YD/T 2240-2011
基本信息
标准号： YD/T 2240-2011
中文名称：增值业务网--即时消息业务系统安全防护检测要求
标准类别：通信行业标准(YD)
标准状态：现行
出版语种：简体中文
下载格式：.rar .pdf
下载大小：793KB
标准分类号
关联标准
出版信息
相关单位信息
标准简介
YD/T 2240-2011 增值业务网--即时消息业务系统安全防护检测要求
YD/T2240-2011
标准下载解压密码：www.bzxz.net
标准图片预览
标准内容
ICS 33.040.01
中华人民共和国通信行业标准
YD/T2240-2011
增值业务网一即时消息业务系统安全防护检测要求
Security protection test reguirements for value added servicenetwork:instantmessagingsystem2011-06-01 发布
2011-06-01实施
中华人民共和国工业和信息化部发布前
2规范性引用文件
3术语和定义
4：即时消息业务系统安全防护检测概述具
4.1即时消息业务系统安全防护检测范围..4.2即时消息业务系统安全防护检测对象…4.3助时消息业务系统安全防护检测内容4.4即时消息业务系统安全防护检测结果判定5安全等级保护检测婴求
5.1第1级要求
第2级要求
5.3第3.1级要求
5.4第3.2级要求
5.5第4级要求
5.6第5级要求
6安全风险评估检测要求
6.1安全风险评估范围…
6.2安全风险评估内容
6.3安全风险评估要素
6.4安全风险评估赋值原则
6.5安全风险评估赋值计算方法
6.6安全风险评估文件类型·
6.7安全风险评估文件记录…
7灾难备份及恢复检测要求
第1级要求
7.2第2级要求··
7.3第3.1级要求
第3.2级要求
7.5第4级要求
7.6第5级要求-
参考文献
TTTKAONATKACA
YD/T 2240-2011
YD/T 2240-2011
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：电信网和即时消息业务系统安全防护管理指南”1.
电信网和即时消息业务系统安全等级保护实施指谢《电停网和即时消息业务系统安全风险评估实施指南》电信网和即时消息业务系统灾难备份及恢复实施指南》即时消息业务系统安全防护要求》（移动通信网安全防护要求】》&即时消息业务系统安全防护要求》增值业务网一即时消息业务系统安全防护要求》增值业务网一智能网安全防护要求》接入网安全防护要求
传送网安全防护要求
卫承载网安全防护要求
信令网安全防护要求》
《同步网安全防护要求》
《支撑网安全防护要求》
非核心生产单元安全防护要求
17.（电信网和即时消息业务系统物理环境安全等级保护要求》18、电信网和即时消息业务系统管理安全等级保护要求》19.即时消息业务系统安全防护检测要求（本标准）20移动通信网安全防护检测要求21.增值业务网一即时消息业务系统安全防护检测要求22.《增值业务网一智能网安全防扩检测要求23.接入网安全防护检测要求
24.《传送网安全防护检测要求》25.《IP承载网安全防护检测要求26.（信令网安全防护检测要求》27.同步网安全防护检测要求
28.支撑网安全防护检测要求
29、非核心生产单元安全防护检测要求30.电信网和互联网物理环境安全防护检测要求》31.电信网和互联网管理安全检测要求32域名系统安全防护要求净
33．域名系统安全防护检测要求》卫
TTTKANRYKAA
YD/T2240-2011
34.网上营业厅安全防护要求
35.《网上营业厅安全防护检测要求36.Www.bzxZ.net
（WAP网关系统安全防护要求》
“WAP网关系统安全防护检测要求38.
（电信网和互联网信息服务业务系统安全防护要求）《电信网和互联网信感服务业务系统安全防护检测要求》39.
《增值业务网一即时消息业务系统安全防护要求》40
《增值业务网一即时消息业务系统安全防护检测要求》（本标准）41.
