YD/T 2241-2011
基本信息
标准号： YD/T 2241-2011
中文名称：WAP网关系统安全防护要求
标准类别：通信行业标准(YD)
标准状态：现行
出版语种：简体中文
下载格式：.rar .pdf
下载大小：1120KB
标准分类号
关联标准
出版信息
相关单位信息
标准简介
YD/T 2241-2011 WAP网关系统安全防护要求
YD/T2241-2011
标准压缩包解压密码：www.bzxz.net
标准图片预览
标准内容
ICS33.040.20
中华人民共和国通信行业标准
YD/T2241-2011
WAP网关系统安全防护要求
Security protection requirements for WAP gateway system2011-05-18发布
2011-06-01实施
中华人民共和国工业和信息化部发布前
2规范性引用文件
3术语、定义和缩略语
3.1术语和定义
3.2缩略语
4WAP网关安全防护概述
4.1WAP网关系统安全防护范围
WAP网关系统安全防护内容..
WAP网关系统安全定级对象和安全等级确定·5
6WAP网关系统资产、脆弱性、威胁分析6.1
资产分析
脆弱性分析
威胁分析
WAP网关系统安全等级保护要求·7.1
第1级要求
第2级要求
第3.1级要求·
第3.2级要求
第4级要求
第5级要求
WAP网关系统灾难备份及恢复要求8.1
概述-
第1级要求
第2级要求·
第3.1级要求·
第3.2级要求
第4级要求.
第5级要求·
参考文南
YD/T2241-2011
YD/T2241-2011
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：1.《电信网和互联网安全防护管理指南》2.
《电信网和互联网安全等级保护实施指南》3.
《电信网和互联网安全风险评估实施指南》《电信网和互联网灾难备份及恢复实施指南》《固定通信网安全防护要求》
《移动通信网系统安全防护要求》《互联网安全防护要求》
《增值业务网一消息网安全防护要求》《增值业务网一智能网安全防护要求》《接入网安全防护要求》
《传送网安全防护要求》
《IP承载网安全防护要求》
《信令网安全防护要求》
《同步网安全防护要求》
《支撑网安全防护要求》
《非核心生产单元安全防护要求》《电信网和互联网物理环境安全等级保护要求》《电信网和互联网管理安全等级保护要求》《固定通信网安全防护检测要求》《移动通信网安全防护检测要求》《互联网安全防护检测要求》
《增值业务网一消息网安全防护检测要求》《增值业务网一智能网安全防护检测要求》《接入网安全防护检测要求）
《传送网安全防护检测要求》
《IP承载网安全防护检测要求》《信令网安全防护检测要求》
《同步网安全防护检测要求》
《支撑网安全防护检测要求》
《非核心生产单元安全防护检测要求》《电信网和互联网物理环境安全等级保护检测要求》《电信网和互联网管理安全等级保护检测要求》YD/T2241-2011
《域名系统安全防护要求》
《域名系统安全防护检测要求》《网上营业厅安全防护要求》
《网上营业厅安全防护检测要求》《WAP网关系统安全防护要求》
《WAP网关系统安全防护检测要求》《电信网和互联网信息服务业务系统安全防护要求》《电信网和互联网信息服务业务系统安全防护检测要求》《增值业务网即时消息业务系统安全防护要求》《增值业务网即时消息业务系统安全防护检测要求》《域名注册系统安全防护要求》《域名注册系统安全防护检测要求》本标准与YD/T2242-2011《WAP网关系统安全防护检测要求》配套使用。随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院。本标准主要起草人：崔媛媛、袁琦。Ⅲ
-rKacadhaiKAca
1范围
WAP网关系统安全防护要求
YD/T2241-2011
本标准规定了WAP网关系统在风险分析、安全等级保护、灾难备份及恢复等方面的安全防护要求。本标准适用于公众电信网中的WAP网关系统。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。YD/T1754-2008
YD/T1756-2008
YD/T1752-2008
YD/T1734-2009
YD/T1392-2005
移动上网日志留存规范
3术语、定义和缩略语
3.1术语和定义
电信网和互联网物理环境安全等级保护要求电信网和互联网管理安全等级保护要求支撑网安全防护要求
移动通信网安全防护要求
无线应用协议（WAP）网关设备技术要求下列术语和定义适用于本标准。3.1.1
WAP网关系统安全等级SecurityClassificationofWAPGatewaySystemWAP网关系统安全重要程度的表征。重要程度可从WAP网关系统受到破坏后，对国家安全，社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.1.2
WAP网关系统安全等级保护ClassifiedSecurityProtectionofWAPGatewaySystem对WAP网关系统分等级实施安全保护。3.1.3
组织Organization
由WAP网关系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作：一个单位是一个组织，某个业务部门也可以是一个组织。3.1.4
WAP网关系统安全风险SecurityRiskofWAPGatewaySystem人为或自然的威胁可能利用WAP网关系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
YD/T2241-2011
