四川联通规划可研设计验收的网络与信息安全三同步范本手册综述Word格式.docx

1、其中，整体规划是指全网统一规划安全域隔离、边界控制、系统漏洞扫描、基线检查、入侵检测等公共安全系统的建设；分项规划是指移动网、数据网、传送网、接入网、增值业务平台、IT系统等网络规划时应充分遵循网络安全整体规划的安全域隔离、边界访问控制等要求，也要遵循工信部下发的网络单元安全防护技术系列规范和风险评估要求。二、工信部“三同步”考核内容网络安全防护“三同步”考核内容：新建、改建、扩建通信网络工程项目时，应在可研、设计文本中明确安全域隔离、边界访问控制等要求，明确工信部下发的所属网络单元安全防护技术规范和风险评估要求，明确所属网络单元安全验收标准，并在项目中有资金保障。信息安全“三同步：考核内容：

2、对本企业新产品立项、产品开发和业务上线（包括合作开办）的各环节实施信息安全评估，同步配套建设信息安全保障措施和技术手段。要求系统与网络发展同步配套，无覆盖不全、漏控等问题。第三部分 规划、可研、设计三同步范本一. IP网工程规划、可研、设计三同步范本1.1 设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信

3、息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业

4、和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部IP承载网安全防护要求YD/T1746-2013*工业和信息化部IP承载网安全防护检测要求YD/T1747-20131.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安

5、全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用网络与信息安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1） 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2） 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3） 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4） 生命周期原则安全域的划分还要考虑到由于需求、环

6、境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段

7、和安全策略来实现对关键设备或系统的高等级防护。1.5.3 IP网安全防护技术要求1.5.3.1业务及应用安全要求1） 业务提供、控制与管理过程应保护用户隐私，不泄漏用户相关敏感信息。2） 业务控制与管理应提供并启用身份鉴别、标识唯一性检查、鉴别信息复杂度检查及登录失败处理功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用，并根据安全策略对登录失败可采取结束会话、限制非法登录次数和自动退出等措施。3） 业务控制与管理应严格限制默认账号的权限，各账号应依据最小授权原则授予为完成各自承担任务所需的权限，按安全策略要求控制对文件、数据库表等内容的访问。4） 系统访问控制策略应由授权主体配置

8、。5） 业务控制与管理应提供覆盖到每个账号的安全审计功能，应保证无法删除、修改或覆盖审计记录。6） 业务相关审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。7） 对业务管理和控制应符合国家、企业的相关规定及要求。8） 应能根据需要对业务及应用相关通信过程中的全部报文或整个会话过程提供必要的保护（如进行通信数据加密） ，并提供业务及应用相关访问、通信等数据的防抵赖功能。9） 应能够对业务及应用服务水平进行检测，具有当服务水平降低到预先规定的阀值时进行告警的功能。1.5.3.2业务及应用系统安全要求1） 应绘制与当前运行情况相符的系统拓扑结构图。2） 应根据应用和服务的特点

9、，在满足高峰期流量需求的基础上，合理设计带宽。3） 应根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，设备依照功能划分及其重要性等因素分区部署。4） 应在系统边界部署访问控制设备，启用访问控制功能，应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力。5） 应对系统管理用户进行有效的身份标识和鉴别，并确保用户标识（用户名）具有唯一性和不易被冒用的特点，相关用户口令长度应不小于8字节，口令应有复杂度要求（使用大写字母、小写字母、数字、标点及特殊字符4种字符中至少3种的组合，且与用户名或ID无相关性）并定期更换（更新周期不大于90天）。6） 应按系统管理用户和系统之间

10、的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。7） 应对系统中的重要设备运行状况、网络流量监测信息、系统管理及维护等进行日志记录，并且保留一定期限（至少180天）。8） 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。9） 应在系统边界处对发生的端口扫描、强力攻击、木马后门攻击、DoS/DDoS攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等攻击和入侵事件提供有效的抵御和防范能力。10） 互联网数据中心业务内部网络应能提供有效的安全防护技术手段（如防火墙、入侵检测、漏洞扫描）。11） 系统年宕机时间不超过8.76h. 可靠性