域名注册系统安全防护要求
43，《域名注册系统安全防护检测要求”本标准与YD/T2239-2011《增值业务网-即时消息业务系统安全防护要求》配套使用。随着电信网和即时消息业务系统的发展，将不断补充和完普电信网和即时消息业务系统安全防护体系的相关标准。
本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院。本标准主要起草人：黄颖。
TTTKANYKACA
1范围
YD/T 2240-2011
增值业务网一即时消息业务系统安全防护检测要求本标准规定了即时消息业务系统在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防扩检测要求。
本标准适用于运营商自营的即时消息业务系统，例如，中国移动的\飞信”，中国电信的“天翼Live等。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用手本文件。凡是不注日期的引用文件，其最新版本（包括所有的改单）适用于本文件。信息技术词汇第8部分：安全
GB/T5271.8-2001
YD/T 1755-2008
YD/T 1757-2008
3术语和定义
电信网和即时消息业务系统物理环境安全等级保护检测要求电信网和即时消息业务系统管理安全等级保护检测要求GB/T5271.8-2001界定的以及下列术语和定义适用于本标准。3.1
即时消息业务系统安全等级 SecurityClassification of InstantMessaging System即时消息业务系统重要程度的表征。重要程度从即时消息业务系统受到破坏后，对国象安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.2
即时消息业务系统安全等级保护ClabslfiedSecurityProtectionofInstantMessagingSystem对即时消息业务系统分等级实施安全保护。3.3
即时消息业务系统安全检测SecurityTestingofInstantMessagingSystem对即时消息业务系统的安全保护能力是否达到相应保护要求进行衡量。3.4
组织Organization
组织是由即时消息业务系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。3.5
即时消息业务系统安全风险SecurityRiskofInstantMessagingSystem人为或自然的威胁可能利用即时消息业务系统中存在的脆弱性导致安全事作的发生及其对组织造成的影响。
TTTKAONTKACA
YD/T2240-2011
即时消惠业务系统安全风险评估SecurityRiskAssessmentofInstantMessagingSystem指运用科学的方法和手段，系统地分析即时消息业务系统所面临的威胁及其存在的瞻弱性，评估安全事件一且发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解即时消息业务系统安全风险，将风险控制在可接受的水平，为最大限度地保障即时消息业务系统的安全提供科学依据。
即时消息业务系统资产AssetofJnstantMessagingSysterm即时消息业务系统中具有价值的资源，是安全防护保护的对象。即时消息业务系统中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务，人员、管理等各种类型的资源，如即时消息业务系统的服务器/主机、网络布局等。3.8
即时消息业务系统资产价值AssetValueofInstantMessaglngSystem即时消息业务系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的十要内容。
即时消息业务系统威胁ThreatofInstantMessagingSystem可能导致对即时消息业务系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能足恶意攻击。3.10
即时消意业务系统脆弱性：VulnerabilityofInstantMessagingSystem即时消息业务系统资产中存在的弱点、缺陷与不足，不直接对即时消息业务系统资产造成危害，但可能被即时消息业务系统威胁所利用从而危及即时消息业务系统资产的安全。3.11
即时消息业务系统灾难DisasterofInstantMessagingSystem由于各种原因，造成即时消息业务系统故障或瘫疾，使即时消息业务系统支持的业务功能停顿或服务水平不可接受，达到特的时间的突发性事件。3.12
即时消息业务系统灾难备份BackupforDisasterRecoveryofInstantMessagingSystem为了即时消息业务系统灾难恢复而对相关网络要素进行备份的过程，3.13
即时消息业务系统灾难孩复DlsasterRecoveryofInstantMessagingSystem为了将即时消息业务系统从灾难造成的故障或摊痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.14
