YD/T 2243-2016.Security protection requirements for information service system of telecom network and internet.
1范围
YD/T 2243规定了电信网和互联网信息服务业务系统分安全保护等级的安全防护要求,涉及到业务及应用安全、网络安全、设备及软件系统安全、物理安全和管理安全。
YD/T 2243适用于电信网和互联网信息服务业务系统。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
YD/T 1754-2008电信网和互联网物理环境安全等级保护要求
YD/T 1756-2008电信网和互联网管理安全等级保护要求
YD/T 2052-2009域名系统安全防护要求
YD/T 2584-2013互联网数据中心安全防护要求
YD/T 2589-2013内容分发网(CDN)安全防护要求
YD/T 2698-2014电信网和互联网安全防护基线配置要求及检测要求网络设备
YD/T 2699-2014电信网和互联网安全防护基线配置要求及检测要求安全设备
YD/T 2700-2014电信网和互联网安全防护基线配置要求及检测要求数据库
YD/T 2701-2014电信网和互联网安全防护基线配置要求及检测要求操作系统
YD/T 2702-2014电信网和互联网安全防护基线配置要求及检测要求中间件
3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。

Ptsn 标网
·→十人民共和国通信行业标准YD/T2243-2016
代替YD/T2243-2011
电信网和互联网信息服务业务系统安全防护要求
Securityprotectionrequirementsforinformationservicesystemoftelecomnetworkandinternet2016-07-11发布
2016-10-01实施
中华人民共和国工业和信息化部发布M
2规范性引用文件
3术语、定义和缩略语·
3.1术语和定义·
3.2缩略语
4、信息服务业务系统安全防护概述：4.1信息服务业务系统安全防护范围4.2信息服务业务系统安全风险分析4.3信息服务业务系统安全防护内容5信息服务业务系统安全防护要求5.1第1级要求，
5.2第2级要求
5.3第3级要求
5.4第4级要求·
5.5第5级要求·
附录A（规范性附录）信息服务业务系统风险分析次
附录B（规范性附录）门户综合网站业务系统特定安全防护要求附录C（规范性附录）即时通信业务系统特定安全防护要求附录D（规范性附录）搜索系统特定安全防护要求，附录E（规范性附录）信息社区服务系统的特定安全防护要求·参考文献
YD/T2243-2016
言网和互联网安全防护体系”系列标准之一。该系列标准的结构及名称预计如下：1.YD/T1728《电信网和互联网安全防护管理指南》：2.YD/T1729-2008《电信网和互联网安全等级保护实施指南》3.YD/T1730-2008《电信网和互联网安全风险评估实施指南》4.YD/T1731-2008《电信网和互联网灾难备份及恢复实施指南》5.YD/T1732-2008《固定通信网安全防护要求》6.YD/T1733-2008《固定通信网安全防护检测要求》7.YD/T1734-2009《移动通信网安全防护要求》8.YD/T1735-2009《移动通信网安全防护检测要求》9.YD/T1736-2009《互联网安全防护要求》10.YD/T1737-2009《互联网安全防护检测要求》11.YD/T1738-2008《增值业务网—消息网安全防护要求》12.YD/T1739-2008《增值业务网消息网安全防护检测要求》13.YD/T1740-2008《增值业务网智能网安全防护要求》14.YD/T1741-2008《增值业务网一智能网安全防护检测要求》15.YD/T1742-2008