中国移动IDC维护管理规定-网络安全2016.docx

中国移动IDC维护管理规定-网络安全2016.docx

《中国移动IDC维护管理规定-网络安全2016.docx》由会员分享，可在线阅读，更多相关《中国移动IDC维护管理规定-网络安全2016.docx（64页珍藏版）》请在冰点文库上搜索。

中国移动IDC维护管理规定

网络安全分级防护管理分册

（2016版）

中国移动通信有限公司网络部

二○一六年十二月

文档名称：

中国移动IDC维护管理规定-网络安全分级防护管理分册-2016版

本文档编号：

总页数：

65页

文档修订历史

修改状态

修改内容

修订人

审核人

修改日期

版本号

新建

新建文档

魏来、陈敏时

2016-11-17

V1.0

修改

分册命名及描述

王登、杨锦

芦勇

2016-11-18

V1.1

目录

前 言 5

1 总则 6

1.1 IDC定义 6

1.2 IDC网络安全防护的范围及内容 6

1.3 适用范围 6

2 规范性引用文件 6

3 术语、定义和缩略语 7

4 安全防护管理规定 7

4.1 职责分工 7

4.1.1 总部网络部职责 8

4.1.2 各省网络部职责 8

4.1.3 各省IDC维护部门的责任划分 8

4.2 IDC网络安全分级 8

4.2.1 IDC网络安全分级原则 8

4.2.2 IDC安全分级参考 10

4.3 网络安全分级防护管理工作要求 10

4.3.1 物理安全 10

4.3.2 系统安全 11

4.3.3 网络安全 12

4.4 考核通报管理要求 13

4.4.1 考核内容 13

4.4.2 考核项目 13

4.4.3 通报要求 14

5 物理安全要求 14

5.1 IDC及云机房分级 14

5.1.1 IDC安全分级定义 14

5.1.2 IDC安全分级参考 15

5.2 机房基础安全配置 15

5.2.1 视频监控基础配置 15

5.2.2 供配电安全配置 16

5.2.3 机房空调安全配置 17

5.2.4 动环监控安全配置 17

5.2.5 传输入局安全配置（双路由与局前井） 18

5.2.6 机房消防安全配置 19

5.3 机房环境安全管理 19

5.3.1 机房分区安全管理 19

5.3.2 公共生产环境管理 20

5.3.3 机房门禁安全管理 21

5.3.4 机楼抗灾安全管理 22

5.4 设备物理安全管理 23

5.4.1 设备资产管理 23

5.4.2 设备接入安全 24

5.4.3 备品备件管理制度 25

5.4.4 走线规范与安全制度 26

5.4.5 存储介质安全管理制度 26

5.5 现场人员安全管理 28

5.5.1 机房驻点人员配置 29

5.5.2 维护人员管理 29

5.5.3 施工人员管理 30

5.5.4 参观人员管理 31

5.6 现场作业安全管理 31

5.6.1 机房驻点管理工作 31

5.6.2 外来作业安全管理 32

5.6.3 封网期间作业安全 33

6 IDC网络安全技术要求 34

6.1 安全域划分原则 34

6.2 空间资源网络安全域 35

6.2.1 空间资源网络架构 35

6.2.2 互联网接入层 36

6.2.3 汇聚层 37

6.2.4 业务接入层 37

6.2.5 运营管理层 38

6.2.6 空间资源安全域划分 38

6.3 云计算资源安全域划分* 46

6.4 网络安全防护 48

6.5 SDN安全防护 48

6.5.1 SDN控制器安全需求 49

6.5.2 转发设备安全 50

7 系统安全技术要求 51

7.1 主机安全 51

7.1.1 操作系统 51

7.1.2 数据库 52

7.1.3 中间件 53

7.2 虚拟机安全* 53

7.2.1 虚拟机安全配置 53

7.2.2 虚拟机安全管理 56

附件A《移动机房安全“十不准”》 59

附录B中国移动IDC网络安全防护标准 59

64

前 言

IDC面临复杂的安全环境，为了向IDC用户提供高质量的服务，维护中国移动的企业形象和信誉，遵守国家法律法规要求，必须在规划、建设、运营各环节充分考虑IDC安全风险，采取对应的安全措施。