访谈Intervlew
TTKANYKAcA
YD/2240-2011
检测人员通过与有关人员（个人/群体）进行交流、讨论等活动，获取证据以检查安全等级保护，安全风险评舌、求难备份及恢复相关措施的惑实情说以及相关工作开展情说的一种方搭。3.15
检查Examinatian
检测人员随过对检测对象进行观察、查验和分析等活动，获取证据以检查安全等级保护，安全风险评估，灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.16
测试 Testing
检测人员通过对检测对象按照预定的方法工具使其产生特定行为的活动，查看、分析输出结果，获取证据以检查安全等级保护。安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。
4即时消惠业务系统安全防护检测概述4.1即时消息业务系统安全防护检测范围即时消息业务系绕安全防护检测范围是运营企业自营的即时消息业务系统。根据YD/T2239-2011《增值业务网-即时消息业务系统安全防护要求》，本标准主要对即时消息业务系统安全等级保护、安全风险评估、灾难备份及恢复等工作的实施进行检测。4.2即时消息业务系统安全防护检测对象即时消息业务系统业务系统的安全防护检测对象是各个即时消息业务系统业务系统平台及其接口设备。安全等级保护的检测对象确定以后，安全风险评估的检溯对象、灾难备份及恢复的检测对象应与安全等级保护的检测对象样一致。4.3即时消息业务系统安全防护检测内容与即时消息业务系统安全防护要求相对应，即时消息业务系统安全防护检测内容主要包括以下3个部分：
一即时消息业务系统要全级保护检测主要包括业务安全检测、网络安全检测、设备安全检测、物理环境安全检测、管理安全检测等：一即时消息业务系统安全风险评估检测主要包括安全风险评估范围检测、安全风险评估内穿检测、安全风险评估要囊检测，安全风险评估赋值检测、安全风险评估计算检测、安全风险评估文件类型检测、安全风险评估文件记录检测等，即时消息业务系统灾难备份及恢复检测主要包括元余系统、允余设备及亢余链路检测、备份数据检测、人员和技术支持能力检、运行维护管理能力检测、灾难恢复预案检测等。4.4即时消患业务系统安全防护检测结果判定即时消息业务系统安全防护检测包括对即时消息业务系统的安全等级保护、安全风险评估、灾难备份及恢复3个部分的检测，应对3个部分的检测结果分别进行判定，并根据检测结果分剃出具检测报告，检测报告中应具体说明安全防护工作的优势和不足。对每一部分中的每一个检测项，应根据具体实施情况进行等级化评价（分5级：很好、较好、一般、较差，报差）。参照表1将各检测项的评价等级换算成评分，各检测项的分数经过一定的算法（例如加权3
TTTKAONATKACA
YD/T2240-2011
平均）分别得到安全等级保护、安全风险评估、灾难备份及恢复3个部分的总分数，根据总分数可分别对即时消息业务系统的安全等级保护、安全风险评估、灾难备份及恢复3个部分的检测结果进行等级化评定：总分数和评定等级的关系如表2所示。在计算总分数的过程中，应充分考虑到各检测项在安全防护检测要求中所占的比重，例如表3给出了即时消息业务系统安全等级保护各检测子类所占的比重。即时消息业务系统安全防护检测的结果还应充分考虑到各相关系统的检测结果。表1测试项评分方法
实施很好
实施较好
实施一般
实施较差
实施很差
4.5≤x<5
3.5≤x<4.5
2.5≤x<3.5
1.5≤x<2.5
1≤x<1.5
5安全等级保护检测要求
5.1第1级要求
不作要求。
5.2第2级要求
5.2.1业务安全检测要求
5.2.1.1身份鉴别
5.2.1.1.1检测方式
访谈，检查，测试。
5.2.1.1.2检测对象
即时消息业务系统。
5.2.1.1.3检测实施
表2总分数和评定等级的关系
定等级
表3安全等级保护检测子类所占比重业务安全
网络安全
主机安全
物理环境安全
管理安全
a）检查即时消息业务系统是否提供了专门的登录控制模块对登录用户进行身份标识和鉴别：4
TTTKNTKACA
YD/T2240-2011
b）询问相关技术人员，即时消息业务系统是否具有保证用户身份标识唯一性的措施；现场通过创建相同用户身份标识对系统进行测试，检查系统是否采取合理处理措施：c）现场创建简单账户口令（6位纯数字密码），检查系统否提供了账户口令复杂度检查功能，提醒用户设定复杂口令：
d）现场通过客户端多次（超过运营企业配置门限频次）尝试用错误用户口令登录系统，检查系统是否限制用户账产登录赖款。
5.2.1.2业务功能
5.2.1.2.1检测方式
访谈，检查，测试。
5.2.1.2.2检测对象
即时消息业务系统，相关服务器/主机检测报告，系统设计文档。5.2.1.2.3检测实施
a）现场申请即时消息业务账户，检查账户成功申请后，对于可能涉及用户隐私的服务，如定位服务：检查其服务的开启是否需要经过用户的授权：b）现场邀请好友超过运营企业配置门限频次，检查系统是否对邀请好友的数次进行了限制：c）询问和关技术人员，并检查系统相关检测报告或设计文档，即时消息业务系统是否能够对发送短消息彩信的频次进行限制，如果条件允许，可进行现场测试；d）现场通过客户端操作向51位好友群发短信，检查系统是否对其进行限制：e）现场通过客户端操作向51位好友群发彩信，检查系统是否对其进行限制。5.2.1.3信息保护