11、应达到99.9% 以上。1.5.3.3设备安全要求1） 应对构建相关业务及应用系统内部网络结构的数据网络设备，如各类路由器、交换机等，进行必要的安全检测。2） 业务及应用系统相关设备的安全应满足相应设备技术规范、设备安全要求等行业标准的有关规定（如，宽带网络接入服务器安全要求见YD/T 1658-2007 、网络接入服务器设备安全要求见YD/T 1045-2000 、WAP网关设备安全要求见YD/T 1392-2005）。3） 应对登录设备的用户进行有效的身份标识和鉴别，确保用户名具有唯一性，应为不同用户分配不同的权限，相关用户口令长度应不小于8字节，口令应有一定的复杂度，井定期更换。4） 业

12、务及应用系统相关设备应符合设备入网管理相关要求的规定，应符合网络和业务运营商相关设备的要求。1.5.3.4物理环境安全要求1） 应满足YD/T 1754-2008中第2级要求。2） 互联网相关业务及应用系统所处机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于750kg/m2。3） 互联网相关业务及应用系统所处机房机架/机拒应以交替模式排列布局。4） 互联网相关业务及应用系统所处机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。1.5.3.5互联网灾难备份及恢复要求1） 根据YD/T 1731 -2008第5.1节要求，灾难备份及恢复定级应与安全等级保护确定的安全等级一致。2） 业务及应

13、用系统相关设备的处理能力应具备一定的冗余，应满足业务高峰期需要。3） 关键设备的重要部件应采用冗余的方式提供保护。4） 应建立对业务及应用关键数据和重要信息进行备份和恢复的管理和控制机制。5） 相关业务及应用的关键数据（如业务数据、计费数据、系统配置数据、管理员操作维护记录、用户信息等应有必要的容灾备份。6） 相关业务及应用的数据备份范围和时间间隔、数据恢复能力应满足行业管理、网络和业务运营商应急预案相关要求。7） 重要设备、线路应采用热备份的保护方式进行保护。8） 系统应有必要的流量负荷分担设计。9） 系统应具备较好的灾难各份和业务恢复的能力，提供重要服务的业务及应用系统应进行系统级备份，以

14、保证其业务连续性。10） 应建立对业务及应用全部数据、信息进行备份和恢复的管理和控制机制。11） 系统重要的业务及应用相关数据应进行异址备份。12） 系统应提供数据自动保护功能，当发生故障后应保证系统能够恢复到故障前的业务状态。1.5.4 IP网日志留存要求1）上网日志留存内容 应当记录上网用户的上网时间、用户帐号、主叫电话号码等信息。2）日志留存时间应记录用户业务相关日志（如用户接入时间和时长、用户账号、主叫号码等） ,并且保留一定期限至少60天）1.6预算*同步新增防火墙的预算*新增设备同步纳入防火墙管理的施工预算*新增设备同步纳入网管监控的施工预算*新增设备流量监控的预算*IP网安全的其

15、它预算二. 固定通信网工程规划、可研、设计三同步范本（固定通信业务包括：固定通信网本地电话业务、固定通信网国内长途电话业务、固定通信网国际长途电话业务、消息类业务、多媒体业务等。）*工业和信息化部固定通信网安全防护要求YD/T1732-2008*工业和信息化部固定通信网安全防护检测要求YD/T1733-2008请在常规设计技术要求之后增加通用网络与安全防护技术要求：1.5.3固定通信网安全防护技术要求1.5.3.1业务安全（1）业务提供安全a） 交换网应具有足够的业务处理能力，应能够满足业务提供的需要，不应因为过负荷或者突发业务量而影响网络安全；b） 交换网应采取一定的安全措施，即使在网络拥塞

16、时也能对特定的通信（如维护操作呼叫）予以优先保证；c） 交换网的业务提供不应因后台计费系统的毁坏而中断；d） 交换设备应具有高可靠性和高稳定性，所提供的业务应尽可能不因系统引入其他新业务、系统补丁加载而中断。 （2）业务数据安全a） 交换网应对重要数据（系统配置数据、用户数据、计费数据等）进行备份，需要时能够对数据进行恢复；b） 交换网应对用于操作维护的系统密码等重要数据在数据库中应进行加密处理、而不是明文显示，并对访问权限进行限制；c） 详细计费话单应在交换网中的存储时间和存储方式应满足相关要求，例如存储时间应不少于24小时，未被采集前应不被删除；d） 重要数据（如计费数据）所占存储空间达到

