YD/T 1746-2013 IP承载网安全防护要求 YD/T1746-2013 标准压缩包解压密码：www.bzxz.net

ICS33.040
中华人民共和国通信行业标准
YD/T1746-2013
代替YD/1746-2008
IP承载网安全防护要求
Security protection requirements for the IP bearer network2013-07-22发布
2013-10-01实施
中华人民共和国工业和信息化部发布前言
2规范性引用文件
3术语、定义和缩略语·
3.1术语和定义
3.2缩略语
4IP承载网安全防护概述
4.1IP承载网安全防护范围
4.2IP承载网安全防护内容
5IP承载网定级对象和安全等级确定6IP承载网安全防护要求·
6.1第1级要求
第2级要求
第3.1级要求·
6.4第3.2级要求
6.5第4级要求.
6.6第5级要求·
附录A（规范性附录）
IP承载网风险分析
参考文献·
YD/T1746-2013
YD/T1746-2013
本标准是“电信网和互联网安全防护体系”系列标准之一，该系列标准的结构及名称预计如下：1.《电信网和互联网安全防护管理指南》2.《电信网和互联网安全等级保护实施指南》3.《电信网和互联网安全风险评估实施指南》4.（《电信网和互联网灾难备份及恢复实施指南）5.《固定通信网安全防护要求》6.《移动通信网安全防护要求》7.《互联网安全防护要求》
《增值业务网一消息网安全防护要求《增值业务网一智能网安全防护要求》9
《接入网安全防护要求》
《传送网安全防护要求》
《IP承载网安全防护要求》（本标推）《信令网安全防护要求》
《同步网安全防护要求》
《支撑网安全防护要求》
《非核心生产单元安全防护要求》16.
《电信网和互联网物理环境安全等级保护要求》18.
《电信网和互联网管理安全等级保护要求》19.
《固定通信网安全防护检测要求》20.
《移动通信网安全防护检测要求》21.《互联网安全防护检测要求》《增值业务网一消息网安全防护检测要求》22.
《增值业务网一智能网安全防护检测要求》23.
《接入网安全防护检测要求》
《传送网安全防护检测要求》
《IP承载网安全防护检测要求》《信令网安全防护检测要求》
《同步网安全防护检测要求》
《支撑网安全防护检测要求》
《非核心生产单元安全防护检测要求》30.
31：《电信网和互联网物理环境安全等级保护检测要求》I
YD/T1746-2013
32.《电信网和互联网管理安全等级保护检测要求》33.《域名系统安全防护要求》
34.《域名系统安全防护检测要求》《网上营业厅安全防护要求》
《网上营业厅安全防护检测要求》36.
《WAP网关系统安全防护要求
38.《WAP网关系统安全防护检测要求》《电信网和互联网信息服务业务系统安全防护要求》39.
40.《电信网和互联网信息服务业务系统安全防护检测要求》《增值业务网即时消息业务系统安全防护要求》41.
《增值业务网即时消息业务系统安全防护检测要求43.
《域名注册系统安全防护要求》《域名注册系统安全防护检测要求》44.
《移动互联网应用商店安全防护要求》45.
46.《移动互联网应用商店安全防护检测要求》47.《内容分发网（CDN）安全防护要求》48.《内容分发网（CDN）安全防护检测要求》49.《互联网数据中心安全防护要求》50.《互联网数据中心安全防护检测要求》本标准与YD/T1747-2013《IP承载网安全防护检测要求》配套使用。本标准附录A为规范性附录。
本标准是YD/T1746IP承载网安全防护要求》的修订版本。本标准与YD/T1746的主要差异在于：1.本标准第3章更新了适用于本标准的缩略语，主要涉及3.2节2.本标准第4章修改和完善IP承载网安全防护范围及安全防护内容，主要涉及4.1节、4.2节，3.本标准第6章更名为\IP承载网安全防护要求”，6.1节更名为“第1级要求”、6.2节更名为“第2级要求”、6.3节更名为\第3.1级要求”，新增6.4节“第3.2级要求”、6.5节\第4级要求”、6.6节\第5级要求”；4.删除原标准第6章IP承载网资产、脆弱性、威胁分析”，原标准中定级对象有关资产、脆弱性、威胁的分析经修改和完善后并入新增附录A\TP承载网风险分析”5.删除原标准第7章\IP承裁网安全等级保护要求”，原标准中定级对象有关等级保护的要求经修改和完誉后并入第6章，网络安全要求主要涉及6.2.1节、6.3.1节和6.4.1节，设备安全要求主要涉及6.2.2节、6.3.2节和6.4.2节，物理环境要求主要涉及6.2.3节、6.3.3节和6.4.3节，管理安全要求主要涉及6.2.4节、6.3.4节和6.4.4节；
6.删除原标准第8章\IP承载网灾难备份及恢复要求”，原标准中定级对象有关灾难备份及恢复的要求经修改和完善后并入第6章，元余系统、元余路由和数据备份要求主要涉及6.2.1节、6.3.1节和6.4.1节，人员技术能力、运维管理和灾难恢复预案要求主要涉及6.2.4节、6.3.4节和6.4.4节。iiKacaQiaiKAca-