5.2.1.3.1检测方式
访谈，检查，测试。
5.2.1.3.2检测对象
即时消息业务系统，相关服务器/主机检测报告，系统设计文档。5.2.1.3.3检测实施
a）现场检查即时消息业务系统是秀提供了根据用户需求，对用户手机号码、个人信急等隐藏的功能：b）询问相关技术人员，即时消息业务系统是否建立了对于诈骗、虚假广告等信息处理机制，以防止类似信息的扩散：
e）询问相关技术人员，并现场检查即时消息业务系统是否采取加密方式对用户账户信息进行存储：）询问相关技术人员，检查相关服务器/主机检测报告及系统设计文档，即时消息业务系统是否提供了保护措施（如，加密机制）保扩用户间通信数据的机密性和完整性。5.2.2网络安全检测要求
5.2.2.1结构安全
5.2.2.1.1检测方式
访谈，检查，试。
5.2.2.1.2检测对象
系统设备，系统拓扑图，系统配置数据。5
TTIKANYKACA
YD/T2240-2011
5.2.2.1.3检测实施
a）检查系统拓扑结构图，是否与当前运行情况相符：b）访谈系统管理员，询问是否根据服务器/主机功能及其重要性等因素，划分不同的子网或网段，检查具体的网络划分情况。
5.2.2.2访问控制
5.2.2.2.1检测方式
访谈，检查。
5.2.2.2.2检测对象
系统服务器/主机，访问控制设备、相关服务器/主机检测报告，系统设计文档。5.2.2.2.3检剩实施
）访谈系统管理员，询问是否即时消息业务系统内服务器主机之间连接时支持相互安企认证功能，检查相关服务器/主机检测报告；b）访谈系统管理员，询问是否即时消息业务系统与其他外部系统设备（如，短消息网关）连接时支持相互安全认证功能，检查相关服务器/主机检测报告：c）访谈系统管理员，询间是否在系统边界部署访问控制设备，是否底用访问控制功能，检查访问控制配置数据：
d）访淡系统管理员，询问足否能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度否可为网段级，检查配置数据：e）访谈系统曾理员，询问是否按用户和系统之间的充许访间规则，决定允许或拒绝用户对受控系统行资源访问，控制粒度是否为单个用户，检查用户访问控制配置数据。5.2.2.3安全审计
5.2.2.3.1检测方式
访谈，检查。
5.2.2.3.2检测对象
系统眼务器/主机，系统服务器/主机运行状况回志、流量日志、用户行为日志，审计记录。5.2.2.3.3检测实施
a）访谈系统管理员，询间是否对系统中的服务器/主机运行状况、网络流盘、用户行为等进行日志记录：检查各项日志记录：
b）访谈系统管理员，询问是否有审计记录；检查审计记录，是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；心）访谈系统管理员，询问审计记录的保存时问是否超过180天，并现场检查相关记录。5.2.2.4边界完整性检查
5.2.2.4.1检测方式
访谈，检查。
5.2.2.4.2检测对敏
用户行为审计记求。
5.2.2.4.3检测实施
TTTKAONATKACA
YD/T 2240-2011
访谈系统管理员，询问否有措施保证内部网络中用户无法私自与外部网络连接，如果有措施，询问措施详情。
5.2.2.5入慢防范
5.2.2.5.1检测方式
访谈，检查，
5.2.2.5.2检测对象
两络监测记录。
5.2.2.5.3检测实施
访谈系统管理员，询问是否可在系统边界处监测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻计、IP碎片攻市和网络端虫攻注等：检查是否具备系统攻击监视记录。5.2.2.6其他
5.2.2.6.1检测方式
访谈，检查。
5.2.2.6.2检测对象
设备入网证。
5.2.2.6.3检测实施
检查系统中各类路由器、交换器、宽带接入服务器等网络设备是否具有入网许可证。5.2.3主机安全
5.2.3.1身份鉴别
5.2.3.1.1检测方式
访谈，检查。
5.2.3.1,2检测对象
机设备，操作系统，数据库。
5.2.3.1.3检测实施
a）访谈系统管理员，询问是否对登录操作系统和数据库系统的用进行身份标识和鉴别：b）访谈系统管理员，谢问操作系统利数据库系统管理用户身份标识是否具有不易被冒用的特点c）访谈系统管理员，询问口令是否有复杂度要求：使用大写字母、小写字仔、数字、标点及特殊字符4种字符中至少2种的组合，且与用户名或功光相关性，d）访谈蔡统管理员，简问口令是否定期更换，且周期小于如天，捡查口令更改记录：e）访谈系统管理员，谢问是否启用登录失败处理功能，是否来取结束会话、限制非法登录次数和自动退出等措施；现场进行测试
f）谈系统管理员，询问当对服务器/主机进行远程管理时，是否采取必婴措施，防止鉴别信息在网络传输过程中被窃听：
g）访谈系统管理员，询问是否为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。
5.2.3.2访问控制
5.2.3.2.1检测方式
YD/T 2240-2011
访谈，捡查。
5.2.3.2.2检测对象
主机设备，操作系统，数据库。5.2.3.2.3检测实施
