YD/T 2584-2013
基本信息
标准号： YD/T 2584-2013
中文名称：互联网数据中心安全防护要求
标准类别：通信行业标准(YD)
标准状态：现行
出版语种：简体中文
下载格式：.rar .pdf
下载大小：1897KB
标准分类号
关联标准
出版信息
相关单位信息
标准简介
YD/T 2584-2013 互联网数据中心安全防护要求
YD/T2584-2013
标准压缩包解压密码：www.bzxz.net
标准图片预览
标准内容
ICS35.110
中华人民共和国通信行业标准
YD/T2584-2013
互联网数据中心安全防护要求
Security protection requirements for internet data center2013-07-22发布
2013-10-01实施
中华人民共和国工业和信息化部发布前
规范性引用文件
3术语、定义和缩略语
3.1术语和定义
3.2缩略语
4互联网数据中心安全防护概述
4.1互联网数据中心安全防护范围4.2互联网数据中心安全风险分析4.3互联网数据中心安全防护内容….目
5互联网数据中心定级对象和安全等级确定·6互联网数据中心安全防护保护要求6.1第1级要求
6.2第2级要求·
6.3第3.1级要求bzxz.net
6.4第3.2级要求
6.5第4级要求
6.6第5级要求
附录A（规范性附录）互联网数据中心安全风险分析次
YD/T2584-2013
YD/T2584-2013
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：《电信网和互联网安全防护管理指南》2
《电信网和互联网安全等级保护实施指南》3.
《电信网和互联网安全风险评估实施指南》《电信网和互联网灾难备份及恢复实施指南》《固定通信网安全防护要求》
《移动通信网安全防护要求》
《互联网安全防护要求》
《增值业务网一消息网安全防护要求》8.
《增值业务网一智能网安全防护要求》10.《接入网安全防护要求》
11.《传送网安全防护要求》
12.《IP承载网安全防护要求》
13.《信令网安全防护要求》
14.《同步网安全防护要求》
15.《支撑网安全防护要求》
16.《非核心生产单元安全防护要求》17.《电信网和互联网物理环境安全等级保护要求》18.《电信网和互联网管理安全等级保护要求》19.《固定通信网安全防护检测要求》20.《移动通信网安全防护检测要求》21.《互联网安全防护检测要求》22.《增值业务网一消息网安全防护检测要求》23.《增值业务网一智能网安全防护检测要求》24.《接入网安全防护检测要求》25.《传送网安全防护检测要求》26.《IP承载网安全防护检测要求》27.《信令网安全防护检测要求》28.《同步网安全防护检测要求》29.《支撑网安全防护检测要求》30.《非核心生产单元安全防护检测要求》31.《电信网和互联网物理环境安全等级保护检测要求》32.《电信网和互联网管理安全等级保护检测要求》I
YD/T2584-2013
33.《域名系统安全防护要求》
34.（域名系统安全防护检测要求》35.《网上营业厅安全防护要求》36.《网上营业厅安全防护检测要求》37.《WAP网关系统安全防护要求》38.《WAP网关系统安全防护检测要求》39.《电信网和互联网信息服务业务系统安全防护要求》40.《电信网和互联网信息服务业务系统安全防护检测要求》41.《增值业务网即时消息业务系统安全防护要求》42.《增值业务网即时消息业务系统安全防护检测要求》43.《域名注册系统安全防护要求》44.《域名注册系统安全防护检测要求》45.《应用商城安全防护要求》
46.《应用商城安全防护检测要求》47.《互联网内容分发网络安全防护要求》（本标准）48.《互联网内容分发网络安全防护检测要求》49.《互联网数据中心安全防护要求》50.《互联网数据中心安全防护检测要求》本标准与YD/T2585-2013《互联网数据中心安全防护检测要求》配套使用。随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院、中国移动通信集团公司。本标准主要起草人：魏亮、周智、卜哲、曹一生。m
iiKacaQiaiKAca
1范围
互联网数据中心安全防护要求
YD/T2584-2013
本标准规定了互联网数据中心在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护要求，
本标准适用于公众电信网和互联网中的互联网数据中心2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD/T1478
YD/T1729
YD/T1754
YD/T1756
电信管理网安全技术要求
电信网和互联网安全等级保护实施指南电信网和互联网物理环境安全等级保护要求电信网和互联网管理安全等级保护要求3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。3.1.1
互联网数据中心IntemetDataCenter互联网数据中心是基于Intermet网络，为集中式收集、存储、处理和发送数据的设备提供运行维护的设施以及相关的服务体系。IDC提供的主要业务包括主机托管（机位、机架、VIP机房出租），资源出租（如虚拟主机业务、数据存储服务）系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断），以及其他支撑、运行服务等。3.1.2
互联网数据中心安全等级SecurityClassificationofIDC互联网数据中心安全重要程度的表征。重要程度可从互联网数据中心受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.1.3
互联网数据中心安全等级保护ClassifiedSecurityProtectionofIDC对互联网数据中心分等级实施安全保护。3.1.4
组织Organization
