四川联通规划、可研、设计、验收的网络与信息安全“三同步”范本手册

规划、可研、设计、验收的网络与信息安全“三同步”范本手册中国联合网络通信有限公司四川省分公司2014年 3月目录第一部分 总体要求6第二部分 基本知识7第三部分 规划、可研、设计三同步范本8一.IP网工程规划、可研、设计三同步范本81.1 设计依据81.2现状91.3建设方案91.4工作量91.5施工技术要求91.6预算13二.固定通信网工程规划、可研、设计三同步范本141.1 设计依据141.2现状151.3建设方案151.4工作量151.5施工技术要求151.6预算19三.移动通信网工程规划、可研、设计三同步范本201.1设计依据201.2现状211.3建设方案211.4工作量211.5施工技术要求211.6预算26四.传送网工程规划、可研、设计三同步范本271.1设计依据271.2现状271.3建设方案281.4工作量281.5施工技术要求281.6预算32五.同步网工程规划、可研、设计三同步范本331.1设计依据331.2现状331.3建设方案341.4工作量341.5施工技术要求341.6预算38六.信令网工程规划、可研、设计三同步范本391.1设计依据391.2现状391.3建设方案401.4工作量401.5施工技术要求401.6预算44七.接入网工程规划、可研、设计三同步范本451.1设计依据451.2现状461.3建设方案461.4工作量461.5施工技术要求461.6预算48八.IDC及云计算工程规划、可研、设计三同步范本491.1设计依据491.2现状501.3建设方案501.4工作量501.5施工技术要求501.6预算51九.支撑网工程规划、可研、设计三同步范本521.1设计依据521.2现状531.3建设方案531.4工作量531.5施工技术要求531.6预算57十.增值业务网工程规划、可研、设计三同步范本581.1设计依据581.2现状591.3建设方案591.4工作量591.5施工技术要求591.6预算63十一.网上营业厅工程规划、可研、设计三同步范本641.1设计依据641.2现状651.3建设方案651.4工作量651.5施工技术要求651.6预算70十二.域名系统工程规划、可研、设计三同步范本711.1设计依据711.2现状711.3建设方案721.4工作量721.5施工技术要求721.6预算74十三.非核心生产单元工程规划、可研、设计三同步范本751.1设计依据751.2现状751.3建设方案761.4工作量761.5施工技术要求761.6预算79第四部分 工程验收三同步范本80附录 网络安全规范标准81规划、可研、设计、验收的网络与信息安全“三同步”范本手册第一部分 总体要求一、为了贯彻落实全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日）、中华人民共和国电信条例（国务院令291号）、互联网信息服务管理办法（国务院令292号）、工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）、通信网络安全防护管理办法（第11 号令）、工信部和国资委关于开展基础电信企业网络与信息安全责任考核有关工作的指导意见（工信部联保2012551号）等文件精神，加强通信网络与信息安全管理，提高通信网络与信息安全防护能力，保障通信网络与信息安全畅通，四川联通省分各建设部门、市分各建设部门、设计单位、监理单位、施工单位应认真落实工信部网络与安全防护“三同步”的各项要求。二、各建设部门、设计单位、施工单位、监理单位应认真落实工信部11号令，在规划、可研、设计文本中明确网络与信息安全防护“三同步”的各项要求。每项工程验收时，应同步做好网络与信息安全的验收，验收文件中应有网络与信息安全的验收结论。 三、在四川联通、四川省通信管理局或工信部的网络与信息安全检查中，每发生一项工程出现“三同步”不合格的，将对各建设部门予以处罚，并取消相关设计单位、监理单位、施工单位后续入围资格，并对相关设计单位、监理单位、施工单位处以当年所有工程服务费总额的罚款。第二部分 基本知识一、基本概念网络安全“三同步”是指“同步规划、同步建设、同步运营”，将通信网络安全防护融入到规划、可研、设计、建设、验收、备案变更、维护评估、整改加固、退网的全过程，实现网络安全防护工作规范化、流程化、常态化。信息安全“三同步”是指网络、系统、平台的规划设计、建设、升级、改造等环节应当做到与国家安全和电信网络信息安全的要求同步规划设计，同步建设，同步运行。无覆盖不全、漏控等问题。做到与主体工程同时进行验收和投入运行，且有相应资金保障。企业在网络设备选型、采购和使用时，应遵守电信设备进网要求，满足信息安全管理需要，对存在技术问题、标准问题、法律问题的业务平台、网络配套的信息安全技术管理系统，应及时报告省通信管理局，在同步建设实施时按照工信部、省通信管理局文件要求执行。