YDB 106-2012.Implementation S pecification of Classified Security Prction and Testing for V alue- added Telecommunication Service System Portal Site System.
1范围
YDB 106规定了门户综合网站系统安全防护定级实施规范、安全防护要求和安全防护评测实施指南。
YDB 106适用于增值电信企业运营的门门户综合网站系统。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅所注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
YD 5098-2005通信局(站)防雷与接地工程设计规范
YD 5002-2005邮电建筑防火设计标准
YD/T 5026-2005电信机房铁架安装设计标准
3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本标准。
3.1.1
门户综合网站系统安全等级security cI assification of portal site systen
门户综合网站系统安全重要程度的表征。重要程度可从i门]户综合网站系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、业务运营企业造成的损害来衡量。
3.1.2
门户综合网站系统安全等级保护cl assified security protection of portal site systen
对门户综合网站系统分等级实施安全保护。
3.1.3
门户综合网站系统安全风险security risk of portal site systen
人为或自然的威胁可能利用门户综合网站系统中存在的脆弱性导致安全事件的发生及造成的影响。

中国通信标准化协会标准
YDB106—2012
增值电信业务系统安全防护定级和评测实施规范门户综合网站系统
Implementation Specification ofClassified Security Prction andTesting for Value-added Telecommunication Service SystemPortal SiteSystem
2012-11-13印发
中国通信标准化协会
前言.．.
范围。
规范性引用文件
3术语、定义和缩略语.
3.1术语和定义
3.2缩略语..
4概述，
4.1安全防护范围
4.2安全风险分析..
4.3安全防护内容.
5定级实施规范.
5.1安全等级划分.
5.2定级要素.
安全等级的计算方法
6安全防护要求.
6.1第1级要求.，www.bzxz.net
第2级要求...
6.3第3.1级要求.
6.4第3.2级要求..
6.5第4级要求
6.6第5级要求
7安全防护评测实施指南.
第1级要求
第2级要求..
第3.1级要求.
第3.2级要求.
第4级要求
7.6第5级要求..
YDB106—2012
YDB106—2012
本标准是”增值电信业务系统安全防护定级和评测实施规范”系列实施规范之一，该系列实施规范包含如下实施规范：
增值电信业务系统安全防护定级和评测实施规范门户综合网站系统；增值电信业务系统安全防护定级和评测实施规范即时通信系统；-增值电信业务系统安全防护定级和评测实施规范网络交易系统；增值电信业务系统安全防护定级和评测实施规范信息社区服务系统；-增值电信业务系统安全防护定级和评测实施规范邮件系统；-增值电信业务系统安全防护定级和评测实施规范搜索系统：增值电信业务系统安全防护定级和评测实施规范互联网接入服务系统。本标准按照GB/T1.1-2009给出的规则起草。为适应信息通信业发展对通信标准文件的需要，由中国通信标准化协会组织制定中国通信标准化协会标准”，推荐有关方面参考采用。有关对本标准的建议和意见，向中国通信标准化协会反映。本标准由中国通信标准化协会提出并归口。本标准起草单位：工业和信息化部电信研究院。本标准主要起草人：封莎、魏薇、谢玮、魏亮、鲁冬雪、黄晨、祝卓、杨剑锋、邓东丰、许子先、何有斌。
iiKAoi KAca
1范围
YDB106—2012
增值电信业务系统安全防护定级和评测实施规范门户综合网站系统
本标准规定了门户综合网站系统安全防护定级实施规范、安全防护要求和安全防护评测实施指南。本标准适用于增值电信企业运营的门户综合网站系统。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD5098-2005
YD5002-2005
YD/T5026-2005
3术语、定义和缩略语
3.1术语和定义
