YD/T 1737-2008.Security Protection Test Requirements for Internet.
1范围
YD/T 1737规定了互联网业务及应用系统在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护检测要求。
YD/T 1737适用于互联网业务及应用系统。
2规范性引用 文件
下列文件中的条款通过本标准的引用而成为指导性技术文件的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8-2001信息技术词汇第8部分:安全
YD/T 1736-2008互联网安全防护要求
YD/T 1743-2008接入网安全防护检测要求
YD/T 1745-2008传送网安全防护检测要求
YD/T 1747-2008 IP承载网安全防护检测要求
YD/T 1755-2008电信网和互联网物理环境安全等级保护检测要求
YD/T 1757-2008电信网和互联网管理安全等级保护检测要求
3术语和定义
GB/T 5271.8-2001确立的术语和定义，以及下列术语和定义适用于本标准。
3.1
互联网相关系统Systems of Internet
组成互联网的相关系统包括接入网、传送网、IP承载网等。其中，接入网包括各种有线、无线和卫星接入网等，传送网包括光缆、波分、SDH、卫星等。
3.2
互联网安全等级Security Classification of Internet
互联网及相关系统重要程度的表征。重要程度从互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。

中华人民共和国通信行业标准
YD/T1737-2008
互联网安全防护检测要求
Security Protection Test Requirements for Internet2008-01-14发布
2008-01-14实施
中华人民共和国信息产业部发布前
1范围-
2规范性引用文件·
3术语和定义
4缅略语：
5互联网安金防护检测概述.
5.1互联网安全防护检测范围
5.2互联网安全防扩拉测对象·
互联网安全防护检测内容…
5.4互联网安全防护检测结果判定6互联网安全等级保护检测要求.6.1概述
6.2 第 1 级要求
6.3第 2级要求
6.4第3.1级要求·
6.5第 3.2级要求-
6.6第4级要求
6.7第5级要求
互联网安全风险评估检测要求
互联网安全风险评估范围
互联网安全风险评估内容·
互联网安全风险评估要素
互联网安全风险评估赋值原则
互联网安全风险评估赋值计算方法…互联网安全风险评估文件类型
互联网安全风险评估文件记录·互联网灾难备份及恢复捡测要求8
第1级要求
第2级要求·
第3.1级要求.
第3.2级要求.
第4级要求
第5级要求…·
参考文献·
YD/T 1737-2008
YD/T 1737-2008
本标准是“电信网和与联网安全防护体系”系列标准之一。该系列标准的结构及名称如下：1．YD/T 1728-2008电信网和互联网安全防护管理指南：3电信网和互联网安全等级保护实施指南：2. YD/T 1729-2008
3.YD/T 1730-2008
，电信网和互联网安全风险评估实施指南：4. YD/T 1731-2008
3电信网和百联网灾难备份及恢复实施指南：5.YD/T1732-2008固定通信网安全防护要求：6，YD/T1733-2008国定通信网安全防护检测要求：7.YT3/T1734-2008移动通信网安全防护要求；8，YTD/T1735-2008移动通信网安全防护检测要求：9．YD/T1736-2008互联网安全防护要求10YD/T1737-2008互联网安全防护检测要求；11YTD/T1738-2008增值业务网——消息网安全防护要求：12.YDT1739-2008增值业务网——消息网安全防护检测要求：13.YD门1740-2008增值业务网——智能网安全防护要求；14.YD/T1741-2008增值业务网——智能网安全防护检测要求；15.YD/T1742-2008接入网安全防护要求；16.YD/T1743-2008接入网安全防护检测要求17.YTD/T1744-2008传送网安全防护要求；18.YD/T1745-2008传送网安全防护检测要求19.YD/T1746-2008IP承载网安全防护要求：20.YD/T1747-2008IP承载网安全防护检测要求：21．YD/T1748-2008信令网安全防护要求；22.YD/T1749-2008信令网安全防护检测要求；同步网安全防护要求：
23. YD/T [750-2008
24.YD/T1751-2008同步网安全防护检测要求：25.YD/T1752-2008支撑网安全防护要求26.YD/T 1753-2008