由不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。-
YD/T2584-2013
互联网数据中心安全风险SecurityRiskofIDC人为或自然的威胁可能利用互联网数据中心中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
互联网数据中心安全风险评估SecurityRiskAssessmentofIDc指运用科学的方法和手段，系统地分析互联网数据中心所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解互联网数据中心安全风险，或者将风险控制在可接受的水平，为最大限度地保障互联网数据中心的安全提供科学依据。
互联网数据中心资产AssetofIDC互联网数据中心中具有价值的资源，是安全防护保护的对象。互联网数据中心中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如互联网数据中心Web服务器等。3.1.8
互联网数据中心资产价值AssetValueofIDC互联网数据中心中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。
互联网数据中心威胁ThreatofIDC可能导致对互联网数据中心产生危害的不希望事故件在起因，它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶意攻击。常见的互联网数据中心威胁有黑客入侵、硬件故障、人为操作失误、火灾、水灾等。
互联网数据中心脆弱性VulnerabilityofIDC互联网数据中心中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危害资产的安全。
互联网数据中心灾难DisasterofIDC由于各种原因，造成互联网数据中心故障或瘫痪，使互联网数据中心的功能停顿或服务水平不可接受的突发性事件。
互联网数据中心灾难备份backupfordisasterrecoveryofIDc为了互联网数据中心灾难恢复而对相关网络要素进行备份的过程。3.1.13
互联网数据中心灾难恢复DisasterRecoveryofIDc2
rKacadiaiKAca
YD/T2584-2013
为了将互联网数据中心从灾难造成的故障或瘫痰状态恢复到正常运行状态或部分正常运行状态，并将其功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.1.14
中间件MiddleWare
一种独立的系统软件或服务程序，中间件位于客户机/服务器的操作系统之上，管理计算机资源和网络通信，是连接两个独立应用程序或独立系统的软件，针对不同的操作系统和硬件平台，中间件可以有符合接口和协议规范的多种实现。实现互联网数据中心功能的应用程序运行在中间件之上，此时中间件包括Web服务器和应用服务器功能模块。3.1.15
跨站脚本攻击Cross-SiteScripting入侵者在远程Web页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行，从而威胁用户浏览过程的安全。3.1.16
SQL注入攻击SQLInjectionAttack攻击者构造恶意的字符申，欺骗应用系统用于构造数据库查询语句并执行，从而达到盗取或修改数据库中存储的数据的目的。
路径遍历攻击PathTraversalAttack攻击者操纵输入参数使应用系统执行或透露任意文件内容，或对服务器任意文件目录进行读、写、删除等操作。
命令注入攻击CommandInjectionAttack命令注入攻击是指攻击者操纵输入参数使应用系统执行额外的指令，例如操作系统命令等。3.2缩略语
下列缩略语适用于本文件。
AccessControl List
Challenge Collapsar
Central Processing Unit
Distributed Denial of ServiceFile Transfer Protocol
Internet Control Message ProtocolInternet Data Center
InternetProtocol
Medium Access Control
Structured QueryLanguage
Secure Shell
Secure Sockets Layer
访间控制列表
挑战黑洞
中央处理器
分布式拒绝服务
文件传输协议
Internet控制报文协议
互联网数据中心
网络之间互连的协议
媒体介入控制层
结构化查询语言
安全协议外壳
安全套接层
YD/T2584-2013
User Datagram Protocol FloodUDPFlood
Uniform Resource Locator
Unicast ReversePathForwardingVirtual Local Area Network
4互联网数据中心安全防护概述
4.1互联网数据中心安全防护范围UDP洪水攻击
统一资源定位符
单播逆向路径转发
虚拟域网
为用户提供各种IDC服务包括IP网络、主机、服务器、安全设备等在内的IDC基础设施，和为了保证IDC正常运行所构建的包括集中配置、集中监控、计费、灾备等在内的IDC支撑系统，以及为了保证IDC网络安全所构建的IDC网络安全防护系统。4.2互联网数据中心安全风险分析4.2.1资产分析
互联网数据中心的资产可分为设备硬件、软件、数据、网络、服务、文档和人员等，详见附录A对资产的分类及举例，其中重点资产如下：1）互联网数据中心中的各种软硬件设备，如主机设备，网络设备、操作系统、数据库、中间件、应用程序、支撑系统等：
2）互联网数据中心中的重要数据，保存在互联网数据中心的各种重要信息数据，用户信息（用户登录ID、用户在互联网数据中心上的操作记录等）、设备配置数据、管理员操作维护记录等：3）互联网数据中心中的重要服务，这些服务至少包括主机托管（机位、机架、VIP机房出租）、资源出租（如虚拟主机业务、数据存储服务）、系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断）。4.2.2资产脆弱性分析