通信局(站）防雷与接地工程设计规范邮电建筑防火设计标准
电信机房铁架安装设计标准
下列术语和定义适用于本标准。3.1.1
门户综合网站系统安全等级security classificationof portal sitesysten门户综合网站系统安全重要程度的表征。重要程度可从门户综合网站系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、业务运营企业造成的损害来衡量3.1.2
门户综合网站系统安全等级保护classified securityprotectionof portal sitesysten对门户综合网站系统分等级实施安全保护。3.1.3
门户综合网站系统安全风险securityriskof portal sitesysten人为或自然的威胁可能利用门户综合网站系统中存在的脆弱性导致安全事件的发生及造成的影响。3.1.4
门户综合网站系统资产assetofportalsitesysten门户综合网站系统中具有价值的资源，是安全防护保护的对象。门户综合网站系统中的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如网站业务系统的主机、网络布局等。1
TiiKAoNiKAca
YDB 1062012
门户综合网站系统威胁threat of portal sitesysten可能导致对门户综合网站系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。常见的门户综合网站系统络威胁有光缆中断、设备节点失效、火灾、水灾等等。
门户综合网站系统脆弱性vul nerabilityofportal sitesysten脆弱性是门户综合网站系统中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危及资产的安全。
门户综合网站系统灾难disaster ofportalsitesysten由于各种原因，造成门户综合网站系统故障或瘫痪，使门户综合网站系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.1.8
门户综合网站系统灾难备份backupfordisasterrecoveryofportalsitesysten为了门户综合网站系统灾难恢复而对相关网络要素进行备份的过程。3.1.9
门户综合网站系统灾难恢复disasterrecoveryofportalsitesysten为了将门户综合网站系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.1.10
门户综合网站系统安全评测securitytestingofportalsitesysten对门户综合网站系统的安全保护能力是否达到相应安全等级的安全防护要求进行衡量。3.2缩略语
下列缩略语适用于本标准。
CommonVulnerabilities&ExposuresChi na National Vul nerabi lity DatabaseDistri buted Denial of Servi ceDeni al of Servi ce
File Transfer Protocol
Fypertext Transport Prot ocol通用漏洞披露
国家信息安全漏洞共享平台
分布式拒绝服务
拒绝服务
文件传输协议
超文本传送协议
安全超文本传输协议
HypertextTransferProtocol overSecureSocketLayerIP
4概述
I nternet Prot ocol
Secure Sockets Layer
Transport Layer Security
Uhi nterruptiblePower Systen网际协议
安全套阶层协议
安全传输层协议
不间断电源
TiiKAoNiKAca
4.1安全防护范围
YDB106—2012
门户综合网站系统是由计算机及其相关的配套设备，、设施、软件构成信息发布平台，按照一定规则对公共互联网用户提供互联网新闻门户服务的信息服务系统，公共互联网用户通过网络可以以查询、浏览等方式获取通过信息发布平台发布的信息门户综合网站系统平台提供新闻门户服务，其他业务能力主要通过接口调用其他业务平台业务能力实现，系统功能架构如图1所示。门户综合网站系统
业务安全
新闻发布模块
用户管理模块
固定互联网用户
互联网内容
分发网络
互联网数据中心
通信网络
管理模块
系统安全
管理模块
互联网域名
服务系统
图1门户综合网站系统功能架构图门户综合网站系统各模块功能如下：移动互联网用户
用户管理模块主要包括用户注册、认证、权限等子模块，主要是实现用户的注册、登录认证以a)
及用户权限鉴别及管理：