a）访谈系统管理员，询问是否启用访问控制功能，依据安全策略控制用户对资源的访问；b）访谈系统管理员，询问是香实现操作系统和数据库系统特权用户的权限分离：c）访谈系统管理员，询问是否限制默认账户的访问权限，修改这些账户的默认口令：是否重命名系统默认账户（情况了解）：
d）访谈系统管理员，询问是否及时删除多余的、过期的账户，避免共享账户的存在。5.2.3.3安全审计
5.2.3,3.1 检测方式
访谈，检查。
5,2.3.3.2检测对象
主机设备，操作系统，数据库，审计记录。5.2.3.3.3检测实施
a）访谈系统管理员，询问审计范围是否覆盖到服务器/主机上的每个操作系统用户和数据库用户；b）访谈系统管理员，询问审计内容是否包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件：c）检查审计记录，是否包括事件的日期、时间、类型，主体标识，客体标识和结果等：d）访谈系统管理员，询问是否保护审计记录，避免受到未预期的删除、修改或覆盖等；e）访谈系统管理员，询问审计记求保存期限是否至少为180天。5.2.3.4入侵防范
5.2.3.4.1检测方式
访谈，检查。
5.2.3.4.2检测对象
主机设备，操作系统。
5.2.3.4.3检测实施
访谈系统管理员，询问操作系统是否遵循最小安装的原则，仅安装需要的组件和应用程序，保持系统补了及时得到更新。
5.2.3.5病毒和攻击防范
5.2.3.5.1检测方式
访谈，检查。
5.2.3.5.2检测对象
主机设备，防病毒和攻击软件更新记录，病毒库更新记录。5.2.9.5.3检测实施
a）访谈系统管理员，询间是否安装病毒和攻击软件，是否及时更新防病毒和攻击软件版本和病毒库；检查防病毒和攻击软件和病表库的更新记录8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国通信行业标准
YD/T2240-2011
增值业务网一即时消息业务系统安全防护检测要求
Security protection test reguirements for value added servicenetwork:instantmessagingsystem2011-06-01 发布
2011-06-01实施
中华人民共和国工业和信息化部发布前
2规范性引用文件
3术语和定义
4：即时消息业务系统安全防护检测概述具
4.1即时消息业务系统安全防护检测范围..4.2即时消息业务系统安全防护检测对象…4.3助时消息业务系统安全防护检测内容4.4即时消息业务系统安全防护检测结果判定5安全等级保护检测婴求
5.1第1级要求
第2级要求
5.3第3.1级要求
5.4第3.2级要求
5.5第4级要求
5.6第5级要求
6安全风险评估检测要求
6.1安全风险评估范围…
6.2安全风险评估内容
6.3安全风险评估要素
6.4安全风险评估赋值原则
6.5安全风险评估赋值计算方法
6.6安全风险评估文件类型·
6.7安全风险评估文件记录…
7灾难备份及恢复检测要求
第1级要求
7.2第2级要求··
7.3第3.1级要求
第3.2级要求
7.5第4级要求
7.6第5级要求-
参考文献
TTTKAONATKACA
YD/T 2240-2011
YD/T 2240-2011
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：电信网和即时消息业务系统安全防护管理指南”1.
电信网和即时消息业务系统安全等级保护实施指谢《电停网和即时消息业务系统安全风险评估实施指南》电信网和即时消息业务系统灾难备份及恢复实施指南》即时消息业务系统安全防护要求》（移动通信网安全防护要求】》&即时消息业务系统安全防护要求》增值业务网一即时消息业务系统安全防护要求》增值业务网一智能网安全防护要求》接入网安全防护要求
传送网安全防护要求
卫承载网安全防护要求
信令网安全防护要求》
《同步网安全防护要求》
《支撑网安全防护要求》
非核心生产单元安全防护要求
17.（电信网和即时消息业务系统物理环境安全等级保护要求》18、电信网和即时消息业务系统管理安全等级保护要求》19.即时消息业务系统安全防护检测要求（本标准）20移动通信网安全防护检测要求21.增值业务网一即时消息业务系统安全防护检测要求22.《增值业务网一智能网安全防扩检测要求23.接入网安全防护检测要求
24.《传送网安全防护检测要求》25.《IP承载网安全防护检测要求26.（信令网安全防护检测要求》27.同步网安全防护检测要求
28.支撑网安全防护检测要求
29、非核心生产单元安全防护检测要求30.电信网和互联网物理环境安全防护检测要求》31.电信网和互联网管理安全检测要求32域名系统安全防护要求净
33．域名系统安全防护检测要求》卫
TTTKANRYKAA
YD/T2240-2011
34.网上营业厅安全防护要求
35.《网上营业厅安全防护检测要求36.Www.bzxZ.net
（WAP网关系统安全防护要求》
“WAP网关系统安全防护检测要求38.
（电信网和互联网信息服务业务系统安全防护要求）《电信网和互联网信感服务业务系统安全防护检测要求》39.
《增值业务网一即时消息业务系统安全防护要求》40
《增值业务网一即时消息业务系统安全防护检测要求》（本标准）41.