互联网数据中心的脆弱性可分为技术脆弱性和管理脆弱性两方面，见附录A中的互联网数据中心的脆弱性列表。
4.2.3安全威胁分析
互联网数据中心的威胁可分为业务威胁、设备威胁、环境威胁和人为威胁，其中环境威胁包括自然界不可抗的威胁和其他物理威胁；根据威胁的动机，人为威胁又可分为恶意和非恶意两种，详见附录A中的互联网数据中心的威胁列表。4.2.4安全风险分析
互联网数据中心面临来自公众互联网上及内部的各种安全威胁，自身脆弱性一且被利用后将产生很大的安全风险。
4.2.4.1设备安全风险
互联网数据中心中网络设备的安全风险主要来自两个方面，一个是设备自身的安全风险，另外一个是外界环境的安全风险。具体的设备安全风险如下：a）设备自身的安全缺陷或未能够及时修复的安全缺陷，导致针对该设备的缺陷利用，影响IDC业务的连续性、可靠性和完整性
b）承载业务系统硬件、网络环境等方面的风险；c）业务系统自身安全风险。
iiKacaQiaiKAca-
4.2.4.2网络安全风险
互联网数据中心网络的安全风险主要如下：YD/T2584-2013
a）来自内部和外部可能的网络攻击，如DDoS攻击、利用系统漏洞进行的各类攻击等；b）蠕虫病毒入侵，局域网内部病毒等恶意软件的传播，尤其是维护终端、磁盘介质使用等导致的病毒扩散
C）利用管理和技术漏洞，或者内部资源成为僵尸网络、木马的被控资源，IDC资源被用作攻击外部网络的工具：
d）Web类应用被挂马，成为木马大范围传播的主要途径：e）由于对IDC网络进行维护不恰当，而导致的安全风险。4.2.4.3应用层安全风险
互联网数据中心涉及应用层的安全风险主要来自以下两个方面：a）来自原互联网、内部恶意用户的安全风险：b）IDC客户或者Web用户发布反动、色情、违反版权要求、进行人身攻击的文字、视频、图片、音频、游戏等。
4.2.4.4数据安全风险
4.2.4.4.1网管数据
互联网数据中心网管数据，主要指互联网数据中心管理层面的数据，其安全风险主要如下：a）数据传输过程中被窃取，筹改、破坏；b）越权访问：
C）病毒入侵导致丢失
d）其他误操作、系统故障、介质间题等原因导致的数据丢失、泄漏。4.2.4.4.2内部业务数据
互联网数据中心内部业务数据，主要指互联网数据中心各个业务区域数据，其安全风险一方面来自于各个业务的不同要求，另外更主要的一方面是这些业务数据的存放，具体如下：a）病毒、木马、间谍软件的入侵b）针对敏感数据的非法算改、获取；c）数据的存储安全风险，包括数据存储磁盘管理不善，数据访问管理不善带来的风险等。4.2.4.4.3帐号口令
a）口令密码明文保存导致失窃：b）弱口令导致的暴力破解；
c）网络监听明文传输的账号口令。4.3互联网数据中心安全防护内容互联网数据中心已成为互联网时代重要不可缺少的重要基础性设施。互联网数据中心自身安全性、对其所提供各类服务的安全管控、支撑系统的安全防护是互联网数据中心安全防护的重要内容，具体包括：业务安全、网络安全、主机安全、中间件安全、安全域边界安全、集中运维安全管控系统安全、物理环境安全、管理安全。
YD/T2584-2013
5互联网数据中心定级对象和安全等级确定网络和业务运营商应根据YD/T1729中确定安全等级的方法对互联网数据中心进行定级，即根据社会影响力、所提供服务的重要性、规模和服务范围的大小对互联网数据中心分别定级，定级方法中的权重α、β、可根据具体网络情况进行调节。建议权重值α、β、分别为：0.4、0.4、0.2，或者1/3~1/3、1/3，各IDC运营企业也可根据本企业实际情况调节a、β、3个权重值。（1）社会影力I
根据YD/T1729，社会影响力表示定级对象受到破坏后对国家安全、社会秩序、经济运行、公共利益的损害程度。IDC服务对象可能是国家机关部委、企事业单位、企业网站等。建议服务于国家重要部委重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC社会影响力赋值为4，服务于省级政府、一般金融机构、大型网站（如Alexa排名前50）等的IDC社会影响力赋值为3，服务于其他政府、企事业单位或一般网站等的IDC社会影响力赋值为2。（2）规模和服务范围R
根据YD/T1729，规模表示定级对象服务的用户数多少，服务范围表示定级对象服务的地区范围大小。建议从IDC服务对象指标衡量IDC规模和服务范围，IDC服务对象是国家机关部委、企事业单位、企业网站等。建议服务于国家重要部委、重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC社会影响力赋值为4，服务于省级政府、一般金融机构、大型网站（如Alexa排名前50）等的IDC社会影响力赋值为3，服务于其他政府、企事业单位或一般网站等的IDC社会影响力赋值为2。（3）所提供服务的重要性V
根据YD/T1729，所提供服务的重要性表示定级对象提供的服务被破坏后对网络和业务运营商的合法权益的影响程度。建议从IDC服务对象指标衡量IDC提供服务的重要性，IDC服务对象是国家机关部委、企事业单位、企业网站等。建议服务于国家重要部委、重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC社会影响力赋值为4，服务于省级政府、一般金融机构、大型网站（如Alexa排名前50）等的IDC社会影响力赋值为3，服务于其他政府、企事业单位或一般网站等的IDC社会影响力赋值为2。
6互联网数据中心安全防护保护要求6.1第1级要求
6.1.1业务安全
不作要求。
6.1.2网络安全
6.1.2.1结构安全
不作要求。
6.1.2.2访问控制
不作要求。
6.1.2.3安全审计
不作要求。
6.1.2.4入侵防范
iiKacaQiaiKAca-
8）应面向互联网部署防火墙等安全防护设备，及时发现安全事件：YD/T2584-2013