新闻发布模块主要实现新闻的审核、发布、撤销等功能；b)
业务安全管理模块主要包括恶意代码监控和过滤、防算改和防挂马等模块主要实现对新闻发布数据中的恶意代码进行扫描，及时有效的发现恶意篡改和挂马等安全问题；系统安全管理模块主要包括设备配置管理和设备运行状态监控，主要实现对网络、安全、主机d
设备的安全配置管理及日常运行状态监控及时有效的发现系统运行异常确保系统运行稳定，本标准主要针对门户综合网站系统平台及其接口提出安全防护要求和检测实施指南，与门户综合网站系统相关的其他业务平台安全防护要求和检测实施指南不属于本标准规定范畴，可参见其他相应增值电信业务实施规范。例如为门户综合网站系统提供域名解析服务的系统、与互联网相关的互联网数据中心、互联网内容分发网络等其他系统的安全防护要求参见相应网络类型的安全防护标准。4.2安全风险分析
门户综合网站系统中的重要资产至少应包括：设备硬件，设备软件，重要数据，提供的应用，文档人员等。门户综合网站系统相关代表性资产的类别划分如表1所示。表1资产类别
设备及链路
主要资产
涉及的操作维护终端、服务器和数据库，相关辅助设备（如，安全过滤，入侵检测和防护设备）系统内部网络设备（如，系统内部组网路由器、交换机等设备）系统内部链路。3
HiiKAoiKAca
YDB1062012
数据和信息
业务及应用
文档和资料
环境和设施
表1（续）
主要资产
相关业务或应用软件、数据库软件、业务控制和运维管理软件等。保证信息服务业务正常提供的数据和信息（如，业务数据、系统配置数据、管理员操作维护记录、用户信息等）
门户综合网站系统提供的信息浏览和发布服务。纸质以及保存在存储介质中的各种文件资料（如，设计文档、技术要求、管理规定、工作计划、技术报告、用户手册等）。
相关管理、维护、开发、数据备份人员等业务系统和设备所处的物理环境，机房、电力、防火、防水、防静电、温湿度控制等相关设施。门户综合网站系统的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑。脆弱性识别对象应以资产为核心。门户综合网站系统的脆弱性分析应包括但不限于表2所列范围。表2脆弱性类别
技术脆
业务及
物理环
管理脆弱性
主要脆弱性
相关服务器未进行合理备份，重要数据未及时进行备份：相关业务/应用协议存在漏洞，相关服务器的应用代码存在漏洞、后门：相关服务器存在过多不必要的开放端口；
相关服务器配置不合理，访问控制策略设置不合理；相关服务器的日志功能没有启用或不够详细：系统规划、设备部署、链路部署、资源配置、业务保护和恢复能力、安全技术措施和策略等方面的缺陷。
相关设备存在硬件隐患或质量问题：相关设备的操作系统存在安全隐患；相关口令设置不合理、复杂度不够、或没有经常更新设备重要部件未进行合理备份；相关设备超过使用年限或核心部件老化；相关设备发生故障后未及时告警。机房场地选择不合理；
防火、供配电、防静电、接地与防雷、电磁防护、温湿度控制不符合规范：通信线路、相关服务器、主机等设备的保护不符合规范。安全管理机构方面：岗位设置不合理（如人员配置过少、职责不清）、授权和审批程序简化、沟通和合作未执行、审核和检查未执行等：安全管理制度方面：管理制度不完善、制度评审和修订不及时等；人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训、对于第三方人员未进行限制访问等：建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等；
运维管理方面：物理环境管理措施简单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位，灾难恢复预案不完善。门户综合网站系统的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其它物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。门户综合网站系统的威胁分析应包括但不限于表3所列范围。4
HiiKAoNiKAca
技术威胁
物理环境
环境威胁
自然灾害
恶意人员
人为威胁
非恶意人员
表3威胁类别
主要威肋
YDB106—2012
相关主机和服务器、及系统网络设备使用时间过长或质量问题等导致硬件故障；
系统链路发生故障；
相关设备的操作系统软件、应用软件运行故障；相关设备数据丢失或系统运行中断；存储介质老化或质量问题等导致不可用。断电、静电、灰尘、潮湿、温湿度异常、电磁干扰等；意外事故或通讯线路方面的故障。鼠蚁虫害、洪灾、火灾、泥石流、山体滑坡、地震、台风、雷击。不满的或有预谋的内部人员滥用权限进行恶意破坏；攻击者利用非法手段进入机房内部盗窃、破坏等，攻击者非法物理访问相关设备、存储介质等；