《接入网安全防护要求》16.YD/T1743-2008《接入网安全防护检测要求》17.YD/T1744-2009《传送网安全防护要求》18.YD/T1745-2009《传送网安全防护检测要求》19.YD/T1746-2014《IP承载网安全防护要求》20.YD/T1747-2014《IP承载网安全防护检测要求》21.YD/T1748-2008《信令网安全防护要求》22.YD/T1749-2008《信令网安全防护检测要求》23.YD/T1750-2008《同步网安全防护要求》24.YD/T1751-2008《同步网安全防护检测要求》25.YD/T1752-2008《支撑网安全防护要求》26.YD/T1753-2008《支撑网安全防护检测要求》27YD/T1758-2008《非核心生产单元安全防护要求28.YD/T1759-2008《非核心生产单元安全防护检测要求》29.YD/T1754-2008《电信网和互联网物理环境安全等级保护要求》30.YD/T1755-2008《电信网和互联网物理环境安全等级保护检测要求》31.YD/T1756-2008《电信网和互联网管理安全等级保护要求》32.YD/T1757-2008《电信网和互联网管理安全等级保护检测要求》I
YKAONhIKAca
-2015《域名系统安全防护要求》2009《域名系统安全防护检测要求》-2015《网上营业厅安全防护要求》-2010《网上营业厅安全防护检测要求》-2011《WAP网关系统安全防护要求》38.YD/T2242-2011《WAP网关系统安全防护检测要求》39.YD/T2243-2011《电信网和互联网信息服务业务系统安全防护要求》（本标准）40.YD/T2244-2011《电信网和互联网信息服务业务系统安全防护检测要求》41.YD/T2239-2011《增值业务网一即时消息业务系统安全防护要求》42.YD/T2240-2011《增值业务网一即时消息业务系统安全防护检测要求》43.YD/T2245-2011《域名注册系统安全防护要求》44.YD/T2246-2011《域名注册系统安全防护检测要求》45.YD/T2587-2013《移动互联网应用商店安全防护要求》46.YD/T2588-2013《移动互联网应用商店安全防护检测要求》47.YD/T2589-2013《互联网内容分发网络安全防护要求》48.YDB115-2012《互联网内容分发网络安全防护检测要求》49.YD/T2584-2013《互联网数据中心安全防护要求》50.YD/T2590-2013《互联网数据中心安全防护检测要求》51.YD/T2694-2014《移动互联网联网应用安全防护要求52.YD/T2695-2014《移动互联网联网应用安全防护检测要求》53.YD/T2696-2014《公众无线局域网安全防护要求》54.YD/T2697-2014《公众无线局域网安全防护检测要求》YD/T2243-2016
55.YD/T2698-2014《电信网和互联网安全防护基线配置要求及检测要求网络设备》56.YD/T2699-2014《电信网和互联网安全防护基线配置要求及检测要求安全设备》57.YD/T2701-2014《电信网和互联网安全防护基线配置要求及检测要求操作系统》58.YD/T2700-2014《电信网和互联网安全防护基线配置要求及检测要求数据库》59.YD/T2702-2014《电信网和互联网安全防护基线配置要求及检测要求中间件》60.YD/T2703-2014《电信网和互联网安全防护基线配置要求及检测要求WEB应用系统》61.YD/T2692-2014《电信和互联网用户个人电子信息保护通用技术要求和管理要求》62.YD/T2693-2014《电信和互联网用户个人电子信息保护检测要求》63.《互联网接入服务安全防护要求》64.《互联网接入服务安全防护检测要求》《网络交易安全防护要求》
《网络交易安全防护检测要求》66.
《邮件系统安全防护要求》
68.《邮件系统安全防护检测要求》69.