b）应在互联网数据中心与互联网接口处具备流量监控分析能力，以及时发现导致流量异常的安全事c）应在IDC实施虚假源地址流量控制策略，包括但不限于：在IDC出口设备上开启uRPF（单播逆向路径转发）功能，对于不具备开启条件的设备，启用ACL（访问控制列表）功能过滤虚假源地址。d）应在完成对IDC业务及客户源地址的备案和梳理。6.1.2.5网络设备防护
不作要求。
6.1.3主机安全
不作要求。
6.1.4中间件安全
不作要求。
6.1.5安全域边界安全
应根据互联网数据中心的生产运行、操作维护、系统管理等功能，采用交换机、路由器、防火墙等设备，利用VLAN划分、IP网段划分、可信任域等划分等方式对互联网数据中心内部网络划分安全域，并对跨域的访间实施针对访间源MAC地址、源IP地址、端口号等信息的控制策略。6.1.6集中运维安全管控系统安全a）互联网数据中心集中运维安全管控系统应与提供互联网数据中心各种服务的互联网数据中心基础设施隔离，应部署在不同网络区域，网络边界处设备应按不同互联网数据中心业务需求实施访问控制策略，应只开放管理所必须的服务及端口，避免开放较大的IP地址段及服务；b）互联网数据中心集中运维安全管控系统应采用安全的管理和控制信息的分发、过滤机制：网络管理信息应通过加密传送：对于专用管理接口，应对目的地址为设备本身的非管理报文和到数据业务接口的报文进行控制；
6.1.7物理环境安全
应满足YDT1754-2008中的第1级要求。6.1.8管理安全
应满足YDT1756-2008中的第1级要求。6.2第2级要求
6.2.1业务安全
除满足6.1.1的要求以外，还应满足：a）按照合同保证互联网数据中心用户业务的安全：b）具有对网络安全漏洞攻击监控能力，包括但不限于以下能力：■支持对已知安全漏洞攻击流量和攻击报文的检测；■支持对组合型攻击流量和攻击报文的检测和告警：■支持对攻击源的溯源和操作行为记录；■支持通过IP5元组、攻击数据包类型、攻击报文关键宇、攻击流量等对已知安全漏洞攻击的阻断；■支持对疑似安全漏洞攻击行为的研判和预警：7
YD/T2584-2013
■支持对互联网数据中心机房服务器的Web网站挂马扫描：c）应具备对DDoS攻击的监控能力，包括但不局限于以下能力：支持对常见DDoS攻击（如SYNFlood、UDPFlood、ICMPFlood等）的检测和告警：■支持对Web应用层DDoS攻击（如CC攻击）的检测和告警：■支持对DDoS攻击源或僵户机的溯源和攻击行为记录支持通过IP5元组、包过滤、阅值限制、重定向等手段清洗DDoS攻击流量。6.2.2网络安全
6.2.2.1结构安全
a）应绘制与当前运行情况相符的网络拓扑结构图（反映互联网接口、内部网络划分等）：b）应保证网络单元关键网络设备的业务处理能力具备穴余空间，满足业务高峰期需要。6.2.2.2访问控制
满足7.1.2.2的要求以外，还应满足：a）应对互联网与网络单元接口的流量进行监控统计：b）互联网数据中心与互联网接口处的流量带宽应具备穴余空间，满足业务高蜂期需要。6.2.2.3安全审计
a）应对网络系统中的关键网络设备运行状况、网络流量、用户行为等进行日志记录：b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。6.2.2.4入侵防范
a）应在互联网数据中心与互联网的网络边界处检测、防御以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等：b）实现安全划分的网络边界设备、主机的安全日志应在本地或外部设备上进行记录、输出、存储，并及时、定期审计安全域边界安全防护设备的日志，日志审计范围应该覆盖设备自身操作维护记录，以及设备对外部发起行为的记录，应形成、储存相关的审计文档。6.2.2.5网络设备防护
a）应对登录网络设备的用户进行身份鉴别；b）应对网络设备的管理员登录地址进行限制：e）网络设备用户的标识应唯一：d）身份鉴别信息应具有不易被冒用的特点，口令应有一定复杂度（长度至少8位，是数字、大写字母、小写字母的组合），并定期（更换周期小于90天）更换；e）应具有登录失败处理功能，可采取结束会话、限制登录失败次数和当网络登录连接超时自动退出等措施；
f）当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。6.2.3主机安全
6.2.3.1身份鉴别
a）应对登录操作系统和数据库系统的用户进行身份标识和鉴别；b）操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有一定复杂度（长度至少8位，是数字及字母的组合，并对字母大小写敏感），并定期（更换周期小于90天）更换：8
iiKacaQiaiKAca
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国通信行业标准
YD/T2584-2013
互联网数据中心安全防护要求
Security protection requirements for internet data center2013-07-22发布
2013-10-01实施
中华人民共和国工业和信息化部发布前
规范性引用文件
3术语、定义和缩略语
3.1术语和定义
3.2缩略语
4互联网数据中心安全防护概述
4.1互联网数据中心安全防护范围4.2互联网数据中心安全风险分析4.3互联网数据中心安全防护内容….目
5互联网数据中心定级对象和安全等级确定·6互联网数据中心安全防护保护要求6.1第1级要求
6.2第2级要求·
6.3第3.1级要求bzxz.net
6.4第3.2级要求
6.5第4级要求
6.6第5级要求
附录A（规范性附录）互联网数据中心安全风险分析次
YD/T2584-2013
YD/T2584-2013
本标准是“电信网和互联网安全防护体系”系列标准之一。该系列标准预计结构及名称如下：《电信网和互联网安全防护管理指南》2
《电信网和互联网安全等级保护实施指南》3.