攻击者利用网络协议、操作系统、应用系统漏洞，越权访问相关设备的文件、数据或其他资源；
攻击者利用各种工具获取相关设备身份鉴别数据，并对鉴别数据进行分析和解剖，获得鉴别信息，未授权访问应用系统，或非法使用相关文件和数据；攻击者利用应用系统扩散病毒、蠕虫、木马、垃圾电子邮件，利用相关攻击工具恶意消耗应用系统资源，导致系统能力下降或瘫痪、无法正常提供应用服务；
攻击者截获数据，进行篡改、插入，并重发，造成数据的完整性、真实性丧失。
内部人员由于缺乏责任心或者无作为而应该执行而没有执行相应的操作、或无意地执行了错误或危险的操作导致安全事件；内部人员没有遵循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求而导致故障或攻击；安全管理制度不完善、落实不到位造成安全管理不规范或者管理混乱导致安全事件。
门户综合网站系统可能存在的安全脆弱性被利用后会产生很大的安全风险，主要包括以下几个方面：
来自内部和外部可能的网络攻击，如DDC攻击、利用系统漏洞进行的各类攻击；网页被篡改或被挂马，成为木马大范围传播的主要途径；相关主机和服务器、及系统网络设备使用时间过长或质量问题等导致硬件故障，系统链路发生故障；
相关设备的操作系统软件、应用软件运行故障这些安全隐患会对门户综合网站系统的业务正常提供构成安全威胁甚至进一步威胁互联网用户终端的安全。
4.3安全防护内容
门户综合网站系统的主要功能是进行新闻发布，为用户提供新闻浏览功能，因此保障业务的安全稳定运行至关重要。保障门户综合网站系统的物理环境安全、管理安全等也是安全防护的主要内容。5
HiiKAoiKAca
YDB106—2012
4.3.1业务及应用安全
业务及应用安全包括向用户提供的相关业务及应用在实现技术、逻辑、管理和控制等方面的安全要求，主要包括业务逻辑安全、web安全、客户端安全等。4.3.2网络安全
网络安全包括网络结构安全、入侵防范、安全审计等方面的安全要求。4.3.3设备及软件系统安全
设备及软件系统安全包括网络及安全设备、操作系统、数据库、中间件在身份鉴别、访问控制、安全审计、入侵防范、资源控制等方面的安全要求。4.3.4物理安全
物理安全包括系统所处的物理环境在机房位置、电力供应、防火一、防水、防静电、温湿度控制等方面的安全要求。
4.3.5管理安全
管理安全包括管理制度、人员和技术支持能力、运行维护管理能力、灾难恢复预案等方面的安全要求。
5定级实施规范
5.1安全等级划分
门户综合网站业务系统进行安全等级划分的总体原则是：依据定级对象受到破坏后对国家安全、社会秩序、经济运行、公共利益以及业务运营企业的合法权益的损害程度，对增值电信业务系统进行安全等级划分，共分为5个等级
5.1.1第1级
定级对象受到破坏后，会对其业务运营企业的合法权益造成轻微损害，但不损害国家安全、社会秩序、经济运行和公共利益。
本级由业务运营企业依据国家和通信行业有关标准进行保护。5.1.2第2级
定级对象受到破坏后，会对业务运营企业的合法权益产生严重损害，或者对社会秩序、经济运行和公共利益造成轻微损害，但不损害国家安全。本级由业务运营企业依据国家和通信行业有关标准进行保护，主管部门对其安全等级保护工作进行指导。
5.1.3第3级
5.1.3.1第3.1级
定级对象受到破坏后，会对业务运营企业的合法权益产生很严重损害，或者对社会秩序、经济运行和公共利益造成较大损害，或者对国家安全造成轻微损害。6
HiiKAoiKAca
YDB 106—2012
本级由业务运营企业依据国家和通信行业有关标准进行保护主管部门对其安全等级保护工作进行监督、检查。
5.1.3.2第3.2级
定级对象受到破坏后，会对业务运营企业的合法权益产生特别严重损害，或者对社会秩序、经济运行和公共利益造成严重损害，或者对国家安全造成较大损害。本级由业务运营企业依据国家和通信行业有关标准进行保护主管部门对其安全等级保护工作进行重点监督、检查。
5.1.4第4级
定级对象受到破坏后，会对社会秩序、经济运行和公共利益造成特别严重损害，或者对国家安全造成产重损害。
本级由业务运营企业依据国家和通信行业有关标准以及业务的特殊安全要求进行保护主管部门对其安全等级保护工作进行强制监督、检查。5.1.5第5级
定级对象受到破坏后，会对国家安全造成特别严重损害。本级由业务运营企业依据国家和通信行业有关标准以及业务的特殊安全需求进行保护主管部门对其安全等级保护工作进行专门监督、检查。5.2定级要素
确定定级对象的安全等级应根据如下三个相互独立的定级要素：社会影响力、规模和服务范围和所提供服务的重要性。
5.2.1社会影响力-1
定级对象的社会影响力表示其受到破坏后对国家安全、社会秩序、经济运行和公共利益的损害程度对此定级要素进行赋值时，应先确定对国家安全的损害程度，再确定对社会秩序、经济运行和公共利益的损害程度。定级对象的社会影响力赋值应是对国家安全、社会秩序、经济运行和公共利益的损害程度最严重者。