WAP网关系统安全风险评估SecurityRiskAssessmentofWAPGatewaySystem指运用科学的方法和手段，系统地分析WAP网关系统所面临的崴胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度。为进一步提出有针对性的抵御威胁的防护对策和安全措施，防范和化解WAP网关系统安全风险，将风险控制在可接受的水平，为最大限度地保障WAP网关系统的安全提供科学依据。
WAP网关系统资产AssetofWAPGatewaySystemWAP网关系统中具有价值的资源，是安全防护保护的对象。WAP网关系统中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括WAP网关、物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如WAP网关系统设备、WAP网关系统的链路、WAP网关系统的网络布局等。3.1.7
WAP网关系统资产价值AssetValueofWAPGatewaySystemWAP网关系绕中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。3.1.8
WAP网关系统威胁ThreatofWAPGatewaySystem可能导致对WAP网关系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的可能是无意失误，也可能是恶意攻击。常见的WAP网关系统络威胁有外部攻击、链路中断、设备节点失效、火灾、水灾等。
WAP网关系统脆弱性VulnerabilityofWAPGatewaySystemWAP网关系统中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危及资产的安全。
WAP网关系统灾难DisasterofWAPGatewaySystem由于各种原因，造成WAP网关系统故障或瘫痪，使WAP网关系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.1.11
WAP网关系统灾难备份BackupforDisasterofWAPGatewaySystem为了WAP网关系统灾难恢复而对相关网络要素进行备份的过程。3.1.12
WAP网关系统灾难恢复DisasterRecoveryofWAPGatewaySystem为了将WAP网关系统从灾难造成的故障或瘫痰状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态：而设计的活动和流程。3.1.13
WAP网关系统相关系统SystemsofWAPGatewaySystem2
iiKacadiaiKAca
YD/T2241-2011
组成WAP网关系统的相关系统，包括移动通信网中的核心网络设备，以及计费系统、网管系统。3.2缩略语
下列缩略语适用于本标准。
GatewayGPRSSupportNode
Packet Data Service Node
PushInitiator
PushProxyGateway
Secure Sockets Layer
ServiceProvider
IntermetProtocol
Transport Layer Security
Virtual PrivateNetwork
Wireless Application Protocol关口GPRS支持节点
分组数据服务节点
push发起者
Push代理网关
套接字安全层
服务提供商
因特网协议
传输层安全
虚拟专用网
无线应用协议
WirelessTransportLayerSecurity无线传输层安全4WAP网关安全防护概述
4.1WAP网关系统安全防护范围
WAP网关系统位于移动运营商网络中，为移动用户提供基于WAP协议的Internet接入，以及WAPPush业务、浏览业务。同时，基于WAP网关系统，可以为其他数据业务（如多媒体消息业务）提供网络接入与承载。
WAP网关系统在网络中的位置示意如图1所示。业务提供商
多媒体酒息
WAP业务单
GGSN/PDST
无线传输网络
短信模块
WAP网关系统
计费系统
网管系统
多媒体邦件
即时消息
其他数据
业务系统
图1WAP网关系统在网络中的位置示意图WAP网关系统安全防护的范围包括WAP网关系统。WAP网关系统包括WAP代理网关、Push代理网关（PPG）、数据库、安全设备（如防火墙）及其他服务器（如统计分析服务器）等。3
YD/T2241-2011
为配合WAP网关系统提供WAP业务，需要移动通信网中的核心网络设备的支持，还要与现网中的计费系统、网管系统等互联。核心网络的安全防护要求参见YD/T1734-2009，计费和网管部分的安全防护要求参见YD/T1752-2008
4.2WAP网关系统安全防护内容
根据电信网和互联网安全防护体系的要求，将WAP网关系统安全防护内容分为安全风险评估、安全等级保护、灾难备份及恢复等3个部分，本标准规定了WAP网关系统中的安全防护内容：—WAP网关系统安全风险评估
主要包括资产识别、脆弱性识别、威胁识别、已有安全措施的确认、风险分析、风险评估文件记录等。本标准仅对WAP网关系统进行资产分析、脆弱性分析、威胁分析，在WAP网关系统安全风险评估过程中确定各个资产、脆弱性、威胁的具体值，资产、脆弱性、威胁的赋值方法及资产价值、风险值的计算方法参见YD/T1731-2008《电信网和互联网安全风险评估实施指南》。-WAP网关系统安全等级保护
主要包括定级对象和安全等级确定、业务安全、网络安全、设备安全、物理环境安全、管理安全等。WAP网关系统灾难备份及恢复