《公有云服务安全防护要求》
YKAONhIKAca免费标准bzxz.net
务安全防护检测要求》
王联网的发展，将不断补充和完善电信网和互联网安全防护体系的相关标准。/T1.1-2009给出的规则起草。
/T2243-2011《电信网和互联网信息服务业务系统安全防护要求》。本标准与YD/T编辑性修改外主要技术变化如下：a）修改了标准涉及范围（见第1章，2011年版的第1章）；b）更新了规范性引用文件（见第2章，2011年版的第2章）；c）更新了术语、定义和缩略语（见第3章，2011年版的第3章）；d）完善了信息服务业务系统安全防护范围、安全风险分析和安全防护内容（见第4章）：e）删除了“信息服务业务系统定级对象和安全等级确定”（2011年版的第5章）：f）原第6章相关内容转移至附录A；g）原第7章、原第8章合并为第5章，并进行了修订完善；h）新增了附录B、附录C、附录D、附录E。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国信息通信研究院、国家计算机网络应急技术处理协调中心、北京搜狐互联网信息服务有限公司、北京新浪互联信息服务有限公司、百度在线网络技术（北京）有限公司。本标准主要起草人：封莎、王昕、林星辰、吴婧、许章毅、高磊、刘亮。本标准于2011年5月首次发布，本次为第一次修订。IV
YKAONIKAca
1范围
YD/T2243-2016
信网和互联网信息服务业务系统安全防护要求本标准规定了电信网和互联网信息服务业务系统分安全保护等级的安全防护要求，涉及到业务及应用安全、网络安全、设备及软件系统安全、物理安全和管理安全。本标准适用于电信网和互联网信息服务业务系统。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。YD/T1754-2008电信网和互联网物理环境安全等级保护要求YD/T1756-2008电信网和互联网管理安全等级保护要求YD/T2052-2009域名系统安全防护要求YD/T2584-2013互联网数据中心安全防护要求YD/T2589-2013内容分发网（CDN）安全防护要求YD/T2698-2014电信网和互联网安全防护基线配置要求及检测要求网络设备YD/T2699-2014电信网和互联网安全防护基线配置要求及检测要求安全设备YD/T2700-2014电信网和互联网安全防护基线配置要求及检测要求数据库YD/T2701-2014电信网和互联网安全防护基线配置要求及检测要求操作系统YD/T2702-2014电信网和互联网安全防护基线配置要求及检测要求中间件3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。3.1.1
信息服务业务系统安全风险SecurityRiskofInformationServiceSystem人为或自然的威胁可能利用信息服务业务系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
信息服务业务系统安全风险评估SecurityRiskAssessmentofInformationServiceSystem运用科学的方法和手段，系统地分析信息服务业务系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解信息服务业务系统的安全风险，将风险控制在可接受的水平，为最大限度地保障信息服务业务系统的安全提供科学依据。
信息服务业务系统资产AssetofInformationServiceSystem1
YKAONhIKAca
统中具有价值的资源，是安全防护体系保护的对象。信息服务业务系统中的资产可无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、人员、管理等各种类型的资源，如局域网中的路由器。信息服务业务系统资产价值AssetvalueofInformationServiceSystem信息服务业务系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。
信息服务业务系统灾难DisasterofInformationServiceSystem由于各种原因，造成信息服务业务系统故障或瘫痪，使信息服务业务系统支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件3.1.6