支撑网安全防护检测要求：
27，YD/T1754~2008电信网和互联网物理环境安全等级保护要求电信网和互联网物理环境安全等级保护检测要求；28. YD/T 1755-2008
29. YD/T 1756-2008
电信网和互联网管理安全等级保护要求：30.YD/T1757-2008电信网和互联网管理安全等级保护检测要求：31.YD/T1758-2008非核心生产单元安全防护要求：32.YD/T1759-2008非核心生产单元安全防护检测要求。本标推与YD/T1736-2008互联网安全防护要求》配套使用。YD/T 1737-2008
随着电信网和互联网的发展，将不断补充和完普电信网和互联网安全防护体系的相关标准。本标推由中国通信标化协会提出开归口。本标准起草单位：信息产业部电信研究院、中国电信集团公司、非国移动通信集团公司、中国网络通信集团公司
本标准主要起草人：杨
洋、田慧蓉、冀晖、刘、白海尼证
1范围
互联网安全防护检测要求
YD/T 1797-2008免费标准下载网bzxz
本标准规定了互联网业务及成用系统在安企等级保护、安全风险评估，灾难备份及恢复等方面的安全防护检测要求。
本标准适用于互联网业务及应用系统。2规范性引用文件
下列文件中的条款通过本标准的引用而成为指导性技术文件的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标推。然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB/T 5271.8-2001
YD/T 1736-2008
YD/T1743-2008
YD/T 1745-2008
YD/T 1747-2008
YD/T 1755-2008
YD/T 1757-2008
3术语和定义
信息技术词汇 第8部分：安全
互联网安全防护要求
接入网安全防护检测要求
传送网安全防护检测要求
LP承裁网安全防护检测要求
电信网和互联网物理环境安全等级保护检测要求电信网和互联网管理安全等级保护检测要求GBT5271.8-2001确立的术语和定义，以及下列术语和定义适用于本标准。3.1
互联网相关系统Systermnsof Internet组成互联网的相关系统包括接入网，传送网、正承载网等。其中，接入两包括客种有线，无线和卫星接入网等，传送网包括光缆、波分、SDH、卫星等。3.2
互联网安全等级Security Classification of Internet互联网及相关系统重要程度的表征。重要程度从互联网及相关系统受到破坏后，对国家安全、社会秩序、经济运行、公共利益、网络和业务运营商造成的损害来衡量。3.3
互联网安全等级保护Classified SecurityProtection of Internet对互联网及相关系统分等级实施安全保护。3.4
互联网安全检测 Sacurity Testing of Internet对互联网及相关系统的安全保护能力是否达到相应保护要求进行衡量。1
YD/T1737-2008
组织Organization
组织是由互联网及相关系统中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工，个作：二个单位是个组织，某个业务部门也可以是个组织。3.6
互联网安全风险 Security Risk of Internet人为或自然的威胁可能利用互联网及相关系统中存在的跪弱性导致安全事件的发生及其对组织造成的影响。
互联网安全凤险评估SecurityRiskAssessment of Internet指运用科学的方法和手段，系统地分析互联网及相关系统所面临的威胁及其存在的脆弱性，评估安全事件一日发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解互联网及相关系统安全风险，将风险控制在可接受的水平，为最大限度地保障互联网及相关系统的安全提供科学依据。
互联网资产 Asset of Internet互联网及相关系统中具有价值的资源，是安全防护体系保护的对象。互联网及相关系统中的资产可能以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、据、软件、文档、规程、业务、人员、管理等各种类型的资源，如IP承载网中的路由器、传送网的网络布局。3.9
互联网资产价值Asset Value of Internei互联网及相关系统中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。
互联网威胁ThreatofInternet