主要包括灾难备份及恢复等级确定，针对灾难备份及恢复各资源要素的具体实施等。WAP网关系统安全定级对象和安全等级确定一个WAP网关系统覆盖的业务区域可能是一个省/市，或多个省，可将WAP网关系统作为一个定级对象。
网络和业务运营商应根据YD/T1729-2008《电信网和互联网安全等级保护实施指南》中确定网络安全等级的方法（附录A），对WAP网关系统进行定级，即对WAP网关系统根据社会影响力、所提供服务的重要性、规模和服务范围分别定级，权重α、β、可根据具体网络情况进行调节。WAP网关系统资产、脆弱性、威胁分析4.3资产分析
WAP网关系统安全风险评估的资产至少应包括设备硬件、设备软件、重要数据、提供的服务、文档、人员等。如表1所示。
表1WAP网关系统资产
设备硬件
设备软件
重要数据
服务/业务
WAP代理网关、Push代理网关（PPG）、数据库、安全设备《如防火墙）及其他服务器（如统计分析服务器）等：
物理环境设备：机房、电力供应系统、电磁防护系统、防火、防水和防潮系统、防静电系统、防雷击系统、温湿度控制系统等：链路：
操作继护系统
设备的系统软件；操作系统、各种数据库软件等：系统控制软件、协议软件：
操作维护系统软件
支择WAP网关系统运行的各种重要数据包括用户数据、业务数据、计费数据（指话单数据）、网络配置数据。管理员操作维护记录等WAP网关系统提供的各种业务：基本浏览、Push消息业务，以及各种数据业务的接入服务等rKacaCiaiKAca
YDT2241-2011
网络拓扑
4.4脆弱性分析
表1（续）
YD/T2241-2011
纸质以及保存在存储介质中的各种文件，如设计文档、技术要求、管理规定机构设置、管理制度、人员管理办法）、工作计划、技术或财务报告、用户手册、维护手册等掌握重要技术的人员，如网络维护人员、设备维护人员、网络或业务的研发人员等WAP网关系统内部节点和链路之间的连接WAP网关系统的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑。脆弱性识别对象应以资产为核心。表2给出部分脆弱性识别内容。表2WAP网关系统脆弱性分析
技术脆弱性
管理胞弱性
业务/应用
设备（含操作系统
和数据库）Www.bzxZ.net
物理环境
4.5威胁分析
存在的脆弱性
网络和设备的处理能力不够而导致在突发话务量高时业务提供不连续，业务数据的保密性不够，重要数据未及时进行本地和异地备份WAP网关系绕网络拓扑设计不合理，网络系统节点设备、路由配置不合理或不够，通信安全保护不充分，WAP网关系统外部和内部的访问控制不够等账号和口令保护不够，鉴权和访间控制机制不完善，重要部件未配置主备用保护。系统配置不合理、设备补工安装不及时、设备防病毒和防攻击能力不够，备份和恢复机制不健全，设备超过使用年限或核心部件老化，设备发生故障后未及时告警机房场地选择不合理，防火、供配电、防静电、接地与防雷、电磁防护、温湿度控制不符合规范，通信线路、机房设备的保护不符合规范安全管理机构方面：岗位设置不合理（如人员配置过少、职责不清）、授权和审批程序简化、沟通和合作末执行、审核和检查未执行等：安全管理制度方面：管理制度不完誉、制度评审和修订不及时等：人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训、对于第三方人员未进行限制访问等：建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等：
运维管理方面：物理环境管理措施簡单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位WAP网关系统威胁根据来源可分为网络设备威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。表3列举出部分威胁。
表3WAP网关系统威助来源
网络设备威助
环境威胁
物理环境
自然灾害
威胁描述
设备自身的软件、硬件故障，系统本身设计缺陷或软件Bug节假日或其他原因的高话务冲击等断电、静电、灰尘、潮湿、温度、电磁干扰等，意外事故或通信线路方面的故障鼠蚁虫害、洪灾、火灾、泥石流、山体滑坡、地凝、台风、闪电5
YD/T2241-2011
恶意人员
人为威胁
无恶意人员
表3（续）
威胁描述
不满的或有预谋的内部人员溢用权限进行恶意破坏：采用自主或内外勾结的方式盗窃或就改机密信息；外部入员利用网络进行攻击、入侵、植入病毒等；外部人员进行物理破坏、盗窃等内部人员由于缺乏费任心或者无作为而应该执行却没有执行相应的操作或无意地执行了错误的操作导致安全事件：内部人员没有避循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不其备岗位技能要求而导致故障或攻击：安全管理制度不完善，落实不到位造成安全管理不规范或者管理混乱导致安全事件5WAP网关系统安全等级保护要求5.1第1级要求
不作要求。
5.2第2级要求
5.2.1业务安全要求
a）所提供的业务应保证稳定性，不因系统引入其他新业务、业务升级或者系统升级而中断；b）系统应能对Push发起者（PI）进行身份认证，保证只有合法的PI才能接入WAP网关系统的PPG服务器：
c）应当具备对相关SP业务的业务要求，在SP接入前进行相应的业务验证，保证SP业务符合运营商业务规范要求：
d）在办理SP接入服务业务之前，应对SP资格进行审查。5.2.2网络安全要求
5.2.2.1网络拓扑安全
a）网络设备处理能力应具备几余空间，满足流量高负荷时需求，不能由于设备配置不够而导致网络全部或者局部瘫痪：
b）网络拓扑设计合理，应绘制与当前运行情况相符合的网络拓扑图。5.2.2.2网络安全协议