域名注册系统安全防护要求
43，《域名注册系统安全防护检测要求”本标准与YD/T2239-2011《增值业务网-即时消息业务系统安全防护要求》配套使用。随着电信网和即时消息业务系统的发展，将不断补充和完普电信网和即时消息业务系统安全防护体系的相关标准。
本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院。本标准主要起草人：黄颖。
TTTKANYKACA
1范围
YD/T 2240-2011
增值业务网一即时消息业务系统安全防护检测要求本标准规定了即时消息业务系统在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防扩检测要求。
本标准适用于运营商自营的即时消息业务系统，例如，中国移动的\飞信”，中国电信的“天翼Live等。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用手本文件。凡是不注日期的引用文件，其最新版本（包括所有的改单）适用于本文件。信息技术词汇第8部分：安全
GB/T5271.8-2001
YD/T 1755-2008
YD/T 1757-2008
3术语和定义
电信网和即时消息业务系统物理环境安全等级保护检测要求电信网和即时消息业务系统管理安全等级保护检测要求GB/T5271.8-2001界定的以及下列术语和定义适用于本标准。3.1
即时消息业务系统安全等级 SecurityClassification of InstantMessaging System即时消息业务系统重要程度的表征。重要程度从即时消息业务系统受到破坏后，对国象安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.2
即时消息业务系统安全等级保护ClabslfiedSecurityProtectionofInstantMessagingSystem对即时消息业务系统分等级实施安全保护。3.3
即时消息业务系统安全检测SecurityTestingofInstantMessagingSystem对即时消息业务系统的安全保护能力是否达到相应保护要求进行衡量。3.4
组织Organization
组织是由即时消息业务系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。3.5
即时消息业务系统安全风险SecurityRiskofInstantMessagingSystem人为或自然的威胁可能利用即时消息业务系统中存在的脆弱性导致安全事作的发生及其对组织造成的影响。
TTTKAONTKACA
YD/T2240-2011
即时消惠业务系统安全风险评估SecurityRiskAssessmentofInstantMessagingSystem指运用科学的方法和手段，系统地分析即时消息业务系统所面临的威胁及其存在的瞻弱性，评估安全事件一且发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解即时消息业务系统安全风险，将风险控制在可接受的水平，为最大限度地保障即时消息业务系统的安全提供科学依据。
即时消息业务系统资产AssetofJnstantMessagingSysterm即时消息业务系统中具有价值的资源，是安全防护保护的对象。即时消息业务系统中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务，人员、管理等各种类型的资源，如即时消息业务系统的服务器/主机、网络布局等。3.8
即时消息业务系统资产价值AssetValueofInstantMessaglngSystem即时消息业务系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的十要内容。
即时消息业务系统威胁ThreatofInstantMessagingSystem可能导致对即时消息业务系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能足恶意攻击。3.10
即时消意业务系统脆弱性：VulnerabilityofInstantMessagingSystem即时消息业务系统资产中存在的弱点、缺陷与不足，不直接对即时消息业务系统资产造成危害，但可能被即时消息业务系统威胁所利用从而危及即时消息业务系统资产的安全。3.11
即时消息业务系统灾难DisasterofInstantMessagingSystem由于各种原因，造成即时消息业务系统故障或瘫疾，使即时消息业务系统支持的业务功能停顿或服务水平不可接受，达到特的时间的突发性事件。3.12
即时消息业务系统灾难备份BackupforDisasterRecoveryofInstantMessagingSystem为了即时消息业务系统灾难恢复而对相关网络要素进行备份的过程，3.13
即时消息业务系统灾难孩复DlsasterRecoveryofInstantMessagingSystem为了将即时消息业务系统从灾难造成的故障或摊痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.14
访谈Intervlew
TTKANYKAcA
YD/2240-2011
检测人员通过与有关人员（个人/群体）进行交流、讨论等活动，获取证据以检查安全等级保护，安全风险评舌、求难备份及恢复相关措施的惑实情说以及相关工作开展情说的一种方搭。3.15
检查Examinatian
检测人员随过对检测对象进行观察、查验和分析等活动，获取证据以检查安全等级保护，安全风险评估，灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.16
测试 Testing