《电信网和互联网安全风险评估实施指南》《电信网和互联网灾难备份及恢复实施指南》《固定通信网安全防护要求》
《移动通信网安全防护要求》
《互联网安全防护要求》
《增值业务网一消息网安全防护要求》8.
《增值业务网一智能网安全防护要求》10.《接入网安全防护要求》
11.《传送网安全防护要求》
12.《IP承载网安全防护要求》
13.《信令网安全防护要求》
14.《同步网安全防护要求》
15.《支撑网安全防护要求》
16.《非核心生产单元安全防护要求》17.《电信网和互联网物理环境安全等级保护要求》18.《电信网和互联网管理安全等级保护要求》19.《固定通信网安全防护检测要求》20.《移动通信网安全防护检测要求》21.《互联网安全防护检测要求》22.《增值业务网一消息网安全防护检测要求》23.《增值业务网一智能网安全防护检测要求》24.《接入网安全防护检测要求》25.《传送网安全防护检测要求》26.《IP承载网安全防护检测要求》27.《信令网安全防护检测要求》28.《同步网安全防护检测要求》29.《支撑网安全防护检测要求》30.《非核心生产单元安全防护检测要求》31.《电信网和互联网物理环境安全等级保护检测要求》32.《电信网和互联网管理安全等级保护检测要求》I
YD/T2584-2013
33.《域名系统安全防护要求》
34.（域名系统安全防护检测要求》35.《网上营业厅安全防护要求》36.《网上营业厅安全防护检测要求》37.《WAP网关系统安全防护要求》38.《WAP网关系统安全防护检测要求》39.《电信网和互联网信息服务业务系统安全防护要求》40.《电信网和互联网信息服务业务系统安全防护检测要求》41.《增值业务网即时消息业务系统安全防护要求》42.《增值业务网即时消息业务系统安全防护检测要求》43.《域名注册系统安全防护要求》44.《域名注册系统安全防护检测要求》45.《应用商城安全防护要求》
46.《应用商城安全防护检测要求》47.《互联网内容分发网络安全防护要求》（本标准）48.《互联网内容分发网络安全防护检测要求》49.《互联网数据中心安全防护要求》50.《互联网数据中心安全防护检测要求》本标准与YD/T2585-2013《互联网数据中心安全防护检测要求》配套使用。随着电信网和互联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院、中国移动通信集团公司。本标准主要起草人：魏亮、周智、卜哲、曹一生。m
iiKacaQiaiKAca
1范围
互联网数据中心安全防护要求
YD/T2584-2013
本标准规定了互联网数据中心在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护要求，
本标准适用于公众电信网和互联网中的互联网数据中心2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD/T1478
YD/T1729
YD/T1754
YD/T1756
电信管理网安全技术要求
电信网和互联网安全等级保护实施指南电信网和互联网物理环境安全等级保护要求电信网和互联网管理安全等级保护要求3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。3.1.1
互联网数据中心IntemetDataCenter互联网数据中心是基于Intermet网络，为集中式收集、存储、处理和发送数据的设备提供运行维护的设施以及相关的服务体系。IDC提供的主要业务包括主机托管（机位、机架、VIP机房出租），资源出租（如虚拟主机业务、数据存储服务）系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断），以及其他支撑、运行服务等。3.1.2
互联网数据中心安全等级SecurityClassificationofIDC互联网数据中心安全重要程度的表征。重要程度可从互联网数据中心受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.1.3
互联网数据中心安全等级保护ClassifiedSecurityProtectionofIDC对互联网数据中心分等级实施安全保护。3.1.4
组织Organization
由不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作；一个单位是一个组织，某个业务部门也可以是一个组织。-
YD/T2584-2013
互联网数据中心安全风险SecurityRiskofIDC人为或自然的威胁可能利用互联网数据中心中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
互联网数据中心安全风险评估SecurityRiskAssessmentofIDc指运用科学的方法和手段，系统地分析互联网数据中心所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。防范和化解互联网数据中心安全风险，或者将风险控制在可接受的水平，为最大限度地保障互联网数据中心的安全提供科学依据。
互联网数据中心资产AssetofIDC互联网数据中心中具有价值的资源，是安全防护保护的对象。互联网数据中心中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如互联网数据中心Web服务器等。3.1.8
