。

??? 支撐網(wǎng)安全重要程度的表征，重要程度可從支撐網(wǎng)受到破壞后，對(duì)國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)運(yùn)行、公共利益、網(wǎng)絡(luò)和業(yè)務(wù)運(yùn)營(yíng)商造成的損害來(lái)衡量。

??? 對(duì)支撐網(wǎng)分等級(jí)實(shí)施安全保護(hù)。

??? 組織是由不同作用的個(gè)體為實(shí)施共同的業(yè)務(wù)目標(biāo)而建立的結(jié)構(gòu)，組織的特性在于為完成目標(biāo)而分工、合作；一個(gè)單位是一個(gè)組織，某個(gè)業(yè)務(wù)部門(mén)也可以是一個(gè)組織。

??? 人為或自然的威脅可能利用支持網(wǎng)中存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組織造成的影響。

??? 指運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析支撐網(wǎng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和安全措施。防范和化解支撐網(wǎng)安全風(fēng)險(xiǎn)?；蛘邔L(fēng)險(xiǎn)控制在可接受的水平，為最大限度地為保障支撐網(wǎng)的安全提供科學(xué)依據(jù)。

??? 支撐網(wǎng)中具有價(jià)值的資源，是安全防護(hù)保護(hù)的對(duì)象。支撐網(wǎng)中的資產(chǎn)可能以多種形式存在，無(wú)形的、有形的、硬件、軟件，包括物理布局、通信設(shè)備、物理線路、數(shù)據(jù)、軟件、文檔、規(guī)程、業(yè)務(wù)、人員、管理等各種類型的資源，如網(wǎng)絡(luò)管理系統(tǒng)、計(jì)費(fèi)系統(tǒng)等。

??? 支撐網(wǎng)中資產(chǎn)的重要程度或敏感程度。資產(chǎn)價(jià)值是資產(chǎn)的屬性，也是進(jìn)行資產(chǎn)識(shí)別的主要內(nèi)容。

??? 可能導(dǎo)致對(duì)支撐網(wǎng)產(chǎn)生危害的不希望事故的潛在起因，它可能是人為的，也可能是非人為的：可能是無(wú)意失誤，也可能是惡意攻擊。常見(jiàn)的支撐網(wǎng)威脅有黑客入侵、硬件故障、人為操作失誤、火災(zāi)、水災(zāi)等等。

??? 支撐網(wǎng)脆弱性是指支撐網(wǎng)中存在的弱點(diǎn)、缺陷與不足，不直接對(duì)資產(chǎn)造成危害-但可能被威脅所利用從而危害資產(chǎn)的安全。

??? 由于各種原因，造成支撐網(wǎng)故障或癱瘓，使支撐網(wǎng)的功能停頓或服務(wù)水平不可接受、達(dá)到特定的時(shí)間的突發(fā)性事件。

??? 為了支撐網(wǎng)災(zāi)難恢復(fù)而對(duì)相關(guān)網(wǎng)絡(luò)要素進(jìn)行備份的過(guò)程。

為了將支撐網(wǎng)從災(zāi)難造成的故障或癱瘓狀態(tài)恢復(fù)到正常運(yùn)行狀態(tài)成都分正常運(yùn)行狀態(tài)、并將其功能從災(zāi)難造成的不正常狀態(tài)恢復(fù)到可接受狀態(tài)，而設(shè)計(jì)的活動(dòng)和流程。

?

?

??? 支撐網(wǎng)是獨(dú)立于業(yè)務(wù)兩之外的用于支持阿絡(luò)及設(shè)備維護(hù)、業(yè)務(wù)運(yùn)營(yíng)和賬務(wù)管理的綜合信息系統(tǒng)所組成的網(wǎng)絡(luò)。本標(biāo)準(zhǔn)中支撐網(wǎng)的安全防護(hù)范圍包括網(wǎng)管系統(tǒng)和業(yè)務(wù)運(yùn)營(yíng)支捧系統(tǒng)。本標(biāo)準(zhǔn)中的網(wǎng)管系統(tǒng)覆蓋以下網(wǎng)絡(luò)：固定通信網(wǎng)、移動(dòng)通信網(wǎng)、消息網(wǎng)、智能網(wǎng)、接入網(wǎng)、傳送網(wǎng)、IP承載網(wǎng)、信令網(wǎng)、同步網(wǎng)。本標(biāo)準(zhǔn)中的業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)包括計(jì)費(fèi)系統(tǒng)、營(yíng)業(yè)系統(tǒng)、賬務(wù)系統(tǒng)。

??? 根據(jù)電信網(wǎng)和互聯(lián)網(wǎng)安全防護(hù)體系的要求，將支撐網(wǎng)安全防護(hù)內(nèi)容分為安全等級(jí)保護(hù)、安全風(fēng)險(xiǎn)評(píng)估、災(zāi)難備份及恢復(fù)等3個(gè)部分。

? ??——支撐網(wǎng)安全等級(jí)保護(hù)

?? ?主要包括業(yè)務(wù)安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全及備份恢復(fù)、物理環(huán)境安全、管理安全等。

? ??——支撐網(wǎng)安全風(fēng)險(xiǎn)評(píng)估

? ??主要包括資產(chǎn)識(shí)別、脆弱性識(shí)別、威脅識(shí)別、已有安全措施的確認(rèn)、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)估文件記錄等，本標(biāo)準(zhǔn)文件僅對(duì)支撐網(wǎng)進(jìn)行資產(chǎn)分析、脆弱性分析、威脅分析，在支撐網(wǎng)安全風(fēng)險(xiǎn)評(píng)估過(guò)程中確定各個(gè)資產(chǎn)、脆弱性、威脅的具體值。資產(chǎn)、脆弱性、威脅的賦值方法及資產(chǎn)價(jià)值、風(fēng)險(xiǎn)值的計(jì)算方法參見(jiàn)YD/T 1730-2008《電信網(wǎng)和互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)評(píng)估實(shí)施指南》。

? ??——支撐網(wǎng)災(zāi)難備份及恢復(fù)

主要包括災(zāi)難備份及恢復(fù)等級(jí)確定、針對(duì)災(zāi)難備份及恢復(fù)各資源要素的具體實(shí)施等。

?