门户综合网站系统的服务对象范围广泛，数量众多，受到破坏后会对社会秩序、经济运行和公共利益造成较为严重的损害，建议社会影响力赋值为3。5.2.2规模和服务范围-R
新闻发布业务的定级对象的规模和服务范围R可根据如下指标确定：规模由日均访问用户数（用R1来表示）和人均页面访问量（用R2来表示）来表示。R取R1和R2中的较大值。定级对象的规模R1赋值如表4所示，R2赋值如表5所示。
表4规模R1赋值表
规模指标
日均访问用户数在1000万及以下日均访问用户数在1000万以上，1500万及以下日均访问用户数在1500万以上，3000万及以下日均访问用户数在3000万以上，5000万及以下日均访问用户数在5000万以上
YDB1062012
人均页面访问量在10次及以下
表5规模R2赋值表
规模指标
人均页面访问量在10次以上，20次及以下人均页面访问量在20次以上，50次及以下人均页面访问量在50次以上，100次及以下人均页面访问量在100次以上
5.2.3所提供服务的重要性-V
定级对象所提供服务的重要性表示其提供的服务被破坏后对业务运营企业的合法权益的影响程度此定级要素可通过定级对象所提供的服务本身的重要性来衡量，如业务的经济价值，业务重要性，对企业自身形象的影响等方面。
门户综合网站系统所提供服务的重要性一般，被破坏后会对业务运营企业的合法权益造成较大损害，建议所提供服务的重要性赋值为2。在确定某一个定级要素的赋值时无需考虑其他两个定级要素。5.3安全等级的计算方法
在完成定级对象的社会影响力I、规模和服务范围R、所提供服务重要性V三个定级要素的赋值后，需采用以下公式来计算定级对象的安全等级值：k=Round1(Log2([ax2'+3x2°+x2'1})+.......
..（1)
其中，k代表安全等级值，I代表社会影响力赋值、R代表规模和服务范围赋值、V代表所提供服务的重要性赋值，Round1表示四舍五入处理，保留1位小数，Logz[]表示取以2为底的对数，a、B、分别表示定级对象的社会影响力、规模和服务范围、所提供服务的重要性赋值所占的权重，a=0，B=0，=0且a+B+=1。应根据实际情况确定权重值a、B、？，建议分别取：0.4、0.4、0.2，或者1/3、1/3、1/3。计算所得定级对象的安全等级值与安全等级的映射关系如表6所示。表6安全等级值与安全等级的映射关系安全等级值k
1≤k<1.5
1.5≤k<2.5
2.5≤k<3.3
3.3≤k≤4
6安全防护要求
6.1第1级要求
6.1.1业务及应用安全
不作要求。
6.1.2网络安全
安全等级
第1级
第2级
第3.1级
第3.2级
第4级
第5级
不作要求。
6.1.3设备及软件系统安全
不作要求。
6.1.4物理安全
不作要求。
6.1.5管理安全
不作要求。
6.2第2级要求
6.2.1业务及应用安全
6.2.1.1业务逻辑安全
6.2.1.1.1身份鉴别
YDB 106—2012
提供用户登录功能的系统应使用专门的登录控制模块对登录用户进行身份标识和鉴别。应提供并启用用户鉴别信息复杂度检查功能，保证身份鉴别信息不易被冒用。应采用加密方式存储业务用户的帐号和口令信息。6.2.1.1.2访问控制
严格限制各用户的访问权限，按安全策略要求控制用户对业务、数据、网络资源等的访问。严格设置登录策略，按安全策略要求具备防范账户暴力破解攻击措施的能力。如限定用户连续错误输入密码次数，超过设定阈值，对用户进行锁定，并设定锁定时间，在锁定时间内被锁定的用户需通过注册时的标志信息进行密码重新设定或者凭有效证件进行设定。6.2.1.1.3安全审计
审计范围应覆盖到每个用户的关键操作、重要行为、业务资源使用情况等重要事件。如普通用户异常登录、发布恶意代码、异常修改帐号信息等行为，以及管理员在业务功能及帐号控制方面的关键操作。应保护审计记录，保证无法删除、修改或覆盖等。业务相关审计记录应包括事件日期、时间、发起者信息、类型、描述和结果等。应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。6.2.1.1.4资源控制
当用户和业务系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话。6.2.1.1.5信息保护
在获得用户数据信息时，应征得用户同意，并采取传输加密等措施保障相应数据的传输安全，防止传输过程中泄漏。
业务系统应采取充分的安全保障措施保障用户数据信息的存储安全，并保障存储系统的安全，防止存储过程中泄漏。
应妥善保存存储有用户信息数据的纸质资料、电子介质等。9
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。