信息服务业务系统灾难恢复DisasterRecoveryofInformationServiceSystem为了将信息服务业务系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.2缩略语
下列缩略语适用于本文件。
Central Processing Unit
DistributedDenial of ServiceDenial of Service
Internet Protocol
Media Access Control
Secure Sockets Layer
Transport Layer Security
4信息服务业务系统安全防护概述4.1信息服务业务系统安全防护范围中央处理器
分布式拒绝服务
拒绝服务
网际协议
物理地址
安全套接层
安全传输层协议
信息服务业务是指通过信息采集、开发、处理和信息平台的建设，通过公众通信网络直接向终端用户提供语音信息服务（声讯服务）或在线信息和数据检索等信息服务的业务。信息服务的类型按照信息组织、传递等技术服务方式，主要包括但不限于信息发布平台和递送服务、信息搜索查询服务、信息社区服务、信息即时交互服务、信息保护和处理服务等。信息服务业务系统指向公众提供信息服务业务的系统或平台。
本标准主要对信息服务业务系统提出安全防护要求，如图1所示。为信息服务业务系统提供域名解析服务的系统的安全防护要求见YD/T2052-2009。与互联网相关的互联网数据中心见YD/T2584-2013，互联网内容分发网络见YD/T2589-2013，2
YKAONTKAca
互联网域名
服务系统
互联网数据中心
互联网内容
分发网络
应用服务器
管理服务器
数据库服务器
信息服务业务系统
图1信息服务业务系统示意图
4.2信息服务业务系统安全风险分析信息服务业务系统的重要资产至少应包括：信息服务业务系统相关设备及操作维护终端硬件及相关软件：YD/T2243-2016
信息服务业务系统关键数据，如业务数据、系统配置数据、操作维护记录、用户信息等。信息服务业务系统其他资产见附录A表A.1对资产的分类及举例。信息服务业务系统的脆弱性可以从技术脆弱性和管理脆弱性两个方面考虑。脆弱性识别对象应以资产为核心。信息服务业务系统的脆弱性分析应包括但不限于附录A表A.2所列范围。信息服务业务系统的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。信息服务业务系统的威胁分析应包括但不限于附录A表A.3所列范围。信息服务业务系统可能存在的安全脆弱性被利用后会产生很大的安全风险，主要包含以下几个方面：
信息服务业务系统相关设备及操作维护终端硬件及相关软件：信息服务业务系统相关设备及操作维护终端硬件及相关软件可能面临的安全风险主要包括：一是遭受DDOS攻击，导致系统中服务器或数据库等设备运行故障或机；二是系统被入侵，导致大量重要业务数据、系统配置数据、操作维护记录、用户信息的泄露，甚至系统瘫痪等。信息服务业务系统关键数据：
信息服务业务系统关键数据可能面临的安全风险主要包括：系统升级或联网交互时感染包含病毒、木马、恶意链接等恶意代码，导致重要业务数据、系统配置数据、操作维护记录、用户信息被篡改或泄露，系统无法提供稳定的服务。4.3信息服务业务系统安全防护内容信息服务业务系统主要为终端用户提供各类型的信息服务业务，因此保障业务的安全稳定运行和用户信息的安全可靠至关重要。保障信息服务业务系统基础设施的物理安全、管理安全等也是安全防护的主要内容。信息服务业务系统的安全防护内容具体包括：a）业务及应用安全：业务及应用安全包括向用户提供的相关业务及应用在实现技术、逻辑、管理和控制等方面的安全要求，主要包括通用要求和特定业务相关要求。1
KAONKAca
网络安全主要包括信息服务业务系统内部网络结构安全、入侵防范和安全审计方面系统安全：设备及软件系统安全主要包括网络及安全设备、操作系统、数据库、中问控制、安全审计、入侵防范、资源控制等方面的安全防护要求d）物理安全：物理安全主要包括系统所处的物理环境在机房位置、电力供应、防火、防水、防静电、温湿度控制等方面的安全防护要求。e）管理安全：管理安全主要包括管理制度、人员和技术支持能力、运行维护管理能力、灾难恢复预案等方面的安全防护要求。
5信息服务业务系统安全防护要求5.1第1级要求
5.1.1业务及应用安全