互联网数据中心资产价值AssetValueofIDC互联网数据中心中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。
互联网数据中心威胁ThreatofIDC可能导致对互联网数据中心产生危害的不希望事故件在起因，它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶意攻击。常见的互联网数据中心威胁有黑客入侵、硬件故障、人为操作失误、火灾、水灾等。
互联网数据中心脆弱性VulnerabilityofIDC互联网数据中心中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危害资产的安全。
互联网数据中心灾难DisasterofIDC由于各种原因，造成互联网数据中心故障或瘫痪，使互联网数据中心的功能停顿或服务水平不可接受的突发性事件。
互联网数据中心灾难备份backupfordisasterrecoveryofIDc为了互联网数据中心灾难恢复而对相关网络要素进行备份的过程。3.1.13
互联网数据中心灾难恢复DisasterRecoveryofIDc2
rKacadiaiKAca
YD/T2584-2013
为了将互联网数据中心从灾难造成的故障或瘫痰状态恢复到正常运行状态或部分正常运行状态，并将其功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.1.14
中间件MiddleWare
一种独立的系统软件或服务程序，中间件位于客户机/服务器的操作系统之上，管理计算机资源和网络通信，是连接两个独立应用程序或独立系统的软件，针对不同的操作系统和硬件平台，中间件可以有符合接口和协议规范的多种实现。实现互联网数据中心功能的应用程序运行在中间件之上，此时中间件包括Web服务器和应用服务器功能模块。3.1.15
跨站脚本攻击Cross-SiteScripting入侵者在远程Web页面的HTML代码中插入具有恶意目的的数据，用户认为该页面是可信赖的，但是当浏览器下载该页面，嵌入其中的脚本将被解释执行，从而威胁用户浏览过程的安全。3.1.16
SQL注入攻击SQLInjectionAttack攻击者构造恶意的字符申，欺骗应用系统用于构造数据库查询语句并执行，从而达到盗取或修改数据库中存储的数据的目的。
路径遍历攻击PathTraversalAttack攻击者操纵输入参数使应用系统执行或透露任意文件内容，或对服务器任意文件目录进行读、写、删除等操作。
命令注入攻击CommandInjectionAttack命令注入攻击是指攻击者操纵输入参数使应用系统执行额外的指令，例如操作系统命令等。3.2缩略语
下列缩略语适用于本文件。
AccessControl List
Challenge Collapsar
Central Processing Unit
Distributed Denial of ServiceFile Transfer Protocol
Internet Control Message ProtocolInternet Data Center
InternetProtocol
Medium Access Control
Structured QueryLanguage
Secure Shell
Secure Sockets Layer
访间控制列表
挑战黑洞
中央处理器
分布式拒绝服务
文件传输协议
Internet控制报文协议
互联网数据中心
网络之间互连的协议
媒体介入控制层
结构化查询语言
安全协议外壳
安全套接层
YD/T2584-2013
User Datagram Protocol FloodUDPFlood
Uniform Resource Locator
Unicast ReversePathForwardingVirtual Local Area Network
4互联网数据中心安全防护概述
4.1互联网数据中心安全防护范围UDP洪水攻击
统一资源定位符
单播逆向路径转发
虚拟域网
为用户提供各种IDC服务包括IP网络、主机、服务器、安全设备等在内的IDC基础设施，和为了保证IDC正常运行所构建的包括集中配置、集中监控、计费、灾备等在内的IDC支撑系统，以及为了保证IDC网络安全所构建的IDC网络安全防护系统。4.2互联网数据中心安全风险分析4.2.1资产分析
互联网数据中心的资产可分为设备硬件、软件、数据、网络、服务、文档和人员等，详见附录A对资产的分类及举例，其中重点资产如下：1）互联网数据中心中的各种软硬件设备，如主机设备，网络设备、操作系统、数据库、中间件、应用程序、支撑系统等：
2）互联网数据中心中的重要数据，保存在互联网数据中心的各种重要信息数据，用户信息（用户登录ID、用户在互联网数据中心上的操作记录等）、设备配置数据、管理员操作维护记录等：3）互联网数据中心中的重要服务，这些服务至少包括主机托管（机位、机架、VIP机房出租）、资源出租（如虚拟主机业务、数据存储服务）、系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断）。4.2.2资产脆弱性分析