可能导致对互联网及相关系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的：可能是无意失误，也可能是恶意攻击。3.11
互联网瞻弱性VulnerabilityofInternet互联网及相关系统资产中存在的弱点、缺陷与不足，不直接对互联网资产造成危害，但可能被互联网威助所利用从而危及互联网资产的安全。3.12
互联网灾难 Disaster of Intermet由于各种原因，造成互联网及相关系统故障或瘫痪，使互联网及相关系统支持的业务功能停顿或服务水平不可接受、达到特定的时问的突发性事件。3.13
互联网灾难备份BackupforDisasterRecoveryofInternet2
为了互联网及相关系统灾难恢复而对相关网络要素进行备份的过程。3.14
互联网灾难恢复DisasterRecoveryofinternetYD/T 1737-2008
为了将互联网及相关系统从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.15
访谈Interview
检测人员通过与有关人员（个人/群体）进行交流、讨论等活动，获取证据以检食安全等级保护、安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.16
检查 Examination
检测人员通过对检测对象进行观察、查验和分析等活动，获取证据以检查安全等级保护、安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.17
测试 Testing
检测人员通过对检测对象按照预定的方法/工具使其产生特定行为的活动，查看、分析输出结果，获取证据以检查安全等级保护、安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。
4缩略语
下列缩略语适用于本标准。
Access Cantrol List
Comman Gateway Interface
Challenge Handshake Authentication ProtocolDenial of Service
Domain Name System
Fite Transfer Protocol
Mean Time Between Failures
Mean Time To Repair
Remote Rrocedure Call
Transfer Control Protocol
Sirnple Mail Transfer ProtocolVirtual Private Network
5互联网安全防护检测概述
5.1互联网安全防护检测范围
访问控谢列表
公共网关接口
质御握手认证协议
拒绝服务
域名系统
文件传输协议
平均故障间隔时间
平均维修时间
远程过程调用
传输控制协议
简单邮件传输协议
虚拟专用网
互联网安全防护检测范围是我国具有管辖权的互联网业务及应用系统以及互联网相关系统。根据YD/T1736-2008《互联网安全防护要求》，本标准土要对互联网业务及应用系统的安全等级保护、安全3
YD/T 1737-2008
风险评估、灾难备份及恢复等工作的实施进行检测。接入网安全防护检测的具体要求参见YD/T1743-2008接入网安全防护检测要求》，传送网安全防护检测的具体要求参见YD/T1745-2008传送网安全防护检测要求》，TP承载网安全防护检测的具体要求参见YD1747~2008《IP承载网安全防护检测要求。
互联网安全等级保护的检测范围确定以后，安全风险评估的检测范围、灾难备份及恢复的检测范围应与安全等级保护的检测范围相一致。5.2互联网安全防护检测对象
互联网业务及应用系统的安全防护检测对象是各个互联网业务及应用系统。应按照检测对象拥有省的不同，分别对其所拥有的相应检测对象进行安全防护检测。5.3互联网安全防护检测内容
与互联网安全防书要求相对应，互联网安全防护检测内窃主要包括以下3个部分：互联网安全等级保护检测
主要包括业务及应用安全检测、设备安金粒测、物理环境安全检测、管理安全检测等。互联网安全风险评估检测
生要包括安全风险评估范围检测、安全风险评估内容检测，安全风险评估要素检测、安全风险评估赋值检测、安全风险评估计算检测、安全风险评估文件类型检测、安全风险评估文件记录检测等。-互联网实难备份及恢复检测
主要包括穴余系统、余设备及亢余链路检测、备份数据检测、人员和技术支持能力检测、运行维护管理能力检测、灾难恢复预案检测等。5.4互联网安全防护检测结果判定互联网安全防护检测包括对互联网的安全等级保护、安全风险评估、灾难备份及恢复3个部分的检测，应对3个部分的检测结果分别进行判定，并根据检测结果分别出具检测报告，检测报告中应具体说明安全防护工作的优势和不足。