检测人员通过对检测对象按照预定的方法工具使其产生特定行为的活动，查看、分析输出结果，获取证据以检查安全等级保护。安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。
4即时消惠业务系统安全防护检测概述4.1即时消息业务系统安全防护检测范围即时消息业务系绕安全防护检测范围是运营企业自营的即时消息业务系统。根据YD/T2239-2011《增值业务网-即时消息业务系统安全防护要求》，本标准主要对即时消息业务系统安全等级保护、安全风险评估、灾难备份及恢复等工作的实施进行检测。4.2即时消息业务系统安全防护检测对象即时消息业务系统业务系统的安全防护检测对象是各个即时消息业务系统业务系统平台及其接口设备。安全等级保护的检测对象确定以后，安全风险评估的检溯对象、灾难备份及恢复的检测对象应与安全等级保护的检测对象样一致。4.3即时消息业务系统安全防护检测内容与即时消息业务系统安全防护要求相对应，即时消息业务系统安全防护检测内容主要包括以下3个部分：
一即时消息业务系统要全级保护检测主要包括业务安全检测、网络安全检测、设备安全检测、物理环境安全检测、管理安全检测等：一即时消息业务系统安全风险评估检测主要包括安全风险评估范围检测、安全风险评估内穿检测、安全风险评估要囊检测，安全风险评估赋值检测、安全风险评估计算检测、安全风险评估文件类型检测、安全风险评估文件记录检测等，即时消息业务系统灾难备份及恢复检测主要包括元余系统、允余设备及亢余链路检测、备份数据检测、人员和技术支持能力检、运行维护管理能力检测、灾难恢复预案检测等。4.4即时消患业务系统安全防护检测结果判定即时消息业务系统安全防护检测包括对即时消息业务系统的安全等级保护、安全风险评估、灾难备份及恢复3个部分的检测，应对3个部分的检测结果分别进行判定，并根据检测结果分剃出具检测报告，检测报告中应具体说明安全防护工作的优势和不足。对每一部分中的每一个检测项，应根据具体实施情况进行等级化评价（分5级：很好、较好、一般、较差，报差）。参照表1将各检测项的评价等级换算成评分，各检测项的分数经过一定的算法（例如加权3
TTTKAONATKACA
YD/T2240-2011
平均）分别得到安全等级保护、安全风险评估、灾难备份及恢复3个部分的总分数，根据总分数可分别对即时消息业务系统的安全等级保护、安全风险评估、灾难备份及恢复3个部分的检测结果进行等级化评定：总分数和评定等级的关系如表2所示。在计算总分数的过程中，应充分考虑到各检测项在安全防护检测要求中所占的比重，例如表3给出了即时消息业务系统安全等级保护各检测子类所占的比重。即时消息业务系统安全防护检测的结果还应充分考虑到各相关系统的检测结果。表1测试项评分方法
实施很好
实施较好
实施一般
实施较差
实施很差
4.5≤x<5
3.5≤x<4.5
2.5≤x<3.5
1.5≤x<2.5
1≤x<1.5
5安全等级保护检测要求
5.1第1级要求
不作要求。
5.2第2级要求
5.2.1业务安全检测要求
5.2.1.1身份鉴别
5.2.1.1.1检测方式
访谈，检查，测试。
5.2.1.1.2检测对象
即时消息业务系统。
5.2.1.1.3检测实施
表2总分数和评定等级的关系
定等级
表3安全等级保护检测子类所占比重业务安全
网络安全
主机安全
物理环境安全
管理安全
a）检查即时消息业务系统是否提供了专门的登录控制模块对登录用户进行身份标识和鉴别：4
TTTKNTKACA
YD/T2240-2011
b）询问相关技术人员，即时消息业务系统是否具有保证用户身份标识唯一性的措施；现场通过创建相同用户身份标识对系统进行测试，检查系统是否采取合理处理措施：c）现场创建简单账户口令（6位纯数字密码），检查系统否提供了账户口令复杂度检查功能，提醒用户设定复杂口令：
d）现场通过客户端多次（超过运营企业配置门限频次）尝试用错误用户口令登录系统，检查系统是否限制用户账产登录赖款。
5.2.1.2业务功能
5.2.1.2.1检测方式
访谈，检查，测试。
5.2.1.2.2检测对象
即时消息业务系统，相关服务器/主机检测报告，系统设计文档。5.2.1.2.3检测实施
a）现场申请即时消息业务账户，检查账户成功申请后，对于可能涉及用户隐私的服务，如定位服务：检查其服务的开启是否需要经过用户的授权：b）现场邀请好友超过运营企业配置门限频次，检查系统是否对邀请好友的数次进行了限制：c）询问和关技术人员，并检查系统相关检测报告或设计文档，即时消息业务系统是否能够对发送短消息彩信的频次进行限制，如果条件允许，可进行现场测试；d）现场通过客户端操作向51位好友群发短信，检查系统是否对其进行限制：e）现场通过客户端操作向51位好友群发彩信，检查系统是否对其进行限制。5.2.1.3信息保护
5.2.1.3.1检测方式
访谈，检查，测试。
5.2.1.3.2检测对象
即时消息业务系统，相关服务器/主机检测报告，系统设计文档。5.2.1.3.3检测实施
a）现场检查即时消息业务系统是秀提供了根据用户需求，对用户手机号码、个人信急等隐藏的功能：b）询问相关技术人员，即时消息业务系统是否建立了对于诈骗、虚假广告等信息处理机制，以防止类似信息的扩散：
e）询问相关技术人员，并现场检查即时消息业务系统是否采取加密方式对用户账户信息进行存储：）询问相关技术人员，检查相关服务器/主机检测报告及系统设计文档，即时消息业务系统是否提供了保护措施（如，加密机制）保扩用户间通信数据的机密性和完整性。5.2.2网络安全检测要求
5.2.2.1结构安全
5.2.2.1.1检测方式
访谈，检查，试。
5.2.2.1.2检测对象
系统设备，系统拓扑图，系统配置数据。5
TTIKANYKACA
YD/T2240-2011
5.2.2.1.3检测实施
a）检查系统拓扑结构图，是否与当前运行情况相符：b）访谈系统管理员，询问是否根据服务器/主机功能及其重要性等因素，划分不同的子网或网段，检查具体的网络划分情况。