5.1.1.1业务逻辑安全
5.1.1.1.1身份鉴别
身份鉴别应符合以下要求：
a）对保留用户个人信息或用户服务信息的业务，应对登录用户进行身份标识和鉴别；b）应采用加密方式存储业务用户的密码信息：c）应提供并启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施：d）应提供并启用用户身份标识唯一检查功能，保证系统中不存在重复用户身份标识。在重要的功能操作中，再次验证用户的唯一标识，以规避越权漏洞。5.1.1.1.2访问控制
应由授权主体配置访问控制策略，并严格限制默认用户的访问权限。5.1.2网络安全
应绘制与当前运行情况相符的系统拓扑结构图。5.1.3设备及软件系统安全
5.1.1.2网络及安全设备
应满足YD/T2698-2014和YD/T2699-2014的相关要求。5.1.1.3操作系统
应满足YD/T2701-2014的相关要求。5.1.1.4数据库
应满足YD/T2700-2014的相关要求。5.1.1.5中间件
应满足YD/T2702-2014的相关要求。5.1.4物理安全
应满足YD/T1754-2008中第1级的相关要求。5.1.5管理安全
应满足YD/T1756-2008中第1级的相关要求。5.2第2级要求
YKAONhIKAca
用安全
的要求之外，还应满足
a）应提供并启用用户鉴别信息复杂度检查功能，保证身份鉴别信息不易被冒用YD/T2243-2016
b）应严格设置登录策略，按安全策略要求具备防范账户暴力破解攻击措施的能力。如限定用户连续错误输入密码次数，超过设定阅值，对用户进行锁定，并设定锁定时间，在锁定时间内被锁定的用户需通过注册时的约定信息进行密码重新设定5.2.1.1.2访问控制
除满足第1级的要求之外，还应严格限制各用户的访问权限，按安全策略要求控制用户对业务、数据、网络资源等的访问。
5.2.1.1.3安全审计
安全审计应符合以下要求：
a）审计范围应覆盖到每个用户的关键操作、重要行为、业务资源使用情况等重要事件。如普通用户异常登录、发布恶意代码、异常修改帐号信息等行为，以及管理员在业务功能及帐号控制方面的关键操作；
b）应保护审计记录，保证无法删除、修改或覆盖等；c）业务相关审计记录应包括事件日期、时间、发起者信息、类型、描述和结果等；d）应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能，5.2.1.1.4资源控制
当用户和业务系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话。5.2.1.1.5灾难备份
灾难备份应符合以下要求
a）应建立相关业务及应用系统的灾难恢复预案，并定期进行教育、培训和演练；b）应建立对业务及应用关键数据（如重要业务数据、系统配置数据、操作维护记录、用户信息等）进行备份和恢复的管理和控制机制，并有必要的容灾备份。c）相关数据备份范围和时间间隔、数据恢复能力应满足行业管理、业务运营企业应急预案相关要求。
5.2.1.2Web安全
5.2.1.2.1输入验证
输入验证应符合以下要求：
a）应对所有来源的输入进行验证，按默认所有输入都可能包含恶意信息的原则进行安全检测，只要其来源不在可信任的范围之内，就应对输入来源进行验证；b）用户身份标识和验证应在服务器端进行处理，避免在客户端进行的验证被绕过；c）应对输入内容进行规范化处理后再进行验证，如文件路径、URL地址等；d）应防止关键参数被篡改，关键参数应直接从服务器端读取，避免从客户端输入。5.2.1.2.2身份认证
身份认证应符合以下要求：
传输用户密码，可采用SSL加密隧道确保用户密码的传输安全：据库或文件系统中明文存储用户密码，可采用单向散列值在数据库中存储用户密1密码被字典攻击的风险；
)OKIE中保存用户密码：
d）当用户登录失败超过一定次数时，应采用图形验证码来增强身份认证安全，防止恶意脚本自动发送身份认证请求来猜测用户认证鉴权性质的信息，且图形验证码应能够抵抗工具的自动识别；e）应对关键业务操作进行二次鉴权，例如修改用户认证鉴权信息（如密码、密码取回问题及答案、绑定手机号码等）；
f）应避免认证错误提示泄露信息，在认证失败时，应向用户提供通用的错误提示信息，不应区分是帐号错误还是密码错误，避免这些错误提示信息被攻击者利用：g）应支持密码策略设置，从业务系统层面支持强制的密码策略，包括密码长度、复杂度等，特别是业务系统的管理员密码；