YD/T1746-2013
随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院、中国电信集团公司、中国移动通信集团公司、中国联合网络通信集团有限公司。
本标准主要起草人：杨剑锋、封莎、祝卓、王新峰、李友国、马广宇、陈利军。本标准于2008年1月首次发布，本次为第一次修订。V
1范围
IP承载网安全防护要求
YD/T1746-2013
本标准规定了IP承载网在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护要求。本标准适用于公众IP承裁网。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD/T1096
YD/T1097
YD/T1163
YD/T1170
YD/T1255
YD/T1099
YD/T1358
YD/T1359
YD/T1452
YD/T1454
YD/T1478
YD/T1627
YD/T1629
YD/T1691
YD/T1728
YD/T1729
YD/T1730
YD/T1731
YD/T1754
YD/T1756
路由器设备技术规范—边缘路由器路由器设备技术规范—核心路由器IP网络安全技术要求一一安全框架IP网络技术要求—网络总体
具有路由功能的以太网交换机技术要求以太网交换机技术要求
路由器设备安全技术要求—中低端路由器(基于IPv4)路由器设备安全技术要求一高端路由器(基于IPv4）IPv6网络设备技术要求—支持IPv6的边缘路由器IPv6网络设备技术要求支持IPv6的核心路由器电信管理网安全技术要求
以太网交换机设备安全技术要求具有路由功能的以太网交换机设备安全技术要求具有内容交换功能的以太网交换机设备安全技术要求电信网和互联网安全防护管理指南电信网和互联网安全等级保护实施指南电信网和互联网安全风险评估实施指南电信网和互联网灾难备份及恢复实施指南电信网和互联网物理环境安全等级保护要求电信网和互联网管理安全等级保护要求3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。3.1.1
IP承载网安全等级SecurityClassificationofIPBearerNetworkIP承载网安全重要程度的表征。重要程度可从IP承载网受到破坏后，对国家安全、社会秩序、经济1
rKacadiaiKAca
YD/T1746-2013
运行、公共利益、网络和业务运营商造成的损害来衡量。3.1.2
IP承载网安全等级保护ClassifiedSecurityProtectionofIPBearerNetwork对IP承载网分等级实施安全保护。3.1.3
组织Organization
组织是由不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。3.1.4
IP承载网安全风险SecurityRiskofIPBearerNetwork人为或自然的威胁可能利用IP承载网中存在的脆弱性导致安全事件的发生及其对组织造成的影响。3.1.5
IP承载网安全风险评估SecurityRiskAssessmentofIPBearerNetwork指运用科学的方法和手段，系统地分析IP承裁网所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解IP承载网安全风险，或者将风险控制在可接受的水平，为最大限度地保障IP承载网的安全提供科学依据。3.1.6
IP承载网资产AssetofIPBearerNetworkIP承载网中具有价值的资源，是安全防护保护的对象。IP承载网中的资产可能是以多种形式存在的，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务承裁能力、人员和管理等各种类型的资源。3.1.7
IP承载网资产价值AssetValuefIPBearerNetworkIP承载网中资产的重要程度或敏感程度。IP承载网资产价值是IP承载网资产的属性，也是进行IP承载网资产识别的主要内容。
IP承载网威胁ThreatofIPBearerNetwork可能导致对P承载网产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。常见的IP承载网络威胁有攻击、嗅探、设备节点故障、火灾和水灾等。3.1.9
IP承载网脆弱性VulnerabilityofIPBearerNetwork脆弱性是IP承载网中存在的弱点、缺陷与不足，不直接对IP承载网资产造成危害，但可能被IP承载网威胁所利用从而危及IP承载网资产的安全。3.1.10