网络安全防护规划，包含整体规划和分项规划两部分。其中，整体规划是指全网统一规划安全域隔离、边界控制、系统漏洞扫描、基线检查、入侵检测等公共安全系统的建设；分项规划是指移动网、数据网、传送网、接入网、增值业务平台、IT系统等网络规划时应充分遵循网络安全整体规划的安全域隔离、边界访问控制等要求，也要遵循工信部下发的网络单元安全防护技术系列规范和风险评估要求。二、工信部“三同步”考核内容网络安全防护“三同步”考核内容：新建、改建、扩建通信网络工程项目时，应在可研、设计文本中明确安全域隔离、边界访问控制等要求，明确工信部下发的所属网络单元安全防护技术规范和风险评估要求，明确所属网络单元安全验收标准，并在项目中有资金保障。信息安全“三同步：考核内容：对本企业新产品立项、产品开发和业务上线（包括合作开办）的各环节实施信息安全评估，同步配套建设信息安全保障措施和技术手段。要求系统与网络发展同步配套，无覆盖不全、漏控等问题。第三部分 规划、可研、设计三同步范本一. IP网工程规划、可研、设计三同步范本1.1 设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部IP承载网安全防护要求YD/T1746-2013*工业和信息化部IP承载网安全防护检测要求YD/T1747-20131.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用网络与信息安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3 IP网安全防护技术要求1.5.3.1业务及应用安全要求1) 业务提供、控制与管理过程应保护用户隐私，不泄漏用户相关敏感信息。2) 业务控制与管理应提供并启用身份鉴别、标识唯一性检查、鉴别信息复杂度检查及登录失败处理功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用，并根据安全策略对登录失败可采取结束会话、限制非法登录次数和自动退出等措施。3) 业务控制与管理应严格限制默认账号的权限，各账号应依据最小授权原则授予为完成各自承担任务所需的权限，按安全策略要求控制对文件、数据库表等内容的访问。4) 系统访问控制策略应由授权主体配置。5) 业务控制与管理应提供覆盖到每个账号的安全审计功能，应保证无法删除、修改或覆盖审计记录。6) 业务相关审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。7) 对业务管理和控制应符合国家、企业的相关规定及要求。8) 应能根据需要对业务及应用相关通信过程中的全部报文或整个会话过程提供必要的保护（如进行通信数据加密) ，并提供业务及应用相关访问、通信等数据的防抵赖功能。9) 应能够对业务及应用服务水平进行检测，具有当服务水平降低到预先规定的阀值时进行告警的功能。1.5.3.2业务及应用系统安全要求1) 应绘制与当前运行情况相符的系统拓扑结构图。2) 应根据应用和服务的特点，在满足高峰期流量需求的基础上，合理设计带宽。3) 应根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，设备依照功能划分及其重要性等因素分区部署。4) 应在系统边界部署访问控制设备，启用访问控制功能，应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力。5) 应对系统管理用户进行有效的身份标识和鉴别，并确保用户标识(用户名)具有唯一性和不易被冒用的特点，相关用户口令长度应不小于8字节，口令应有复杂度要求(使用大写字母、小写字母、数字、标点及特殊字符4种字符中至少3种的组合，且与用户名或ID无相关性)并定期更换(更新周期不大于90天)。6) 应按系统管理用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。7) 应对系统中的重要设备运行状况、网络流量监测信息、系统管理及维护等进行日志记录，并且保留一定期限(至少180天)。8) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。9) 应在系统边界处对发生的端口扫描、强力攻击、木马后门攻击、DoS/DDoS攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等攻击和入侵事件提供有效的抵御和防范能力。10) 互联网数据中心业务内部网络应能提供有效的安全防护技术手段(如防火墙、入侵检测、漏洞扫描)。11) 系统年宕机时间不超过8.76h. 可靠性应达到99.9% 以上。1.5.3.3设备安全要求1) 应对构建相关业务及应用系统内部网络结构的数据网络设备，如各类路由器、交换机等，进行必要的安全检测。