对每一部分中的每一个检测项，应根据具体实施情况进行等级化评价（分5级：很好、较好、般、较差、很差）。参照表1将各检测项的评价等级换算成评分，各检测项的分数经过一定的算法（例如加权平均）分别得到安全等级保护、安全风险评估、灾难备份及恢复3个部分的总分数，根据总分数可分别对互联网的安全等级保护、安全风险评估、火难备份及恢复3个部分的检测结果进行等级化评定，总分数和评定等级的关系如表2所示。在计算总分数的过程中，应充分考虑到各检测项在安全防护检测要求中所占的比重，例如表3给出了互联网业务及应用系统安全等级保扩各检测子类所占的比重。互联网安全防护检测的结果还应充分考虑到各相关系统的检测结果。表1测试项评分方法
评价结果
实施很好
实施好
实施般
实璇较差
实施很差
总分数x
4.5≤x≤5
3.5≤x<4.5
1.5≤x42.5
裹2总分数和评定等级的关系
详定等级
表3互联网业务及应用系统安全等级保护检测子类所占比重比重（%）
6互联网安全等级保护检测要求
6.1概述
业务及应用安全
设备安全
物理环境安全
管理安全
YD/T 1737-2008
本标准主要对互联网业务及应用系统提出安全防护检测要求。目前运营的互联网业务包括互联网域名服务、互联网数据中心，互联网接入服务、互联网信息服务、在线数据处理与交易处理、移动互联网信息服务等，主流的互联网信息服务包括Web浏览、电子邮件、FTP、公众信息发布等，主流的移动互联网信息服务包括信息境，电子邮件、下裁业务等。随者互联网业务及应用的发展，本标准将不断补充完普，
对互联网业务及应用安全进行检测时，可根据检测对象提供的业务及应用进行相应检测，米提供的应用不作检测要求。
6.2 第 1 级要求
不作要求。
6.3第 2 级要求
6.3.1互联网业务及应用安全检测要求6.3.1.1通用安全检测要求
6.3.1.1.1检测方式
访谈，查，测试。
6.3.1.1.2检测对象
互联网业务及应用系统的相关服务器利1用户端网络，相关服务器检测报告，相关服务器日志记录，相关服务器安全状况检查记录，现场。6.3.1.1.3检测实施
a）应访谈相关技术支持人员和管理人员，询问在保护用户隐私、不泄露用户相关信息方面是否存在相应机制，
YD/T 1737-2008
b）应检查相关服务器是哲均安装并启用了防火墙和防病毒软件，相关软件是否进行了合理配置，升检查相关服务器的病毒感染情说，确认相关服务器是否具备防病毒能力：c）在允许的情况下，可对相关服务器进行模拟攻击测试，确认相关服务器是否具有一楚的防DoS攻击，防黑客攻击及防范其他来白内部和外部各种攻击的能为：d应检查相关服务器的操作系统，防火墙、防随病毒款件、应用软件等，确认是否均已进行了适当更新：
e）应访谈相关技术支持人员利管理人员，确认对相关服务器安全状况进行定期检查的情况，捡查是否留有相关服务器安全状况检查记录：f）应测试是否可通过P地址、用户名、子网域名等方式限制对相关服务器的管理、配置和相关操作：g！应检查相关服务器操作口志是否有相应操作记录，应在现场测试相关服务器操作日志的记录情况；
）应检查相关服务器的读写权限和访问控制策略设置，检查所有用户名是否均有口令，口令是否足够复杂，口令是否经常更换，是否有不必要的开放端口；应访谈相关技术支持人员和音理人员，确认互联网在向用户提供应用时是否可保证相关系统之间传送信息的真实性和完整性，相关系统之间的认证，授权、安全协议及安全算法是否满足相应标准的要求：
j）互联网业务及应用系统的用户端网络安全具体检测要求参见YD1747-2008《P承载网安会防护检测要求》第2级要求。
6.3.1.2互联网域名服务安金检测要求6.3.1.2.1捡测方式
访谈，检查，测试。
6.3.1.2.2检测对象
DNS服务器、互联网域名注册、互联网域名交易等相关服务器，系统设计/验收文档，相关服务器安全状况检查记录、日志记录。
6.3.1.2.3检测实施
a）应访谈相关技术支持及管理人员，询问是否有相应机制和制度对要注册的域名进行审查，防止不良域名的出现。
b）应访谈相关技术支持及管理人员，询问是否有防止单要数据被篡改和破坏的相应机制。c）针对互联网域名解析服务，应访谈相关技术人员，查着系统设计验收文档,判断是否从设计上保证在排除外力困素（非本企业叫控制的因素）的情况下，DNS服务器红的可用性含99.99%：查看DNS服务器安全状况检查记录，在排除外力因素（非本企业可控制的因素）的情况下，判断DNS服务器组的可用性是否=99.99%
d）针对不同的服务：应检否相关服务器的日志记录，检查是否有相应的服务记录，例如域名解析请求的记录，并保留一定翔限，检查是否出现过相关日志数据和信息被篡改和破坏的情况，并保留了历史记录。
6.3.1.3互联网数据中心安全检测要求6.3.1.3.1检测方式
访谈，检杏，测试。
6.3.1.3.2检测对象
YD/T 1737-2008