5.2.2.2访问控制
5.2.2.2.1检测方式
访谈，检查。
5.2.2.2.2检测对象
系统服务器/主机，访问控制设备、相关服务器/主机检测报告，系统设计文档。5.2.2.2.3检剩实施
）访谈系统管理员，询问是否即时消息业务系统内服务器主机之间连接时支持相互安企认证功能，检查相关服务器/主机检测报告；b）访谈系统管理员，询问是否即时消息业务系统与其他外部系统设备（如，短消息网关）连接时支持相互安全认证功能，检查相关服务器/主机检测报告：c）访谈系统管理员，询间是否在系统边界部署访问控制设备，是否底用访问控制功能，检查访问控制配置数据：
d）访淡系统管理员，询问足否能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度否可为网段级，检查配置数据：e）访谈系统曾理员，询问是否按用户和系统之间的充许访间规则，决定允许或拒绝用户对受控系统行资源访问，控制粒度是否为单个用户，检查用户访问控制配置数据。5.2.2.3安全审计
5.2.2.3.1检测方式
访谈，检查。
5.2.2.3.2检测对象
系统眼务器/主机，系统服务器/主机运行状况回志、流量日志、用户行为日志，审计记录。5.2.2.3.3检测实施
a）访谈系统管理员，询间是否对系统中的服务器/主机运行状况、网络流盘、用户行为等进行日志记录：检查各项日志记录：
b）访谈系统管理员，询问是否有审计记录；检查审计记录，是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；心）访谈系统管理员，询问审计记录的保存时问是否超过180天，并现场检查相关记录。5.2.2.4边界完整性检查
5.2.2.4.1检测方式
访谈，检查。
5.2.2.4.2检测对敏
用户行为审计记求。
5.2.2.4.3检测实施
TTTKAONATKACA
YD/T 2240-2011
访谈系统管理员，询问否有措施保证内部网络中用户无法私自与外部网络连接，如果有措施，询问措施详情。
5.2.2.5入慢防范
5.2.2.5.1检测方式
访谈，检查，
5.2.2.5.2检测对象
两络监测记录。
5.2.2.5.3检测实施
访谈系统管理员，询问是否可在系统边界处监测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻计、IP碎片攻市和网络端虫攻注等：检查是否具备系统攻击监视记录。5.2.2.6其他
5.2.2.6.1检测方式
访谈，检查。
5.2.2.6.2检测对象
设备入网证。
5.2.2.6.3检测实施
检查系统中各类路由器、交换器、宽带接入服务器等网络设备是否具有入网许可证。5.2.3主机安全
5.2.3.1身份鉴别
5.2.3.1.1检测方式
访谈，检查。
5.2.3.1,2检测对象
机设备，操作系统，数据库。
5.2.3.1.3检测实施
a）访谈系统管理员，询问是否对登录操作系统和数据库系统的用进行身份标识和鉴别：b）访谈系统管理员，谢问操作系统利数据库系统管理用户身份标识是否具有不易被冒用的特点c）访谈系统管理员，询问口令是否有复杂度要求：使用大写字母、小写字仔、数字、标点及特殊字符4种字符中至少2种的组合，且与用户名或功光相关性，d）访谈蔡统管理员，简问口令是否定期更换，且周期小于如天，捡查口令更改记录：e）访谈系统管理员，谢问是否启用登录失败处理功能，是否来取结束会话、限制非法登录次数和自动退出等措施；现场进行测试
f）谈系统管理员，询问当对服务器/主机进行远程管理时，是否采取必婴措施，防止鉴别信息在网络传输过程中被窃听：
g）访谈系统管理员，询问是否为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。
5.2.3.2访问控制
5.2.3.2.1检测方式
YD/T 2240-2011
访谈，捡查。
5.2.3.2.2检测对象
主机设备，操作系统，数据库。5.2.3.2.3检测实施
a）访谈系统管理员，询问是否启用访问控制功能，依据安全策略控制用户对资源的访问；b）访谈系统管理员，询问是香实现操作系统和数据库系统特权用户的权限分离：c）访谈系统管理员，询问是否限制默认账户的访问权限，修改这些账户的默认口令：是否重命名系统默认账户（情况了解）：
d）访谈系统管理员，询问是否及时删除多余的、过期的账户，避免共享账户的存在。5.2.3.3安全审计
5.2.3,3.1 检测方式
访谈，检查。
5,2.3.3.2检测对象
主机设备，操作系统，数据库，审计记录。5.2.3.3.3检测实施
a）访谈系统管理员，询问审计范围是否覆盖到服务器/主机上的每个操作系统用户和数据库用户；b）访谈系统管理员，询问审计内容是否包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件：c）检查审计记录，是否包括事件的日期、时间、类型，主体标识，客体标识和结果等：d）访谈系统管理员，询问是否保护审计记录，避免受到未预期的删除、修改或覆盖等；e）访谈系统管理员，询问审计记求保存期限是否至少为180天。5.2.3.4入侵防范
5.2.3.4.1检测方式
访谈，检查。
5.2.3.4.2检测对象
主机设备，操作系统。
5.2.3.4.3检测实施
访谈系统管理员，询问操作系统是否遵循最小安装的原则，仅安装需要的组件和应用程序，保持系统补了及时得到更新。
5.2.3.5病毒和攻击防范
5.2.3.5.1检测方式
访谈，检查。
5.2.3.5.2检测对象
主机设备，防病毒和攻击软件更新记录，病毒库更新记录。5.2.9.5.3检测实施
a）访谈系统管理员，询间是否安装病毒和攻击软件，是否及时更新防病毒和攻击软件版本和病毒库；检查防病毒和攻击软件和病表库的更新记录8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。