互联网数据中心的脆弱性可分为技术脆弱性和管理脆弱性两方面，见附录A中的互联网数据中心的脆弱性列表。
4.2.3安全威胁分析
互联网数据中心的威胁可分为业务威胁、设备威胁、环境威胁和人为威胁，其中环境威胁包括自然界不可抗的威胁和其他物理威胁；根据威胁的动机，人为威胁又可分为恶意和非恶意两种，详见附录A中的互联网数据中心的威胁列表。4.2.4安全风险分析
互联网数据中心面临来自公众互联网上及内部的各种安全威胁，自身脆弱性一且被利用后将产生很大的安全风险。
4.2.4.1设备安全风险
互联网数据中心中网络设备的安全风险主要来自两个方面，一个是设备自身的安全风险，另外一个是外界环境的安全风险。具体的设备安全风险如下：a）设备自身的安全缺陷或未能够及时修复的安全缺陷，导致针对该设备的缺陷利用，影响IDC业务的连续性、可靠性和完整性
b）承载业务系统硬件、网络环境等方面的风险；c）业务系统自身安全风险。
iiKacaQiaiKAca-
4.2.4.2网络安全风险
互联网数据中心网络的安全风险主要如下：YD/T2584-2013
a）来自内部和外部可能的网络攻击，如DDoS攻击、利用系统漏洞进行的各类攻击等；b）蠕虫病毒入侵，局域网内部病毒等恶意软件的传播，尤其是维护终端、磁盘介质使用等导致的病毒扩散
C）利用管理和技术漏洞，或者内部资源成为僵尸网络、木马的被控资源，IDC资源被用作攻击外部网络的工具：
d）Web类应用被挂马，成为木马大范围传播的主要途径：e）由于对IDC网络进行维护不恰当，而导致的安全风险。4.2.4.3应用层安全风险
互联网数据中心涉及应用层的安全风险主要来自以下两个方面：a）来自原互联网、内部恶意用户的安全风险：b）IDC客户或者Web用户发布反动、色情、违反版权要求、进行人身攻击的文字、视频、图片、音频、游戏等。
4.2.4.4数据安全风险
4.2.4.4.1网管数据
互联网数据中心网管数据，主要指互联网数据中心管理层面的数据，其安全风险主要如下：a）数据传输过程中被窃取，筹改、破坏；b）越权访问：
C）病毒入侵导致丢失
d）其他误操作、系统故障、介质间题等原因导致的数据丢失、泄漏。4.2.4.4.2内部业务数据
互联网数据中心内部业务数据，主要指互联网数据中心各个业务区域数据，其安全风险一方面来自于各个业务的不同要求，另外更主要的一方面是这些业务数据的存放，具体如下：a）病毒、木马、间谍软件的入侵b）针对敏感数据的非法算改、获取；c）数据的存储安全风险，包括数据存储磁盘管理不善，数据访问管理不善带来的风险等。4.2.4.4.3帐号口令
a）口令密码明文保存导致失窃：b）弱口令导致的暴力破解；
c）网络监听明文传输的账号口令。4.3互联网数据中心安全防护内容互联网数据中心已成为互联网时代重要不可缺少的重要基础性设施。互联网数据中心自身安全性、对其所提供各类服务的安全管控、支撑系统的安全防护是互联网数据中心安全防护的重要内容，具体包括：业务安全、网络安全、主机安全、中间件安全、安全域边界安全、集中运维安全管控系统安全、物理环境安全、管理安全。
YD/T2584-2013
5互联网数据中心定级对象和安全等级确定网络和业务运营商应根据YD/T1729中确定安全等级的方法对互联网数据中心进行定级，即根据社会影响力、所提供服务的重要性、规模和服务范围的大小对互联网数据中心分别定级，定级方法中的权重α、β、可根据具体网络情况进行调节。建议权重值α、β、分别为：0.4、0.4、0.2，或者1/3~1/3、1/3，各IDC运营企业也可根据本企业实际情况调节a、β、3个权重值。（1）社会影力I
根据YD/T1729，社会影响力表示定级对象受到破坏后对国家安全、社会秩序、经济运行、公共利益的损害程度。IDC服务对象可能是国家机关部委、企事业单位、企业网站等。建议服务于国家重要部委重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC社会影响力赋值为4，服务于省级政府、一般金融机构、大型网站（如Alexa排名前50）等的IDC社会影响力赋值为3，服务于其他政府、企事业单位或一般网站等的IDC社会影响力赋值为2。（2）规模和服务范围R
根据YD/T1729，规模表示定级对象服务的用户数多少，服务范围表示定级对象服务的地区范围大小。建议从IDC服务对象指标衡量IDC规模和服务范围，IDC服务对象是国家机关部委、企事业单位、企业网站等。建议服务于国家重要部委、重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC社会影响力赋值为4，服务于省级政府、一般金融机构、大型网站（如Alexa排名前50）等的IDC社会影响力赋值为3，服务于其他政府、企事业单位或一般网站等的IDC社会影响力赋值为2。（3）所提供服务的重要性V
根据YD/T1729，所提供服务的重要性表示定级对象提供的服务被破坏后对网络和业务运营商的合法权益的影响程度。建议从IDC服务对象指标衡量IDC提供服务的重要性，IDC服务对象是国家机关部委、企事业单位、企业网站等。建议服务于国家重要部委、重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC社会影响力赋值为4，服务于省级政府、一般金融机构、大型网站（如Alexa排名前50）等的IDC社会影响力赋值为3，服务于其他政府、企事业单位或一般网站等的IDC社会影响力赋值为2。