2) 业务及应用系统相关设备的安全应满足相应设备技术规范、设备安全要求等行业标准的有关规定(如，宽带网络接入服务器安全要求见YD/T 1658-2007 、网络接入服务器设备安全要求见YD/T 1045-2000 、WAP网关设备安全要求见YD/T 1392-2005)。3) 应对登录设备的用户进行有效的身份标识和鉴别，确保用户名具有唯一性，应为不同用户分配不同的权限，相关用户口令长度应不小于8字节，口令应有一定的复杂度，井定期更换。4) 业务及应用系统相关设备应符合设备入网管理相关要求的规定，应符合网络和业务运营商相关设备的要求。1.5.3.4物理环境安全要求1) 应满足YD/T 1754-2008中第2级要求。2) 互联网相关业务及应用系统所处机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于750kg/m2。3) 互联网相关业务及应用系统所处机房机架/机拒应以交替模式排列布局。4) 互联网相关业务及应用系统所处机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。1.5.3.5互联网灾难备份及恢复要求1) 根据YD/T 1731 -2008第5.1节要求，灾难备份及恢复定级应与安全等级保护确定的安全等级一致。2) 业务及应用系统相关设备的处理能力应具备一定的冗余，应满足业务高峰期需要。3) 关键设备的重要部件应采用冗余的方式提供保护。4) 应建立对业务及应用关键数据和重要信息进行备份和恢复的管理和控制机制。5) 相关业务及应用的关键数据(如业务数据、计费数据、系统配置数据、管理员操作维护记录、用户信息等应有必要的容灾备份。6) 相关业务及应用的数据备份范围和时间间隔、数据恢复能力应满足行业管理、网络和业务运营商应急预案相关要求。7) 重要设备、线路应采用热备份的保护方式进行保护。8) 系统应有必要的流量负荷分担设计。9) 系统应具备较好的灾难各份和业务恢复的能力，提供重要服务的业务及应用系统应进行系统级备份，以保证其业务连续性。10) 应建立对业务及应用全部数据、信息进行备份和恢复的管理和控制机制。11) 系统重要的业务及应用相关数据应进行异址备份。12) 系统应提供数据自动保护功能，当发生故障后应保证系统能够恢复到故障前的业务状态。1.5.4 IP网日志留存要求1）上网日志留存内容 应当记录上网用户的上网时间、用户帐号、主叫电话号码等信息。2）日志留存时间应记录用户业务相关日志(如用户接入时间和时长、用户账号、主叫号码等) ,并且保留一定期限至少60天)1.6预算*同步新增防火墙的预算*新增设备同步纳入防火墙管理的施工预算*新增设备同步纳入网管监控的施工预算*新增设备流量监控的预算*IP网安全的其它预算 二. 固定通信网工程规划、可研、设计三同步范本（固定通信业务包括：固定通信网本地电话业务、固定通信网国内长途电话业务、固定通信网国际长途电话业务、消息类业务、多媒体业务等。）1.1 设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部固定通信网安全防护要求YD/T1732-2008*工业和信息化部固定通信网安全防护检测要求YD/T1733-20081.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用网络与安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3固定通信网安全防护技术要求1.5.3.1业务安全（1）业务提供安全a） 交换网应具有足够的业务处理能力，应能够满足业务提供的需要，不应因为过负荷或者突发业务量而影响网络安全；b） 交换网应采取一定的安全措施，即使在网络拥塞时也能对特定的通信（如维护操作呼叫）予以优先保证；c） 交换网的业务提供不应因后台计费系统的毁坏而中断；d） 交换设备应具有高可靠性和高稳定性，所提供的业务应尽可能不因系统引入其他新业务、系统补丁加载而中断。 （2）业务数据安全a） 交换网应对重要数据（系统配置数据、用户数据、计费数据等）进行备份，需要时能够对数据进行恢复；b） 交换网应对用于操作维护的系统密码等重要数据在数据库中应进行加密处理、而不是明文显示，并对访问权限进行限制；c） 详细计费话单应在交换网中的存储时间和存储方式应满足相关要求，例如存储时间应不少于24小时，未被采集前应不被删除；d） 重要数据（如计费数据）所占存储空间达到阈值时，系统应能产生相应的告警信息；e） 交换网应能够保证对业务进行本地和远程操作维护的安全性，对操作维护人员帐户权限分级管理，及时删除临时帐户权限，对操作维护人员身份进行认证，记录操作维护人员对业务所进行的任何操作，操作维护信息保存时间应符合相关要求，需要时应能够对操作维护信息进行查询。