h）应支持帐号锁定功能，系统应限制连续登录失败次数，在客户端多次尝试失败后，服务器端需要对用户帐号进行短时锁定，且锁定策略支持配置解锁时长。5.2.1.2.3访问控制
访问控制应符合以下要求：
a）应确保用户不能访问到未授权的功能和数据，未经授权的用户试图访问受限资源时，系统应予以拒绝或提示用户进行身份鉴权；b）应在服务器端实现对系统内受限资源的访问控制，避免客户端访问控制被绕过：c）应采用统一的访问控制机制，保证整体访问控制策略的一致性。同时应确保访问控制策略不被非法修改。
5.2.1.2.4会话管理
会话管理应符合以下要求
a）应确保会话的安全创建，在用户认证成功后，应为用户创建新的会话并释放原有会话，创建的会话标识应满足随机性和长度要求，避免被攻击者猜测。b）应确保会话数据的存储安全，用户登录成功后所生成的会话数据应存储在服务器端，并确保会话数据不能被非法访问，当更新会话数据时，要对数据进行严格的输入验证，以免会话数据的非法篡改。c）应确保会话数据的传输安全，防止泄露会话标识。d）应确保会话的安全终止，当用户登录成功并成功创建会话后，应在Web应用系统的各个页面提供用户登出功能，登出时应及时删除服务器端的会话数据。当处于登录状态的用户直接关闭浏览器时：需要提示用户执行安全登出或者自动为用户完成登出过程，从而安全的终止本次会话。e）应设置合理的会话超时值，在合理范围内尽可能减小会话超时阈值，降低会话被劫持和重复攻击的风险，超过会话超时阈值后立刻销毁会话，清除会话的信息。f）应限制系统会话并发连接数和同一用户的会话并发连接数，避免恶意用户创建多个并发的会话来消耗系统资源，影响业务可用性。5.2.1.2.5数据存储
数据存储应符合以下要求：
a）对于不同安全级别的数据，比如日志记录和业务数据，应采取相应的隔离措施和安全保护措施。6
YD/T2243-2016
三代码中直接嵌入密码，会导致密码修改困难，甚至密码的泄露，可从配置文件载入密专输
言息通信信道的安全，可在客户端与Web服务器之间使用SSL，使用SSL3.0/TLS1.0以上版本，对称加密密钥长度不少于128位，非对称加密密钥长度不少于1024位，单向散列值位数不小于128位。
5.2.1.2.7日志记录
日志记录应符合以下要求：
a）：日志记录范围应覆盖到每个用户的关键操作、重要行为、业务资源使用情况等重要事件。如普通用户异常登录、发布恶意代码、异常修改帐号信息等行为，以及管理员在业务功能及帐号控制方面的关键操作。
b）应禁止在日志中记录用户密码，验证授权标识等敏感信息。c）应防止日志欺骗，如果在生成日志时需要引入来自非受信源的数据，则需要进行严格校验，防止日志欺骗攻击。
d）应禁正将日志保存到Web目录下，确保日志数据的安全存储并严格限制日志数据的访问权限：可对日志记录进行签名来实现防篡改，5.2.1.3特定业务相关要求
门户综合网站业务系统、即时通信业务系统、搜索系统、信息社区服务系统的特定安全防护要求见附录B、附录C、附录D、附录E。5.2.2网络安全
5.2.2.1结构安全
除满足第1级的要求之外，还应满足：a）应根据应用和服务的特点，在满足高峰期流量需求的基础上，合理设计带宽。b）应根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，设备依照功能及其重要性等因素分区部署c）网络节点、链路应有足够穴余，应能对主要网络设备进行状态监控d）应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段。
e）不考虑主动岩机维护的情况，系统年岩机时间不超过8.76小时，可靠性应达到99.9%以上。5.2.2.2入侵防范
除满足第1级的要求之外，还应满足：a）应在系统边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、DoS/DDoS攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。b）应在系统边界处部署防火墙等安全防御设备或技术措施，有效抵御和防范各种攻击。5.2.2.3安全监测
除满足第1级的要求之外，还应满足：a）应对系统边界流量进行DDoS攻击监测，发现攻击行为在60s之内提供告警，并进行相应处置。7
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。