客户托管、代维或租用的等与五联网数据中心服务相关的服务器，相关服务器H志记录。6.3.1.3.3检测实施
a）应访谈相关管理人员，询问是否有进出数据中心的管理制度，确保只有授权的人才能进入相关机房：
b）应访谈相关技术及管理人员，询问是否有硬件、软件、数据以及应用的授权访问控制机制，确保只有授权的人才能对相关服务器进行访问、管理、配置等操作：c）针对托管/代维的服务器，应访谈相关技术及管理人员，询问按照托管/代维的要求对网络带宽、电力系统、环境等进行管理的机制，非判断是否满足相关要求：d）针对代维的服务器，应访谈相关技术及管理人员，询问按照代维的要求对服务器进行维护管理所采取的机制和措施，并判断是否满足相关要求：e）根据客户的要求，如果需要对相关服务器的操作访问等进行记录，则检查相关服务器的日志记录，判断是否有客户所要求的日志记录，并保留了一定的期限，检查是否出现过相关日志数据和信息被篡改和破坏的情况，并保留了历史记录。B6.3,1.4互联网接入服务安全检测要求6.3.1.4.1检测方式
访谈，检查，测试。
6.3.1.4.2检测对象
宽带网络接入服务器或网络接入服务器，宽带网络接入服务器或网络接入服务器检测报告，互联网接入服务系统设计验收文档，宽带网络接入服务器或网络接入服务器口志记录，宽带网络接入服务器或网络接入服务器安全状况检查记录、互联网接入服务安全检查记录、安全事件处理记录，现场。6.3.1.4.3检测实施
a）应访谈相关技术人员，查看系统设计验收文档，判断是否从设计上保证在排除外力因素（非本企业可控制的因素）的情况下，互联网接入服务的可用性99.99%，查看百联网接入服务安全检查记录，判断在排除外力因素（非本企业可控制的因素）的储况下，互联网接入服务可用性是否≥99.99%。b）应查看相关安全事件处理记录，判断互联网接入服务是否具有一定的可恢复性，在业务中断后，是否能够在可接受时间范围内（业务恢复时间间隔平均≤4h，最长为8h）恢复业务。c）应检查宽带网络接入服务器或网络接入服务器的日志记录，检查是否对用户接入互联网的情况（至少包括上网用户的上网事件、用户账号，因特网地址或者域名，主叫电话号码等信息）进行了记录，检查是否保留了一定期限（至少60天），检查是否出现过相关数据和信息被改和破坏的情况，并保存了相应历史记录。
6.3.1.5互联网信息服务安全检测要求6.3.1.5.1Web浏览安全检测要求6.3.1.5,t.1检测方式
访谈，检查，测试。
6.3.1.5.t.2检测对象
YD/T1737-2008
DNS服务器，Web服务器，数据库服务器：相关服务器H志记录。6.3.1.5.1.3检测实施
a）应检查相关服务器口志记录，判渐是否出现过相关数据和面被纂改和破坏的情况，并保存了相应的历史范录
b）应测试Web服务器是舒存在物理路径泄露、CGI源代码泄露、目录遍历、执行任意命令、缓冲区溢出等常见安全稳惠：
c）应检查Web服务器是否打开了不必要的内候网络服务：d）应测试Web服务器是否在用浏览过程中在用户端自动安装恶熹软件：e）应测试Web服务器是否具有监控用户下载软件病毒据带情况的功能，测试相应的自动处理措施：f）应访谈相关技术人员，询问对外提供Web浏览服务的平台是否有相应的机制确保不向公众发布有害信息：
g）应检查相关服务器的日患记录，检查是否记录了向公众发布的信息内穿及其发布时间、互联网地地或者域名等，并保存60日，检查是否出现过相关数据和信息被篡改和破坏的情况，行保存了相应历史记录：
h）应检查Wcb服务器日志记录，捡查是否有对用户访问Web服务器等操作的记录，检查是否出现过相关数据和信息被墓改和破坏的情况，并保留了历史记录。6.3.1.5.2电子邮件安全检测要求6.3.1.5.2.1检测方式
访谈，检查，测试。
6.3.1.5.2.2检测对象
DNS服务器，电子邮件服务器，相关服务器日志记录。6.3.1.5.2.3检测实施
a）应通过模拟攻击的手段测试电子邮件服务器是否具有监控用户收发电子邮件病毒携带情况的功能，测试所采取的相应处理措施：b）应询问相关技术人员，检查是否有防范垃圾邮件的机制，判断该机制是否能有效确保正常用户邮件业务的便用
c）应检查电子邮件服务器H志记录，检查是否有对用户收发邮件等操作的记录，检查是否出现过相关数据和信息被寡改和破坏的情况，并保留了历更记录。6.3.1.5.3FTP安全检测要求
6.3.1.5.3.1检测方式
访谈，检查，测试。
6.3.1.5.3.2检测对象
DNS服务器，FTP服务器，相关服务器日志记录。6.3.1.5.3.3检测实施
a）应通过模拟攻击的于段测试FTP服务器是否有监控用户上传文件病毒携带情况的功能，测试所采取的相应处理措施：
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。