6互联网数据中心安全防护保护要求6.1第1级要求
6.1.1业务安全
不作要求。
6.1.2网络安全
6.1.2.1结构安全
不作要求。
6.1.2.2访问控制
不作要求。
6.1.2.3安全审计
不作要求。
6.1.2.4入侵防范
iiKacaQiaiKAca-
8）应面向互联网部署防火墙等安全防护设备，及时发现安全事件：YD/T2584-2013
b）应在互联网数据中心与互联网接口处具备流量监控分析能力，以及时发现导致流量异常的安全事c）应在IDC实施虚假源地址流量控制策略，包括但不限于：在IDC出口设备上开启uRPF（单播逆向路径转发）功能，对于不具备开启条件的设备，启用ACL（访问控制列表）功能过滤虚假源地址。d）应在完成对IDC业务及客户源地址的备案和梳理。6.1.2.5网络设备防护
不作要求。
6.1.3主机安全
不作要求。
6.1.4中间件安全
不作要求。
6.1.5安全域边界安全
应根据互联网数据中心的生产运行、操作维护、系统管理等功能，采用交换机、路由器、防火墙等设备，利用VLAN划分、IP网段划分、可信任域等划分等方式对互联网数据中心内部网络划分安全域，并对跨域的访间实施针对访间源MAC地址、源IP地址、端口号等信息的控制策略。6.1.6集中运维安全管控系统安全a）互联网数据中心集中运维安全管控系统应与提供互联网数据中心各种服务的互联网数据中心基础设施隔离，应部署在不同网络区域，网络边界处设备应按不同互联网数据中心业务需求实施访问控制策略，应只开放管理所必须的服务及端口，避免开放较大的IP地址段及服务；b）互联网数据中心集中运维安全管控系统应采用安全的管理和控制信息的分发、过滤机制：网络管理信息应通过加密传送：对于专用管理接口，应对目的地址为设备本身的非管理报文和到数据业务接口的报文进行控制；
6.1.7物理环境安全
应满足YDT1754-2008中的第1级要求。6.1.8管理安全
应满足YDT1756-2008中的第1级要求。6.2第2级要求
6.2.1业务安全
除满足6.1.1的要求以外，还应满足：a）按照合同保证互联网数据中心用户业务的安全：b）具有对网络安全漏洞攻击监控能力，包括但不限于以下能力：■支持对已知安全漏洞攻击流量和攻击报文的检测；■支持对组合型攻击流量和攻击报文的检测和告警：■支持对攻击源的溯源和操作行为记录；■支持通过IP5元组、攻击数据包类型、攻击报文关键宇、攻击流量等对已知安全漏洞攻击的阻断；■支持对疑似安全漏洞攻击行为的研判和预警：7
YD/T2584-2013
■支持对互联网数据中心机房服务器的Web网站挂马扫描：c）应具备对DDoS攻击的监控能力，包括但不局限于以下能力：支持对常见DDoS攻击（如SYNFlood、UDPFlood、ICMPFlood等）的检测和告警：■支持对Web应用层DDoS攻击（如CC攻击）的检测和告警：■支持对DDoS攻击源或僵户机的溯源和攻击行为记录支持通过IP5元组、包过滤、阅值限制、重定向等手段清洗DDoS攻击流量。6.2.2网络安全
6.2.2.1结构安全
a）应绘制与当前运行情况相符的网络拓扑结构图（反映互联网接口、内部网络划分等）：b）应保证网络单元关键网络设备的业务处理能力具备穴余空间，满足业务高峰期需要。6.2.2.2访问控制
满足7.1.2.2的要求以外，还应满足：a）应对互联网与网络单元接口的流量进行监控统计：b）互联网数据中心与互联网接口处的流量带宽应具备穴余空间，满足业务高蜂期需要。6.2.2.3安全审计
a）应对网络系统中的关键网络设备运行状况、网络流量、用户行为等进行日志记录：b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。6.2.2.4入侵防范
a）应在互联网数据中心与互联网的网络边界处检测、防御以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等：b）实现安全划分的网络边界设备、主机的安全日志应在本地或外部设备上进行记录、输出、存储，并及时、定期审计安全域边界安全防护设备的日志，日志审计范围应该覆盖设备自身操作维护记录，以及设备对外部发起行为的记录，应形成、储存相关的审计文档。6.2.2.5网络设备防护
a）应对登录网络设备的用户进行身份鉴别；b）应对网络设备的管理员登录地址进行限制：e）网络设备用户的标识应唯一：d）身份鉴别信息应具有不易被冒用的特点，口令应有一定复杂度（长度至少8位，是数字、大写字母、小写字母的组合），并定期（更换周期小于90天）更换；e）应具有登录失败处理功能，可采取结束会话、限制登录失败次数和当网络登录连接超时自动退出等措施；
f）当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。6.2.3主机安全
6.2.3.1身份鉴别
a）应对登录操作系统和数据库系统的用户进行身份标识和鉴别；b）操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有一定复杂度（长度至少8位，是数字及字母的组合，并对字母大小写敏感），并定期（更换周期小于90天）更换：8
iiKacaQiaiKAca
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。