?

本標(biāo)準(zhǔn)文件中支撐網(wǎng)的定級(jí)對(duì)象為各類網(wǎng)管系統(tǒng)和業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)，可按照全國(guó)、省和地市將各個(gè)系統(tǒng)分為不同級(jí)別。網(wǎng)絡(luò)和業(yè)務(wù)運(yùn)營(yíng)商應(yīng)根據(jù)YD/T 1729-2008《電信網(wǎng)和互聯(lián)網(wǎng)安全等級(jí)保護(hù)實(shí)施指南》中確定安全等級(jí)的方法對(duì)支撐網(wǎng)進(jìn)行定級(jí)，即根據(jù)社會(huì)影響力、所提供服務(wù)的重要性、規(guī)模和服務(wù)范圍的大小對(duì)各類網(wǎng)管系統(tǒng)和業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)分別定級(jí)。定級(jí)方法中的權(quán)重α、β、γ可根據(jù)具體網(wǎng)絡(luò)情況進(jìn)行調(diào)節(jié)。

?

?

??? 支撐網(wǎng)的資產(chǎn)可分為設(shè)備硬件、軟件、數(shù)據(jù)、網(wǎng)絡(luò)、服務(wù)、文檔和人員等．表l給出支撐網(wǎng)的資產(chǎn)列表。

? ??支撐網(wǎng)的脆弱性可分為技術(shù)脆弱性和管理脆弱性兩方面。表2給出支撐網(wǎng)的脆弱性列表。

?

?

?

?支撐網(wǎng)的威脅可分為設(shè)備威脅、環(huán)境威脅和人為威脅．環(huán)境威脅包括自然界不可抗的威脅和其他物理威脅。根據(jù)威脅的動(dòng)機(jī)，人為威脅又可分為惡意和非惡意兩種。表3給出支撐網(wǎng)的威脅列表。

? ??表3? 支撐網(wǎng)威脅列表

?

?

??? 不作要求。

??? a)? 計(jì)費(fèi)系統(tǒng)要求不間斷運(yùn)行，全年中斷時(shí)間應(yīng)符合電信運(yùn)營(yíng)企業(yè)的相關(guān)要求；

??? b)? 計(jì)費(fèi)系統(tǒng)中斷后應(yīng)當(dāng)對(duì)中斷期間未采集的數(shù)據(jù)進(jìn)行補(bǔ)采；

??? c)? 計(jì)費(fèi)系統(tǒng)定時(shí)對(duì)計(jì)費(fèi)信息等數(shù)據(jù)進(jìn)行備份，保證計(jì)費(fèi)信息不丟失，計(jì)費(fèi)數(shù)據(jù)在系統(tǒng)中保存的時(shí)間應(yīng)符合相關(guān)要求（至少3個(gè)月）；

??? d)? 賬務(wù)系統(tǒng)應(yīng)當(dāng)確保賬單的準(zhǔn)確性，保證賬單不重復(fù)、不丟失、不被修改。

??? a)? 應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；

??? b)? 應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)高峰期需要；

??? c)? 應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；

??? d)? 應(yīng)根據(jù)各部門(mén)的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的予網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段。

??? a)? 應(yīng)在網(wǎng)絡(luò)邊界部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；

??? b)? 應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，控制粒度為網(wǎng)段級(jí)；

??? c)? 應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶。

??? a)? 應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；

??? b)? 審計(jì)記錄應(yīng)包括事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。

??? 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查。

??? 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門(mén)攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲(chóng)攻擊等。

??? a)? 應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；

??? b)? 應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制;

??? c)? 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)惟一；

??? d)? 身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；

??? e)? 應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施;

?? ?f)? 當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)。

??? a)? 應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；

??? b)? 操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；

??? c)? 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；

??? d)? 當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽(tīng)；

??? e)? 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有惟一性。

??? a)? 應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問(wèn)；

??? b)? 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；

??? c)? 應(yīng)限制默認(rèn)賬戶的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令；

??? d)? 應(yīng)及時(shí)刪除多余的、過(guò)期的賬戶，避免共享賬戶的存在。

??? a）?審計(jì)范圍應(yīng)覆蓋到服務(wù)器上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；

??? b)? 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；

??? c)? 審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等；

??? d)? 應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。

??? 操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。

??? a)? 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)；

??? b） 應(yīng)支持防惡意代碼軟件的統(tǒng)一管理。

??? a)? 應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；

??? b)? 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；

??? c)? 應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度。

??? a)? 應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別；

??? b)? 應(yīng)提供用戶身份標(biāo)識(shí)惟一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用；

??? c)? 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；

??? d)? 應(yīng)啟用身份鑒別、用戶身份標(biāo)識(shí)惟一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。