a）WAP网关应支持WTLS协议，能够实现与终端之间的安全通信；b）WAP网关应支持SSL协议以及TLS协议，能够建立基于TLS的终端到应用服务器间的安全道。5.2.2.3访问控制安全
WAP网关系统应提供访间控制功能，应能设置不同的角色管理。5.2.2.4网络攻击防范
在WAP网关系统与外部网络之间需要设置防火墙，与外部网络进行隔离。5.2.2.5安全审计
WAP网关应具备日志审计功能，对系统管理员的登录、操作记录进行记录，并确保记录日志的有效性和安全性。审计日志的保存要求应满足《移动上网日志留存规范》第6章的要求。6
rKacadiaiKAca
YD/T2241-2011
5.2.3设备安全要求
WAP网关设备安全应满足YD/T1392-2005中相关要求。5.2.4物理环境安全要求
满足YD/T1754-2008中第2级的安全要求外，还需满足：a）机房整体抗震能力应不低于里氏7级；b）机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。5.2.5管理安全要求
应满足YD/T1756-2008中第2级的安全要求。5.3第3.1级要求
5.3.1业务安全要求
除满足7.2.1的要求外，还应该满足：YD/T2241-2011
a）系统应对WAPPush发起者（PI）设置白名单机制，保证只有白名单中的PI才能发起WAPPush消息；
b）系统应能限制SP发起WAPPush的流量、条数，避免非法SP发起大量WAPPush数据造成系统瘫痰；
c）系统应能限制SP发起WAPPush消息的大小，防止发送超大Push消息d）系统能够抵御恶意用户通过WAP代理网关功能向WAP网关发送Push消息：e）系统应能对终端用户所发起的访问请求数据包进行识别，能识别超长/畸形数据包，并进行自动过滤；
f）系统应能对终端用户所发起的访问目标服务器进行识别，防止恶意用户通过WAP网关代理功能，将WAP网关作为跳板访问电信网内服务器。5.3.2网络安全要求
5.3.2.1网络拓扑安全
同7.2.2.1的要求。
5.3.2.2网络安全协议
同7.2.2.2的要求。
5.3.2.3安全审计
同7.2.2.3的要求。
5.3.2.4访问控制安全
除满足7.2.2.3的要求之外，还应该满足：8）系统应具备访问权限的识别和控制功能，对应用管理员、系统管理员、数据库管理员根据不同的应用需求提供多级密码；
b）如需进行远程维护（管理），应通过VPN或其他安全认证方式进行接入认证，远程维护（管理）操作数据流应经过加密，禁止明文传输：c）远程维护（管理）操作须单独进行审计，并对远程维护的操作内容进行记录，对日志进行存储。5.3.2.5网络攻击防范
除满足7.2.2.4的要求之外，还应该满足：A
YD/T2241-2011
a）系统与外网隔离的防火墙应设置为能够根据访问请求的源IP地址溯源到内网用户手机IP地址；b）系统内基于Windows操作系统的网络应部署网络入侵检测系统，并应及时处理入侵的报警：C）应至少每3个月进行一次网络安全漏洞扫描，形成相关记录文档，根据扫描的结果更正网络安全漏洞和系统中的错误配置：
d）系统应具备防Dos/DDos攻击的相应措施。5.3.3数据存储安全
a）WAP网关系统存储有用户访问业务数据、业务信息、日志数据、话单信息等，WAP网关系统应支持对重要设备保存的用户信息相关的数据备份，发生故障时能够实现自动倒换或进行系统再配置：b）日志数据备份应满足《移动上网日志留存规范》第6章的要求。5.3.4设备安全要求
除满足7.2.3的要求外，还应该满足a）WAP网关关键设备应具备负载均衡设置，保证单一WAP网关设备瘫痰时业务的接续性：6）系统内服务器应关闭不必要的端口及服务，不安装不必要的软件；c）系统内基于windows操作系统的主机应具备防病毒软件，能够有效地防止恶意代码对系统的破坏，防病毒软件应能定期进行病毒库的升级，保证系统病毒库为防病毒厂商发布的最新病毒库版本：d）应至少每3个月对系绕内服务器进行一次安全漏洞扫描，形成相关记录文档，根据扫描的结果更正服务器安全漏洞和系统中的错误配置。5.3.5物理环境安全要求
除满足YD/T1754-2008中第3.1级的安全要求外，还需满足：a）机房整体抗震能力应不低于里氏8级，相关机架及设备需进行必要的抗加固：b）机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。5.3.6管理安全要求
应满足YD/T1756-2008中第3.1级的安全要求。5.4第3.2级要求
5.4.1业务安全要求
应满足7.3.1的要求。
5.4.2网络安全要求
应满足7.3.2的要求。
5.4.3设备安全要求
应满足7.3.3的要求。
5.4.4物理环境安全要求
应满足YD/T1754—2008中第3.2级的安全要求，5.4.5管理安全要求
应满足YD/T1756—2008中第3.2级的安全要求。5.5第4级要求
同第3.2级要求。
5.6第5级要求
-rKacadiaiKAca
YD/T2241-2011
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国通信行业标准
YD/T2241-2011
WAP网关系统安全防护要求
Security protection requirements for WAP gateway system2011-05-18发布
2011-06-01实施
中华人民共和国工业和信息化部发布前
2规范性引用文件
3术语、定义和缩略语
3.1术语和定义
3.2缩略语
4WAP网关安全防护概述
4.1WAP网关系统安全防护范围
WAP网关系统安全防护内容..