IP承载网灾难DisasterofIPBearerNetwork由于各种原因，造成IP承载网故障或瘫痪，使IP承载网支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。2
IP承载网灾难备份BackupforDisasterRecoveryofIPBearerNetwork为了IP承载网灾难恢复而对相关的网络要素进行备份的过程。3.1.12
IP承载网爽难恢复DisasterRecoveryofIPBearerNetworkYD/T1746-2013
为了将P承载网从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.2缩略语
下列缩略语适用于本文件。
Border Gateway Protocol
DistributedDenial of ServiceDenial of Servicebzxz.net
IntermetProtocol
IntermediateSystemto IntermediateSystemInformation Technology
Multi-ProtocolLabel Switch
Quality of Service
Qos Policy Propagation through the BGPOpen Shortest Path First
Resource ReSerVation ProtocolSimple Network Management ProtocolSecure Shell
Secure Socket Layer
Transport Layer Security
User Security Model
View-based Access Control Model4IP承载网安全防护概述
4.1IP承载网安全防护范围
边界网关协议
分布式拒绝服务
拒绝服务
互联网协议
中间系统到中间系统
信息技术
多协议标签交换
服务质量
通过BGP的QoS策略传播
开放式最短路径优先
资源预留协议
简单网络管理协议
安全外壳
安全套接层
传输层安全
用户安全模型
基于视图的访问控制模型
P承载网是指以IP技术为基础的用于承载各类业务网数据的承载网络，是构成数据通信网络的基础网络。卫承载网的基本功能主要包括为上层应用和业务网络提供分组数据的网络路由、交换和传送等。IP承载网安全防护的范畴包括基于IP协议的承载网络本身以及与之相关联且未纳入其他单元（如支撑网和非核心生产单元等）安全定级范围的运维、管理和监测等辅助性IT系统。作为承载各种业务及上层应用的信息和数据、连接相关业务系统和功能平台的综合承载网络，IP承载网络的安全可靠性直接关联到业务网络及相关客类业务和上层应用的安全可靠性。4.2IP承载网安全防护内容
依据YD/T1728，电信网和互联网安全防护体系涉及安全风险评估、安全等级保护、灾难备份及恢复三部分，结合IP承载网和相关设备的特性、主要薄弱点和脆弱性、主要潜在安全威胁等，安全防护内3
iiKacaQiaiKAca-
YD/T1746-2013
容及要求着重突出IP承载网络及相关辅助性IT系统在不同管理、运营场景下相应的安全需求。IP承载网安全防护工作中对有关资产、脆弱性、威胁进行识别和分类的依据见本标准附录A。根据P承载网络及有关辅助系统的特点，应有针对性的开展网络安全评测评估工作，侧重选取网络设备/主机、独立软件和网络资源等主要类别的资产，对可能存在网络保护和恢复能力缺陷、安全技术措施和策略蒲洞、业务管理（如业务接入、服务优先级、授权访问、资源管理、数据信息检查和过滤）方面缺陷或漏洞、数据安全保护技术缺陷和安全管理策略漏洞等方面的技术脆弱性进行分析，科学选择有效的手段和措施，规避或降低设备差错及故障、数据信息泄露、链路拥塞、恶意攻击和入侵等影响网络和业务安全的风险，切实保障通信网络和业务的可靠和稳定。IP承载网安全防护内容及要求可划分为网络安全、设备安全、物理环境安全和管理安全等四个层面。其中：
网络安全
主要包括IP承载网络和相关系统层面的结构拓扑、元余保护与灾备恢复、网络管理和网络攻击防范等方面内容和要求；
一设备安全
主要包括P承载网相关数据网络设备和通用主机设备安全的内容和要求物理环境安全
除YD/T1754要求外，还包括防虫鼠、机房承重等方面内容和要求：管理安全
除YD/T1756要求外，还包括风险评估、应急预案等方面内容和要求。5IP承载网定级对象和安全等级确定我国公众IP承载网定级对象通常应为IP骨干网、IP城域网。网络和业务运营商应根据YD/T1729中确定安全等级的方法对IP承载网定级，即对P骨干网、IP城域网根据社会影响力、所提供服务的重要性、服务规模的大小分别定级，权重α、β、y可根据具体网络情况进行调节。考虑到不同地域IP城域网络的规模、结构、运营和管理等因素对于网络安全防护要求的差异，网络和业务运营商可根据实际情况，将IP城域网下辖核心层、汇聚层等网络作为独立的对象，确定相应的安全等级以实施安全防护。