本规范针对IDC中存在的各种网络层面的安全问题和IDC业务特点，提出了分类提供强制性安全基础服务能力和增值性、差异化安全服务能力的IDC安全防护要求，作为中国移动IDC网络安全防护部署的依据，以保证为IDC用户提供具有高性能、高带宽、高服务质量、高安全性的主机托管及其增值业务。

本标准是中国移动IDC安全技术规范系列标准之一，该系列标准的结构、名称或预计的名称如下：

序号

标准编号

标准名称

[1]

中国移动IDC安全规范网络安全分册（V1.0）

[2]

中国移动IDC安全规范数据安全分册（V1.0）

本标准由中移技〔201X〕X号文件印发。

本标准由中国移动通信有限公司网络部提出，有限公司技术部归口。

本标准起草单位：

中国移动通信有限公司网络部，中国移动通信研究院。

本标准主要起草人：

1总则

1.1IDC定义

IDC:

互联网数据中心（InternetDataCenter）是基于Internet网络，为集中式收集、存储、处理和发送数据的设备提供运行维护的设施以及相关的服务体系。

IDC提供的主要业务包括主机托管（机位、机架、VIP机房出租）、资源出租（如虚拟主机业务、数据存储服务）、系统维护（系统配置、数据备份、故障排除服务）、管理服务（如带宽管理、流量分析、负载均衡、入侵检测、系统漏洞诊断），以及其他支撑、运行服务等。

1.2IDC网络安全防护的范围及内容

中国移动IDC网络安全防护范畴包括为用户提供各种IDC服务的IDC基础设施（包括IP网络、主机、服务器、安全设备等）、为了保证IDC正常运行所构建的IDC支撑系统（包括集中配置、集中监控、计费、灾备等）和为了保证IDC网络安全所构建的IDC网络安全防护系统。

具体防护内容包括：

Ø物理安全：

保证IDC机房基础设施、物理环境安全、设备安全，以及现场人员、现场作业的安全管理；

Ø网络安全：

根据IDC系统价值、功能、业务特性，实施分区防护及边界访问控制，确保组网安全。

同时考虑到SDN的后续引入，SDN安全也是本规范的内容之一；保证网络层所涉及的网络链路、网络设备、网络服务的安全；

Ø系统安全：

保证系统层所涉及的操作系统、系统服务的安全；

1.3适用范围

本规范作为中国移动通信集团公司、各省公司在IDC网络安全技术防护方面的总体依据，用于指导IDC网络安全建设和安全管理工作的开展，适用于所有基于IDC开展服务的部门。

2规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

序号

标准编号

标准名称

发布单位

[1]

IDC网络安全防护技术要求

中国移动通信集团公司

[2]

中国移动云计算网络安全域划分技术要求

中国移动通信集团公司

[3]

SDN数据中心组网总体技术要求

中国移动通信集团公司

[4]

中国移动通信集团公司

[5]

中国移动通信集团公司

[6]

中国移动通信集团公司

[7]

中国移动通信集团公司

3术语、定义和缩略语

下列术语、定义和缩略语适用于本标准：

词语

解释

IDC

InternetDataCenter

SLA

ServiceLevelAgreement

SLM

ServiceLevelManagement

UPS

UninterruptiblePowerSystem

IP

InternetProtocol

4安全防护管理规定

4.1职责分工

中国移动IDC网络安全管理按照“一级管理，两级维护”的维护工作模式原则，在集团网络部统一领导下，各省公司网络部负责各自管辖范围内IDC网络安全的职能管理工作，各省公司IDC维护部门负责日常各项网络安全生产工作的具体落地。