WAP网关系统安全定级对象和安全等级确定·5
6WAP网关系统资产、脆弱性、威胁分析6.1
资产分析
脆弱性分析
威胁分析
WAP网关系统安全等级保护要求·7.1
第1级要求
第2级要求
第3.1级要求·
第3.2级要求
第4级要求
第5级要求
WAP网关系统灾难备份及恢复要求8.1
概述-
第1级要求
第2级要求·
第3.1级要求·
第3.2级要求
第4级要求.
第5级要求·
参考文南
YD/T2241-2011
YD/T2241-2011
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：1.《电信网和互联网安全防护管理指南》2.
《电信网和互联网安全等级保护实施指南》3.
《电信网和互联网安全风险评估实施指南》《电信网和互联网灾难备份及恢复实施指南》《固定通信网安全防护要求》
《移动通信网系统安全防护要求》《互联网安全防护要求》
《增值业务网一消息网安全防护要求》《增值业务网一智能网安全防护要求》《接入网安全防护要求》
《传送网安全防护要求》
《IP承载网安全防护要求》
《信令网安全防护要求》
《同步网安全防护要求》
《支撑网安全防护要求》
《非核心生产单元安全防护要求》《电信网和互联网物理环境安全等级保护要求》《电信网和互联网管理安全等级保护要求》《固定通信网安全防护检测要求》《移动通信网安全防护检测要求》《互联网安全防护检测要求》
《增值业务网一消息网安全防护检测要求》《增值业务网一智能网安全防护检测要求》《接入网安全防护检测要求）
《传送网安全防护检测要求》
《IP承载网安全防护检测要求》《信令网安全防护检测要求》
《同步网安全防护检测要求》
《支撑网安全防护检测要求》
《非核心生产单元安全防护检测要求》《电信网和互联网物理环境安全等级保护检测要求》《电信网和互联网管理安全等级保护检测要求》YD/T2241-2011
《域名系统安全防护要求》
《域名系统安全防护检测要求》《网上营业厅安全防护要求》
《网上营业厅安全防护检测要求》《WAP网关系统安全防护要求》
《WAP网关系统安全防护检测要求》《电信网和互联网信息服务业务系统安全防护要求》《电信网和互联网信息服务业务系统安全防护检测要求》《增值业务网即时消息业务系统安全防护要求》《增值业务网即时消息业务系统安全防护检测要求》《域名注册系统安全防护要求》《域名注册系统安全防护检测要求》本标准与YD/T2242-2011《WAP网关系统安全防护检测要求》配套使用。随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院。本标准主要起草人：崔媛媛、袁琦。Ⅲ
-rKacadhaiKAca
1范围
WAP网关系统安全防护要求
YD/T2241-2011
本标准规定了WAP网关系统在风险分析、安全等级保护、灾难备份及恢复等方面的安全防护要求。本标准适用于公众电信网中的WAP网关系统。2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。YD/T1754-2008
YD/T1756-2008
YD/T1752-2008
YD/T1734-2009
YD/T1392-2005
移动上网日志留存规范
3术语、定义和缩略语
3.1术语和定义
电信网和互联网物理环境安全等级保护要求电信网和互联网管理安全等级保护要求支撑网安全防护要求
移动通信网安全防护要求
无线应用协议（WAP）网关设备技术要求下列术语和定义适用于本标准。3.1.1
WAP网关系统安全等级SecurityClassificationofWAPGatewaySystemWAP网关系统安全重要程度的表征。重要程度可从WAP网关系统受到破坏后，对国家安全，社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.1.2
WAP网关系统安全等级保护ClassifiedSecurityProtectionofWAPGatewaySystem对WAP网关系统分等级实施安全保护。3.1.3
组织Organization
由WAP网关系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作：一个单位是一个组织，某个业务部门也可以是一个组织。3.1.4
WAP网关系统安全风险SecurityRiskofWAPGatewaySystem人为或自然的威胁可能利用WAP网关系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
YD/T2241-2011
WAP网关系统安全风险评估SecurityRiskAssessmentofWAPGatewaySystem指运用科学的方法和手段，系统地分析WAP网关系统所面临的崴胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度。为进一步提出有针对性的抵御威胁的防护对策和安全措施，防范和化解WAP网关系统安全风险，将风险控制在可接受的水平，为最大限度地保障WAP网关系统的安全提供科学依据。