17、阈值时，系统应能产生相应的告警信息；e） 交换网应能够保证对业务进行本地和远程操作维护的安全性，对操作维护人员帐户权限分级管理，及时删除临时帐户权限，对操作维护人员身份进行认证，记录操作维护人员对业务所进行的任何操作，操作维护信息保存时间应符合相关要求，需要时应能够对操作维护信息进行查询。1.5.3.2网络安全（1）PSTN网络安全a） PSTN端局到同一长途局应具备双路由；b） 网络设备关键部件必应采用主备热备份的结构；c） PSTN中的设备应该是网络和业务运营商可控和可管理的，应确保合法且通过认证的设备（网元和管理终端）才能够进入PSTN网络；d） PSTN中当交换机与操作维护接口未采用专

18、线方式、而是采用TCP/IP传输时，应提供必要的安全机制，如对传输的数据采用IPSec等安全技术进行进一步的安全处理；e） PSTN汇接局应采用双局设置，端局到汇接局应具备双归属能力；f） PSTN长途交换局应采用双局配置，并且应放在不同的机房中。（2）软交换网络安全a） 软交换网络的网络配置（如节点和链路的数量、位置或负荷分担分配比例等）应合理，不应因网络配置不合理而导致网络全部或者局部瘫痪；b） 软交换网与互联网间的边界关口应具有一定的安全防护能力（例如防火墙配置，常用端口屏蔽）；c） 软交换网络应对传送的管理信息进行保护，防止信息被非法或恶意地窃听、篡改；d） 软交换网络应保证会话建立过

19、程中的信令流的通信安全；e） 软交换网络应保证媒体流传输过程中的保密性、完整性；f） 软交换网络中的设备应是运营商可控和可管理的，应确保合法且通过认证的设备（网元和管理终端）才能够进入软交换网络；g） 网络或设备发生故障或故障消失时应能及时产生告警信息并发送至网元管理系统；h） 软交换网络中的软交换设备应采用多节点工作的方式，一个节点的损害不影响业务提供，并且应能够对拥塞进行话务控制；i） 软交换网络的关键设备应进行冗余备份设计，主处理板、电源和通讯板等设备的主要部件均应支持热冗余备份；j） 针对软交换网络传输的媒体流保护措施应考虑电信监管需求和对媒体流服务质量的影响；k） 软交换网络应采取安

20、全对策（如防病毒软件、系统加固、网络隔离、防火墙、访问控制等）有效地防止非法用户利用各种手段对网络发起攻击而导致网络及设备无法正常工作或瘫痪；l） 软交换网络应部署基于主机和基于网络的入侵检测系统，并应及时处理入侵检测系统的报警；m） 应对软交换网络中关键的主机系统和网络定期进行安全检查（例如使用安全扫描软件），以检查出网络弱点和策略配置上的问题。1.5.3.3设备安全PSTN网络主要包括交换机设备，软交换网络由软交换设备、媒体网关、信令网关、媒体服务器、应用服务器、软交换业务接入控制设备、接入网关等设备组成；设备安全应满足设备技术规范、设备入网管理相关要求。1.5.4固定通信网灾难备份及恢复

21、要求固定通信网中交换网的灾难恢复应根据灾难的情况，首先保证应急通信、重要通信，然后恢复一般的通信。（1）冗余系统、冗余设备及冗余链路a） 单节点的灾难不应导致其他节点的业务提供发生异常；单一地区范围的灾难不应导致其他地区的业务提供发生异常；b） 网络灾难恢复时间应满足行业管理、网络和业务运营商应急预案的相关要求；c） PSTN汇接局应采用双局设置；d） PSTN长途交换局应采用双局配置、应放在不同的物理位置进行容灾。（2）冗余路由a） 路由应支持冗余方式，如PSTN端局到同一长途局应配备双路由；b） 应有流量负荷分担设计。（3）备份数据a） 关键数据（如计费数据、用户数据、网络配置数据、管理员

22、操作维护记录）应有本地数据备份；b） 关键数据的备份范围和时间间隔、采取的备份方式、数据恢复能力应符合相关要求；c） 关键数据（如计费数据、网络配置数据）应在不同的局址进行备份。1.5.4 固网日志留存要求1）日志留存内容应当记录并妥善保存用户使用电信网络的有关信息 2）日志留存时间 业务留存信息应当至少保存60日。*新增设备话务监控的预算*固定通信网安全的其它预算三. 移动通信网工程规划、可研、设计三同步范本（移动通信网含传统移动通信网及LTE核心网等。1.1设计依据*工业和信息化部移动上网日志留存规范（试行）（工信部保2010548号）*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730