各单位按照维护生产“谁主管谁负责、谁运营谁负责”的原则，明确责任分工，落实安全主体责任。

同时建议IDC运营商与用户明确安全责任划分，并在签署IDC服务合同时，将安全服务协议作为合同附件，明确IDC运营商与用户间的安全职责界限。

（详细内容可根据各单位业务开展情况制定需明确的安全责任条款。

）

4.1.1总部网络部职责

总部网络部作为IDC职能管理工作的主管部门，其主要职责包括：

1、 制定并发布安全管理规范，并根据工作需要适时修订；

2、 检查和监督本规范的执行、落实情况。

4.1.2各省网络部职责

各省网络部作为本规范的牵头落实部门，其主要职责如下：

1、根据“谁主管谁负责、谁运营谁负责”的原则，在本省内明确进一步责任分工。

2、组织协调各相关单位，解决IDC现场安全管理的重大事项和资源需求。

3、监督落实本规范安全管理要求。

4.1.3各省IDC维护部门的责任划分

IDC现场相关部门，指所有需在IDC现场开展工作的各单位，其主要职责如下：

1、 落实本规范安全管理要求；

2、 遵守各省网络维护部门对IDC现场生产管理制定的安全管理规范，接受各省网络维护部门在IDC现场的监督管理；

3、 根据“谁主管谁负责、谁运营谁负责”的原则，落实安全生产工作。

4.2IDC网络安全分级

4.2.1IDC网络安全分级原则

网络和业务运营商应根据YD/T1729-2008《电信网和互联网安全等级保护实施指南》中确定安全等级的方法对IDC进行定级，即根据社会影响力、所提供服务的重要性、规模和服务范围的大小，同时还需要结合中国移动IDC的业务连续性、网络数据安全性以及核心设备自主化这三方面的需求，对IDC分别定级（若该定级与未来发布的行标、国标出现偏差，则采用适高性原则）。

定级方法中的权重α、β、γ可根据具体网络情况进行调节。

建议权重值α、β、γ、δ、ε分别为：

0.3、0.2、0.2、0.2、0.1.

（1）社会影响力（α）

社会影响力及业务连续性表示定级对象受到破坏或者业务中断后对国家安全、社会秩序、经济运行、公共利益的损害程度。

IDC服务对象可能是党、政、军等国家机关部委、重要金融机构、企事业单位、企业网站等。

建议服务于党、政、军的IDC赋值为4，服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC赋值为3，服务于省级政府、一般金融机构、大型网站的IDC赋值为2，服务于地市级政府及以下、企事业单位或一般网站的IDC赋值为1。

（2）规模、服务范围（β）

规模表示定级对象服务的用户数多少，服务范围表示定级对象服务的地区范围大小。

建议从IDC服务对象指标衡量IDC规模和服务范围，IDC服务对象是党、政、军等国家机关部委、重要金融机构、企事业单位、企业网站等。

建议服务于党、政、军的IDC赋值为4，服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC赋值为3，服务于省级政府、一般金融机构、大型网站的IDC赋值为2，服务于地市级政府及以下、企事业单位或一般网站的IDC赋值为1。

（3）所提供服务的重要性及及业务连续性（γ）

所提供服务的重要性及及业务连续性表示定级对象提供的服务被破坏后对网络和业务运营商的合法权益的影响程度。

建议从IDC服务对象指标衡量IDC提供服务的重要性。

建议服务于党、政、军的IDC赋值为4，服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC赋值为3，服务于省级政府、一般金融机构、大型网站的IDC赋值为2，服务于地市级政府及以下、企事业单位或一般网站的IDC赋值为1。

（4）数据安全性（δ）

数据安全指对数据本身机密性、完整性的保护，根据数据自身重要性的不同，可将数据分为多个安全级别，实现不同级别间数据的隔离。

为IDC定级时，建议服务于党、政、军的IDC赋值为4，服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC赋值为3，服务于省级政府、一般金融机构、大型网站的IDC赋值为2，服务于地市级政府及以下、企事业单位或一般网站的IDC赋值为1。