WAP网关系统资产AssetofWAPGatewaySystemWAP网关系统中具有价值的资源，是安全防护保护的对象。WAP网关系统中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括WAP网关、物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如WAP网关系统设备、WAP网关系统的链路、WAP网关系统的网络布局等。3.1.7
WAP网关系统资产价值AssetValueofWAPGatewaySystemWAP网关系绕中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。3.1.8
WAP网关系统威胁ThreatofWAPGatewaySystem可能导致对WAP网关系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的可能是无意失误，也可能是恶意攻击。常见的WAP网关系统络威胁有外部攻击、链路中断、设备节点失效、火灾、水灾等。
WAP网关系统脆弱性VulnerabilityofWAPGatewaySystemWAP网关系统中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危及资产的安全。
WAP网关系统灾难DisasterofWAPGatewaySystem由于各种原因，造成WAP网关系统故障或瘫痪，使WAP网关系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.1.11
WAP网关系统灾难备份BackupforDisasterofWAPGatewaySystem为了WAP网关系统灾难恢复而对相关网络要素进行备份的过程。3.1.12
WAP网关系统灾难恢复DisasterRecoveryofWAPGatewaySystem为了将WAP网关系统从灾难造成的故障或瘫痰状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态：而设计的活动和流程。3.1.13
WAP网关系统相关系统SystemsofWAPGatewaySystem2
iiKacadiaiKAca
YD/T2241-2011
组成WAP网关系统的相关系统，包括移动通信网中的核心网络设备，以及计费系统、网管系统。3.2缩略语
下列缩略语适用于本标准。
GatewayGPRSSupportNode
Packet Data Service Node
PushInitiator
PushProxyGateway
Secure Sockets Layer
ServiceProvider
IntermetProtocol
Transport Layer Security
Virtual PrivateNetwork
Wireless Application Protocol关口GPRS支持节点
分组数据服务节点
push发起者
Push代理网关
套接字安全层
服务提供商
因特网协议
传输层安全
虚拟专用网
无线应用协议
WirelessTransportLayerSecurity无线传输层安全4WAP网关安全防护概述
4.1WAP网关系统安全防护范围
WAP网关系统位于移动运营商网络中，为移动用户提供基于WAP协议的Internet接入，以及WAPPush业务、浏览业务。同时，基于WAP网关系统，可以为其他数据业务（如多媒体消息业务）提供网络接入与承载。
WAP网关系统在网络中的位置示意如图1所示。业务提供商
多媒体酒息
WAP业务单
GGSN/PDST
无线传输网络
短信模块
WAP网关系统
计费系统
网管系统
多媒体邦件
即时消息
其他数据
业务系统
图1WAP网关系统在网络中的位置示意图WAP网关系统安全防护的范围包括WAP网关系统。WAP网关系统包括WAP代理网关、Push代理网关（PPG）、数据库、安全设备（如防火墙）及其他服务器（如统计分析服务器）等。3
YD/T2241-2011
为配合WAP网关系统提供WAP业务，需要移动通信网中的核心网络设备的支持，还要与现网中的计费系统、网管系统等互联。核心网络的安全防护要求参见YD/T1734-2009，计费和网管部分的安全防护要求参见YD/T1752-2008
4.2WAP网关系统安全防护内容
根据电信网和互联网安全防护体系的要求，将WAP网关系统安全防护内容分为安全风险评估、安全等级保护、灾难备份及恢复等3个部分，本标准规定了WAP网关系统中的安全防护内容：—WAP网关系统安全风险评估
主要包括资产识别、脆弱性识别、威胁识别、已有安全措施的确认、风险分析、风险评估文件记录等。本标准仅对WAP网关系统进行资产分析、脆弱性分析、威胁分析，在WAP网关系统安全风险评估过程中确定各个资产、脆弱性、威胁的具体值，资产、脆弱性、威胁的赋值方法及资产价值、风险值的计算方法参见YD/T1731-2008《电信网和互联网安全风险评估实施指南》。-WAP网关系统安全等级保护
主要包括定级对象和安全等级确定、业务安全、网络安全、设备安全、物理环境安全、管理安全等。WAP网关系统灾难备份及恢复
主要包括灾难备份及恢复等级确定，针对灾难备份及恢复各资源要素的具体实施等。WAP网关系统安全定级对象和安全等级确定一个WAP网关系统覆盖的业务区域可能是一个省/市，或多个省，可将WAP网关系统作为一个定级对象。