6IP承载网安全防护要求
6.1第1级要求
本标准对安全等级为第1级的IP承载网暂不作要求。6.2第2级要求
6.2.1网络安全要求
6.2.1.1网络拓扑
a）IP承载网的网络结构与组织应符合YD/T1170的要求。b）IP承载网节点部署及传输层路由的规划合理，具有较高的可用性和可扩展性。）IP承载网节点域内接口应使用内部路由协议（如OSPF、ISIS等）：域间接口应使用外部路由协议（如BGP等）。
YD/T1746-2013
d）IP承载网的地址应统一规划和分配，体现网络层次性和有利于路由的组织，并应保留一定的备用地址，满足业务发展的需求。6.2.1.2网络保护与恢复
a）IP承载网节点重要部件和模块（如电源模块、主控模块等）应配置为主备用方式。b）P承载网重要节点（如核心节点、汇接节点等）间链路应采取链路余保护措施（如链路1+1保护等），以保证网络具有抗灾以及灾难恢复能力。c）IP承载网应根据业务或应用的需求采用链路聚合、转发检测、保护倒换和重路由等安全保护措施。
d）IP城域网络间应通过骨干网络或城域汇接节点实现互联。e）P承载网相关关键数据（如业务数据、配置数据、性能数据和告警数据等）应有本地数据备份，并按介质特性对备份数据进行定期的有效性验证（至少每季度一次）。f）IP承载网的灾难恢复应根据灾难的情况，首先保证应急通信、重要应用和业务网络的通信，然后恢复一般应用和业务网络的通信。g）P承载网网络灾难备份和恢复时间应满足行业管理、网络和业务运营商应急预案的要求。6.2.1.3网络管理
a）P承载网应根据网络结构形式采用分域的管理方式，并根据实际需求或运维体制设置分级权限，实现对网络的灵活管理。
b）IP承载网业务网络与运维、管理、监测等辅助系统（或平台）间应实现逻辑隔离，并启用安全域访问控制策略，严格限制对有关设备的访问。c）IP承载网网络管理应采用安全的管理、控制信慰的分发和过滤机制，网络管理会话信息应通过加密方式传送。
d）网络设备应设置专用管理接口，对于目的地址为设备管理接口的非管理报文、目的地址为设备数据业务接口的报文应进行严格过滤和限制。e）IP承载网网络管理应使用用户安全鉴别和认证措施，应符合YD/T1478的要求。f）IP承载网应有与当前网络节点、链路等资源配置和运营情况相符合的网络拓扑图（或记录完整拓扑信息的运维文档）。
6.2.1.4网络安全防范
a）P承载网应具有抵御常见网络攻击、差错防范和处理的设计，在边界部署和启用攻击入侵防范技术手段，防范针对网络设备和IT系统的常见攻击及入侵（如端口扫描、木马后门、DoS/DDoS攻击、缓冲区溢出攻击、IP碎片攻击和网络端虫等）。b）IP承载网相关系统、设备对各类管理和维护用户应启用登录失败保护和处理措施。e）在数据转发平面，IP城域网核心层、汇聚层和接入层都应启用源地址认证策略，以有效防止网内地址仿冒。对于IP城域网接入层，网络和业务运营商可对相关设备和区域网络业务状况进行必要的评估，在不严重影响有关设备运行和网络业务稳定的前提下启用源地址认证功能。暂不具备实施条件的：应制定明确的改造计划，并按要求及早完成有关设备的更新、升级工作。d）IP承载网应采用有效的QoS和流量管理策略，应保证管理和控制信息具有较高的优先级，应对网内广播、组播类数据流量进行必要的限制和管理。5
iiKacaQiaiKAca-
YD/T1746-2013
e）网络设备的软件应具备实时操作、信息处理、更新升级、差错防护和故障定位等功能。f）IP承载网建立具有介质存取、验证和转储制度，确保备份数据授权访问。g）与IP承载网及其业务相关联的运维、管理、监测等系统的应用应当限制和禁用可能造成漏洞的服务和端口，应在系统边界启用必要的防攻击、防入侵措施（如安装和使用防火墙、入侵检测等安全设备等），系统相关软件应及时安装补丁，定期检查更新，及时消除可能的隐患。h）IP承载网和相关系统内部署的安全设备在发生攻击或入侵时，应能及时准确的提供攻击或入侵的报警、监测信息。
1）各类设备及系统应启用完整的安全日志功能，并实现日志的管理和安全审计，日志记录保存时间不少于90天、审计记录保存时间不少于180天。日志应包含访问、配置、状态、统计和告警等安全相关事件的来源、时间和描述等信息内容。6.2.2设备安全要求
6.2.2.1数据网络设备安全要求