（5）核心设备自主可控（ε）

核心设备自主化表示为定级对象提供服务的核心设备（服务器、交换机、防火墙设备等）是否是国产的。

建议服务于党、政、军的IDC赋值为4，服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC赋值为3，服务于省级政府、一般金融机构、大型网站的IDC赋值为2，服务于地市级政府及以下、企事业单位或一般网站的IDC赋值为1。

4.2.2IDC安全分级参考

根据上述五个分级原则所占权重及IDC在此维度上的定级，可按照下述公式计算得出IDC最终结果：

其中x表示待定级的IDC，表示x在维度上的赋值（维度同理），y表示最终得分，根据x取值可得出y的取值范围0

根据IDC的y值划分管理级别：

3

主要是服务于党、政、军的IDC。

服务于党、政、军业务的通信网络设备。

2

服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC。

服务于国际业务、国家级业务、省际业务的通信网络设备。

1

服务于省级政府、一般金融机构、大型网站的IDC。

服务于省级业务、市际业务、地市级重要业务的通信网络设备。

0

主要是服务于地市级政府及以下、企事业单位或一般网站。

服务于地市级一般业务及以下的通信网络设备。

4.3网络安全分级防护管理工作要求

4.3.1物理安全

4.3.1.1工作目标

本期物理安全分级防护管理工作目标为：

Ø保证IDC机房基础设施安全、物理环境安全、设备安全，现场人员可控可审计、以及现场作业的安全管理。

4.3.1.2工作要点

对机房及设备的管理根据“谁主管谁负责、谁运营谁负责”的原则明确职责分工，从各方面保证基础设施的安全防护。

通信楼机房分级：

通信机楼内，依据机房的放置设备的不同属性及重要性，确定该机房的安全重要级别，分级对象为机房。

机房基础安全配备：

对视频进行安全配置保证关键部位的实时监控；对供电系统进行配置管理，保证机房不间断稳定供电；于建设初期应提前按要求部署空调保护系统，为各通信网络设备提供安全、稳定、可靠、不间断的供冷保障；通信机楼动环监控是及时发现机房供电供冷异常的重要组成，于建设初期应提前按要求部署动环监控系统；部署传输路由保护系统，保证机楼内的通信网络可靠运转。

机房环境安全管理：

将机房操作区与施工区进行隔离，分别管理；维护通信机楼内的生产环境，如清洁、照明、防汛、防鼠等公共设施，保持机房整洁的环境；各机房根据规定部署门禁系统、消防系统、防汛防水工具、防雷系统等，做好机房的环境安全管理；

设备物理安全管理：

制定完善的设备管理制度；对机房内的各种物品、设备建立台帐表，并详细记录设备、备件的使用情况；制定机房内的走线规范；明确各种存储介质的使用、接入、销毁规则；做好接入设备的安全管理。

更多内容请详见物理安全要求。

4.3.2系统安全

4.3.2.1工作目标

本期系统安全分级防护管理工作目标为：

Ø保证系统层所涉及的操作系统、系统服务的安全。

4.3.2.2工作要点

物理主机安全：

首先保证操作系统安全，及时安全补丁及更新，遵循安全最小化原则，关闭未使用的服务组件和端口，启用操作系统账号管理和身份鉴别，限制远程访问权限，提供病毒防护功能；数据库存储业务的各类重要数据以及用户的敏感数据，需要确保只有上层应用、合法操作维护人员等，并在合适的授权范围内访问，从而保证数据库安全；中间件应及时更新系统补丁，防止系统信息泄露。

虚拟机安全*：

在虚拟机配置阶段，保证虚拟机基础资源的安全及虚拟机之前的隔离，关闭不需要的端口，并对虚拟机进行安全加固操作；虚拟机管理阶段应加强对虚拟机镜像、虚拟机快照的安全管理，同时对于需要销毁或撤销的虚拟机也要做好数据彻底删除，另外，为防止虚拟机出现异常行为，应对虚拟机当前的性能、进程以及所申请的资源等予以实施监控。

采用方法包括：

虚拟机镜像和快照管理、虚拟机销毁和监控等。

系统接入安全：

应对接入的用户提供身份认证，防止未授权的访问。

同时针对对外提供的接口应定期进行安全评估，防止被黑客攻击。

加强用户登录认证保护措施，避免认证机制存在缺陷。

更多内容请详见Error!