网络和业务运营商应根据YD/T1729-2008《电信网和互联网安全等级保护实施指南》中确定网络安全等级的方法（附录A），对WAP网关系统进行定级，即对WAP网关系统根据社会影响力、所提供服务的重要性、规模和服务范围分别定级，权重α、β、可根据具体网络情况进行调节。WAP网关系统资产、脆弱性、威胁分析4.3资产分析
WAP网关系统安全风险评估的资产至少应包括设备硬件、设备软件、重要数据、提供的服务、文档、人员等。如表1所示。
表1WAP网关系统资产
设备硬件
设备软件
重要数据
服务/业务
WAP代理网关、Push代理网关（PPG）、数据库、安全设备《如防火墙）及其他服务器（如统计分析服务器）等：
物理环境设备：机房、电力供应系统、电磁防护系统、防火、防水和防潮系统、防静电系统、防雷击系统、温湿度控制系统等：链路：
操作继护系统
设备的系统软件；操作系统、各种数据库软件等：系统控制软件、协议软件：
操作维护系统软件
支择WAP网关系统运行的各种重要数据包括用户数据、业务数据、计费数据（指话单数据）、网络配置数据。管理员操作维护记录等WAP网关系统提供的各种业务：基本浏览、Push消息业务，以及各种数据业务的接入服务等rKacaCiaiKAca
YDT2241-2011
网络拓扑
4.4脆弱性分析
表1（续）
YD/T2241-2011
纸质以及保存在存储介质中的各种文件，如设计文档、技术要求、管理规定机构设置、管理制度、人员管理办法）、工作计划、技术或财务报告、用户手册、维护手册等掌握重要技术的人员，如网络维护人员、设备维护人员、网络或业务的研发人员等WAP网关系统内部节点和链路之间的连接WAP网关系统的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑。脆弱性识别对象应以资产为核心。表2给出部分脆弱性识别内容。表2WAP网关系统脆弱性分析
技术脆弱性
管理胞弱性
业务/应用
设备（含操作系统
和数据库）Www.bzxZ.net
物理环境
4.5威胁分析
存在的脆弱性
网络和设备的处理能力不够而导致在突发话务量高时业务提供不连续，业务数据的保密性不够，重要数据未及时进行本地和异地备份WAP网关系绕网络拓扑设计不合理，网络系统节点设备、路由配置不合理或不够，通信安全保护不充分，WAP网关系统外部和内部的访问控制不够等账号和口令保护不够，鉴权和访间控制机制不完善，重要部件未配置主备用保护。系统配置不合理、设备补工安装不及时、设备防病毒和防攻击能力不够，备份和恢复机制不健全，设备超过使用年限或核心部件老化，设备发生故障后未及时告警机房场地选择不合理，防火、供配电、防静电、接地与防雷、电磁防护、温湿度控制不符合规范，通信线路、机房设备的保护不符合规范安全管理机构方面：岗位设置不合理（如人员配置过少、职责不清）、授权和审批程序简化、沟通和合作末执行、审核和检查未执行等：安全管理制度方面：管理制度不完誉、制度评审和修订不及时等：人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训、对于第三方人员未进行限制访问等：建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等：
运维管理方面：物理环境管理措施簡单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位WAP网关系统威胁根据来源可分为网络设备威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。表3列举出部分威胁。
表3WAP网关系统威助来源
网络设备威助
环境威胁
物理环境
自然灾害
威胁描述
设备自身的软件、硬件故障，系统本身设计缺陷或软件Bug节假日或其他原因的高话务冲击等断电、静电、灰尘、潮湿、温度、电磁干扰等，意外事故或通信线路方面的故障鼠蚁虫害、洪灾、火灾、泥石流、山体滑坡、地凝、台风、闪电5
YD/T2241-2011
恶意人员
人为威胁
无恶意人员
表3（续）
威胁描述
不满的或有预谋的内部人员溢用权限进行恶意破坏：采用自主或内外勾结的方式盗窃或就改机密信息；外部入员利用网络进行攻击、入侵、植入病毒等；外部人员进行物理破坏、盗窃等内部人员由于缺乏费任心或者无作为而应该执行却没有执行相应的操作或无意地执行了错误的操作导致安全事件：内部人员没有避循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不其备岗位技能要求而导致故障或攻击：安全管理制度不完善，落实不到位造成安全管理不规范或者管理混乱导致安全事件5WAP网关系统安全等级保护要求5.1第1级要求
不作要求。
5.2第2级要求
5.2.1业务安全要求
a）所提供的业务应保证稳定性，不因系统引入其他新业务、业务升级或者系统升级而中断；b）系统应能对Push发起者（PI）进行身份认证，保证只有合法的PI才能接入WAP网关系统的PPG服务器：
c）应当具备对相关SP业务的业务要求，在SP接入前进行相应的业务验证，保证SP业务符合运营商业务规范要求：
d）在办理SP接入服务业务之前，应对SP资格进行审查。5.2.2网络安全要求
5.2.2.1网络拓扑安全
a）网络设备处理能力应具备几余空间，满足流量高负荷时需求，不能由于设备配置不够而导致网络全部或者局部瘫痪：