IP承载网相关数据网络设备主要包括各类路由器、交换机设备等，相关设备应满足：a）网络设备的安全应满足相关设备技术规范、设备安全要求以及设备入网管理相关要求的规定（如以太网交换机的安全应满足YD/T1099、YD/T1627等相关标准的安全要求；具有路由功能的以太网交换机的安全应满足YD/T1255、YD/T1629等相关标准的安全要求；具有内容交换功能的以太网交换机的安全应满足YD/T1691等相关标准的安全要求；低端路由器或边缘路由器的安全应相应满足YD/T1096、YD/T1358、YD/T1452等相关标准的安全要求；高端路由器或核心路由器的安全应相应满足YD/T1097、YD/T1359、YD/T1454等相关标准的安全要求等）。b）现网使用的网络设备应进行覆盖用户安全标识和认证、数据保护、设备容错、访问控制、安全日志与审计、资源调度和安全管理等方面内容的安全检测，出具安全测试及验收报告并妥善保存。c）对登录设备的管理用户应进行有效的身份标识和鉴别，确保用户标识具有唯一性，应为不同用户分配不同的权限。相关用户的口令长度应不小于8字节，口令应有一定的复杂度，并定期更换（账号的口令更新周期不天于90天）。
6.2.2.2通用主机设备安全要求
IP承载网相关通用主机设备主要包括各类通用服务器、工作站、终端和数据库等，相关设备应满足：a）现网使用的通用主机设备应进行覆盖用户安全标识和认证、数据保护、设备容错、访间控制、安全日志与审计、资源调度和安全管理等方面内容的安全检测，出具安全测试及验收报告并妥普保存。6）对设备操作系统和相关应用的用户应进行有效的身份标识，为有关用户分配不同的标识（或账号、用户名等），并确保标识具有唯一性且不易被冒用。相关用户的口令长度应不小于8字节，口令应有复杂度要求（使用大写字母、小写字母、数字、标点及特殊字符四种学符中至少三种的组合，且与用户名或ID无相关性）并定期更换（账号的口令更新周期不大于90天）。c）当对各类主机进行远程管理时，应采取安全加密保护措施，防止鉴权信息在传输过程中被窃听。
d）依据统一的安全策略，启用访问控制功能，对各类用户的访问进行管理，应及时删除多余的、过期的账户，禁用共享账户。
e）应实现操作系统和各类应用的特权用户的权限分离，应限制或禁止默认账户的访问权限。6
YD/T1746-2013
f）应通过设定终端接入方式、网络地址范围等条件限制终端登录，应根据安全策略设置登录终端的操作超时锁定。
g）审计范围应覆盖到主机/服务器上的每个操作系统用户和应用用户。审计内容应包括用户重要行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件，审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。h）应保护审计记录，避免其受到未预期的翻除、修改或覆盖等。)通用主机设备操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过安全的方式（如设置升级服务器）保证系统及时得到更新（至少每两周一次）。j）通用主机设备应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库（至少每两周一次）。
6.2.3物理环境安全要求
a）应满足YD/T1754中第2级的相关要求。b）IP承载网相关设备所处机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚊害。6.2.4管理安全要求
a）应满足YD/T1756中第2级的相关要求。b）IP承载网及其所属各类设备、系统应按照YD/T1730的相关要求定期进行安全风险评估（至少每两年一次），风险评估范围应与IP承载网安全防护范围一致。c）IP承载网安全风险评估至少应覆盖网络安全、设备安全、物理环境安全等相美技术风险和人员安全、运维安全等相关管理风险，至少包含IP承载网相关资产、脆弱性、威胁、安全措施、风险分析等要素和内容，并根据评估结果制定相应的风险处理计划。d）IP承载网运维应设有相应的管理责任人。e）P承载网应按照YD/T1731的相关要求制定灾难恢复预案，并定期组织灾难恢复预案的教育培训（至少每半年一次）和演练（至少每年一次）。6.3第3.1级要求
6.3.1网络安全要求
6.3.1.1网络拓扑
除满足第2级的要求之外，还应满足：a）IP承载网络结构根据网络的运营、管理或区域等因素在逻辑上合理的实现分层和分级，IP承载网自治域划分应与网络结构和组织形式保持一致。b）P承载网核心节点间应采用全网状连接。c）IP骨干网节点分布应能满足周边网络接入的需求，节点功能应能满足网络可扩展的需求。d）IP城域网汇聚层节点组织和分布应能满足业务接入和汇聚的需求。6.3.1.2网络保护与恢复
除满足第2级的要求之外，还应满足；a）IP承载网重要节点（如核心节点、汇接节点等）应采用节点余的保护措施，保证网络具有较高的抗灾以及灾难恢复能力。
b）IP承载网重要节点（如核心节点、汇接节点等）间应室少保有两条不同物理路径的连接7
iiKacaQiaiKAca-
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。