Referencesourcenotfound.。

4.3.3网络安全

4.3.3.1工作目标

本期网络安全分级防护管理工作目标为：

Ø根据IDC系统价值、功能、业务特性，实施分区防护及边界访问控制，确保组网安全。

同时考虑到SDN的后续引入，SDN安全也是本规范的内容之一；

Ø保证网络层所涉及的网络链路、网络设备、网络服务的安全。

4.3.3.2工作要点

由于云计算自身的特性，其引入IDC后，会给IDC网络安全带来新的威胁如安全域划分与边界防护、虚拟机之间的通信安全、资源被滥用。

为应对这些安全威胁，云计算资源应从以下方面开展网络安全分级防护：

安全域划分：

安全域是一个网络的逻辑范围或区域，同一安全域中的同一类信息资产具有相同或相近的安全属性，如安全级别、安全威胁、安全弱点、风险等，同一安全域内的系统有着较高的互信关系，并具有相同或者相近安全访问控制策略。

网络安全防护：

包括虚拟机间防护*、漏洞扫描、网络访问控制、WEB防护、恶意代码防范、入侵防护、安全审计、网络设备防护、资源控制、防IP及MAC仿冒、DHCP隔离及结构安全。

SDN安全防护*：

基于SDN的风险及安全需求，应做好SDN控制器、转发设备及南向接口的安全防护。

更多内容请详见IDC网络安全技术要求及Error!

Referencesourcenotfound.。

4.4考核通报管理要求

4.4.1考核内容

考核内容涉及物理安全、网路安全、系统安全、数据安全等四个部分，具体内容包括机房基础安全配备、机房环境安全管理、设备物理安全管理、安全域划分、网络安全防护、物理主机安全、虚拟机安全、系统接入安全、数据采集、数据传输、数据存储、数据处理、数据备份与恢复、数据销毁等。