b）网络拓扑设计合理，应绘制与当前运行情况相符合的网络拓扑图。5.2.2.2网络安全协议
a）WAP网关应支持WTLS协议，能够实现与终端之间的安全通信；b）WAP网关应支持SSL协议以及TLS协议，能够建立基于TLS的终端到应用服务器间的安全道。5.2.2.3访问控制安全
WAP网关系统应提供访间控制功能，应能设置不同的角色管理。5.2.2.4网络攻击防范
在WAP网关系统与外部网络之间需要设置防火墙，与外部网络进行隔离。5.2.2.5安全审计
WAP网关应具备日志审计功能，对系统管理员的登录、操作记录进行记录，并确保记录日志的有效性和安全性。审计日志的保存要求应满足《移动上网日志留存规范》第6章的要求。6
rKacadiaiKAca
YD/T2241-2011
5.2.3设备安全要求
WAP网关设备安全应满足YD/T1392-2005中相关要求。5.2.4物理环境安全要求
满足YD/T1754-2008中第2级的安全要求外，还需满足：a）机房整体抗震能力应不低于里氏7级；b）机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。5.2.5管理安全要求
应满足YD/T1756-2008中第2级的安全要求。5.3第3.1级要求
5.3.1业务安全要求
除满足7.2.1的要求外，还应该满足：YD/T2241-2011
a）系统应对WAPPush发起者（PI）设置白名单机制，保证只有白名单中的PI才能发起WAPPush消息；
b）系统应能限制SP发起WAPPush的流量、条数，避免非法SP发起大量WAPPush数据造成系统瘫痰；
c）系统应能限制SP发起WAPPush消息的大小，防止发送超大Push消息d）系统能够抵御恶意用户通过WAP代理网关功能向WAP网关发送Push消息：e）系统应能对终端用户所发起的访问请求数据包进行识别，能识别超长/畸形数据包，并进行自动过滤；
f）系统应能对终端用户所发起的访问目标服务器进行识别，防止恶意用户通过WAP网关代理功能，将WAP网关作为跳板访问电信网内服务器。5.3.2网络安全要求
5.3.2.1网络拓扑安全
同7.2.2.1的要求。
5.3.2.2网络安全协议
同7.2.2.2的要求。
5.3.2.3安全审计
同7.2.2.3的要求。
5.3.2.4访问控制安全
除满足7.2.2.3的要求之外，还应该满足：8）系统应具备访问权限的识别和控制功能，对应用管理员、系统管理员、数据库管理员根据不同的应用需求提供多级密码；
b）如需进行远程维护（管理），应通过VPN或其他安全认证方式进行接入认证，远程维护（管理）操作数据流应经过加密，禁止明文传输：c）远程维护（管理）操作须单独进行审计，并对远程维护的操作内容进行记录，对日志进行存储。5.3.2.5网络攻击防范
除满足7.2.2.4的要求之外，还应该满足：A
YD/T2241-2011
a）系统与外网隔离的防火墙应设置为能够根据访问请求的源IP地址溯源到内网用户手机IP地址；b）系统内基于Windows操作系统的网络应部署网络入侵检测系统，并应及时处理入侵的报警：C）应至少每3个月进行一次网络安全漏洞扫描，形成相关记录文档，根据扫描的结果更正网络安全漏洞和系统中的错误配置：
d）系统应具备防Dos/DDos攻击的相应措施。5.3.3数据存储安全
a）WAP网关系统存储有用户访问业务数据、业务信息、日志数据、话单信息等，WAP网关系统应支持对重要设备保存的用户信息相关的数据备份，发生故障时能够实现自动倒换或进行系统再配置：b）日志数据备份应满足《移动上网日志留存规范》第6章的要求。5.3.4设备安全要求
除满足7.2.3的要求外，还应该满足a）WAP网关关键设备应具备负载均衡设置，保证单一WAP网关设备瘫痰时业务的接续性：6）系统内服务器应关闭不必要的端口及服务，不安装不必要的软件；c）系统内基于windows操作系统的主机应具备防病毒软件，能够有效地防止恶意代码对系统的破坏，防病毒软件应能定期进行病毒库的升级，保证系统病毒库为防病毒厂商发布的最新病毒库版本：d）应至少每3个月对系绕内服务器进行一次安全漏洞扫描，形成相关记录文档，根据扫描的结果更正服务器安全漏洞和系统中的错误配置。5.3.5物理环境安全要求
除满足YD/T1754-2008中第3.1级的安全要求外，还需满足：a）机房整体抗震能力应不低于里氏8级，相关机架及设备需进行必要的抗加固：b）机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。5.3.6管理安全要求
应满足YD/T1756-2008中第3.1级的安全要求。5.4第3.2级要求
5.4.1业务安全要求
应满足7.3.1的要求。
5.4.2网络安全要求
应满足7.3.2的要求。
5.4.3设备安全要求
应满足7.3.3的要求。
5.4.4物理环境安全要求
应满足YD/T1754—2008中第3.2级的安全要求，5.4.5管理安全要求
应满足YD/T1756—2008中第3.2级的安全要求。5.5第4级要求
同第3.2级要求。
5.6第5级要求
-rKacadiaiKAca
YD/T2241-2011
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。