4.4.2考核项目

（1）机房基础安全配备

机房关键部位应部署实时监控，机房应保证提供不间断稳定供电，机房应部署空调保护系统、动环监控系统、传输路由保护系统。

（2）机房环境安全管理

机房应将操作区与施工区进行隔离，公共设施保持完好，机房应部署门禁系统、消防系统、防汛防水工具、防雷系统。

（3）设备物理安全管理

应制定完善的设备管理制度，对机房内的各种物品、设备建立台账表，制定机房内的走线规范，明确各种存储介质的使用、接入、销毁规则。

（4）安全域划分

应划分安全域，各域之间进行访问控制。

（5）网络安全防护

应部署虚拟机间防护、漏洞扫描、网络访问控制、WEB防护、恶意代码防范、入侵防护、安全审计、网络设备防护等网络安全防护手段。

（6）物理主机安全

物理主机应关闭未使用的服务组件和端口，启用操作系统账号管理和身份鉴别，限制远程访问权限，提供病毒防护功能。

（7）虚拟机安全

虚拟机之间应进行隔离，并对虚拟机进行安全加固操作，需要销毁或撤销的虚拟机应做好数据彻底删除，应对虚拟机当前的性能、进程以及所申请的资源等予以实施监控。

（8）系统接入安全

应对接入的用户提供身份认证，针对对外提供的接口应定期进行安全评估，加强用户登录认证保护措施。

（9）数据采集

数据采集应进行鉴权并对异常采集行为告警。

（10）数据传输

应对重要的应用数据应加密处理后进行传输或进行专线传输。

（11）数据存储

应采用安全性强的加密算法实现加密存储。

（12）数据处理

应对数据处理能力层进行安全检测，并对敏感数据需进行模糊化处理。

（13）数据备份与恢复

应具备完备的数据备份和恢复机制。

（14）数据销毁

数据删除后应释放系统内的文件、目录等资源所在的存储空间。

4.4.3通报要求

对于检查中发现上述考核项目中存在未满足情况的省公司，在检查次月的网络运行通报中予以通报。

5物理安全要求

5.1IDC及云机房分级

5.1.1IDC安全分级定义

IDC安全分级，依据机房的放置设备的不同属性及重要性，确定该机房的安全重要级别，分级对象为机房。

IDC安全级别的确定以其中最重要的设备进行定级。

对于个别机房规模大，各级设备繁杂，安全等级低设备量大，安全等级高设备量少的情况，部分安全管理要求可分片区开展。

5.1.2IDC安全分级参考

铂金级安全管理：

服务于国家重要部委、涉及国家安全信息的IDC。

金级安全管理：

服务于重要金融机构、国家级网络媒体、大型互联网域名服务商等的IDC。

银级安全管理：

服务于省级政府、一般金融机构、大型网站的IDC。

铜级安全管理：

服务于地市级政府及以下、企事业单位或一般网站。

5.2机房基础安全配置

5.2.1视频监控基础配置

机房内视频监控作为机房安全管控、远程监视、事故追溯的重要手段，IDC于建设初期应提前按要求部署监控系统，通过摄像头等系统对关键区实施监控，监控录像按照管理要求留存一定时间。

5.2.1.1视频监控系统可依据实际情况分级配置。

铂金级：

机房房门有正对的高清摄像监控，机房内所有分区有监控，监控无死角，配置7*24小时视频监控条件，视频资料保存时间90天；具备智能监控功能：

如移动侦测、遮盖告警、离线告警灯。

金级：

机房房门有正对的高清摄像监控，机房内所有分区有监控，配置7*24小时视频监控条件，视频资料保存时间至少30天；具备智能监控功能：

如移动侦测、遮盖告警、离线告警灯；

银级：

机房房门有正对的摄像监控，机房内所有分区有监控，配置7*24小时视频监控条件，视频资料保存时间至少30天；可具备智能监控功能：

如移动侦测、遮盖告警、离线告警灯；

铜级：

机房房门有正对的摄像监控，机房内重要设备有监控，配置7*24小时视频监控条件，视频资料保存时间15天。

5.2.1.2视频监控系统管理权限

视频监控系统监视授权、回溯授权、视频录像提取应建立三级审核机制。

申请记录、授权内容、审批记录应长期存档。

5.2.1.3视频监控系统日常维护与监视

视频监控系统应定期维护、检查，及时抢修。

并有专人实施日常轮询与监视。

5.2.2供配电安全配置

IDC供配电是机房内设备正常运转的基础，于建设初期应提前按要求部署多路保护系统，包括但不限于部署双路电源、关键设备前部署UPS系统，有条件的部署应急发电系统。

能在市电供电中断情况下能实施切换保护，为各通信网络设备提供安全、稳定、可靠、不间断的供电保障。

5.2.2.1供电系统配置

铂金级：

配置一类市电，应引入两路供电线路，两路供电线不应有同时检修停电的供电方式，两路供电线应配置备用电源自动投入装置；配置N结构发电机系统，燃油后备时间满足8小时并签署供油协议；配置M（1+1）结构变压器；配置2N结构UPS系统，单机满负载≥15分钟；机架供电采用两个电源点双路供电。

金级：

配置一类市电，应引入两路供电线路，两路供电线不应有同时检修停电的供电方式，两路供电线应配置备用电源自动投入装置；配置N结构发电机系统，燃油后备时间满足8小时并签署供油协议；配置N+1结构变压器；配置1+1结构UPS系统，单机满负载≥15分钟；机架供电采用双路供电。

银级：

配置一类市电，应引入两路供电线路，两路供电线不应有同时检修停电的供电方式，两路供电线应配置备用电源自动投入装置；配置N结构发电机系统，燃油后备时间满足8小时并签署供油协议；配置N+1结构变压器；配置1+1结构UP