1.5.3.2网络安全（1）PSTN网络安全a） PSTN端局到同一长途局应具备双路由；b） 网络设备关键部件必应采用主备热备份的结构；c） PSTN中的设备应该是网络和业务运营商可控和可管理的，应确保合法且通过认证的设备（网元和管理终端）才能够进入PSTN网络；d） PSTN中当交换机与操作维护接口未采用专线方式、而是采用TCP/IP传输时，应提供必要的安全机制，如对传输的数据采用IPSec等安全技术进行进一步的安全处理；e） PSTN汇接局应采用双局设置，端局到汇接局应具备双归属能力；f） PSTN长途交换局应采用双局配置，并且应放在不同的机房中。（2）软交换网络安全a） 软交换网络的网络配置（如节点和链路的数量、位置或负荷分担分配比例等）应合理，不应因网络配置不合理而导致网络全部或者局部瘫痪；b） 软交换网与互联网间的边界关口应具有一定的安全防护能力（例如防火墙配置，常用端口屏蔽）；c） 软交换网络应对传送的管理信息进行保护，防止信息被非法或恶意地窃听、篡改；d） 软交换网络应保证会话建立过程中的信令流的通信安全；e） 软交换网络应保证媒体流传输过程中的保密性、完整性；f） 软交换网络中的设备应是运营商可控和可管理的，应确保合法且通过认证的设备（网元和管理终端）才能够进入软交换网络；g） 网络或设备发生故障或故障消失时应能及时产生告警信息并发送至网元管理系统；h） 软交换网络中的软交换设备应采用多节点工作的方式，一个节点的损害不影响业务提供，并且应能够对拥塞进行话务控制；i） 软交换网络的关键设备应进行冗余备份设计，主处理板、电源和通讯板等设备的主要部件均应支持热冗余备份；j） 针对软交换网络传输的媒体流保护措施应考虑电信监管需求和对媒体流服务质量的影响；k） 软交换网络应采取安全对策（如防病毒软件、系统加固、网络隔离、防火墙、访问控制等）有效地防止非法用户利用各种手段对网络发起攻击而导致网络及设备无法正常工作或瘫痪；l） 软交换网络应部署基于主机和基于网络的入侵检测系统，并应及时处理入侵检测系统的报警；m） 应对软交换网络中关键的主机系统和网络定期进行安全检查（例如使用安全扫描软件），以检查出网络弱点和策略配置上的问题。1.5.3.3设备安全PSTN网络主要包括交换机设备，软交换网络由软交换设备、媒体网关、信令网关、媒体服务器、应用服务器、软交换业务接入控制设备、接入网关等设备组成；设备安全应满足设备技术规范、设备入网管理相关要求。1.5.4固定通信网灾难备份及恢复要求固定通信网中交换网的灾难恢复应根据灾难的情况，首先保证应急通信、重要通信，然后恢复一般的通信。（1）冗余系统、冗余设备及冗余链路a） 单节点的灾难不应导致其他节点的业务提供发生异常；单一地区范围的灾难不应导致其他地区的业务提供发生异常；b） 网络灾难恢复时间应满足行业管理、网络和业务运营商应急预案的相关要求；c） PSTN汇接局应采用双局设置；d） PSTN长途交换局应采用双局配置、应放在不同的物理位置进行容灾。（2）冗余路由a） 路由应支持冗余方式，如PSTN端局到同一长途局应配备双路由；b） 应有流量负荷分担设计。（3）备份数据a） 关键数据（如计费数据、用户数据、网络配置数据、管理员操作维护记录）应有本地数据备份；b） 关键数据的备份范围和时间间隔、采取的备份方式、数据恢复能力应符合相关要求；c） 关键数据（如计费数据、网络配置数据）应在不同的局址进行备份。1.5.4 固网日志留存要求1）日志留存内容应当记录并妥善保存用户使用电信网络的有关信息 2）日志留存时间 业务留存信息应当至少保存60日。1.6预算*同步新增防火墙的预算*新增设备同步纳入防火墙管理的施工预算*新增设备同步纳入网管监控的施工预算*新增设备话务监控的预算*固定通信网安全的其它预算三. 移动通信网工程规划、可研、设计三同步范本（移动通信网含传统移动通信网及LTE核心网等。）1.1设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部移动上网日志留存规范（试行）（工信部保2010548号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部移动通信网安全防护要求YD/T1734-2009*工业和信息化部移动通信网安全防护检测要求YD/T1735-2009*工业和信息化部移动网管安全技术要求YD/T2021-20091.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3 移动通信网安全防护技术要求1.5.3.1 移动通信网安全等级保护要求1、业务安全要求a) 在业务开始时对用户进行认证，防止未授权用户获得业务接入。b) 在网络发生拥塞或设备发生单点故障时，应保证业务的连续性。c) 应能够纪录操作维护人员对网络进行的操作，对发布、修改、删除等操作行为进行记录，并且可以按时间、操作方式和操作人员来查询。2、网络安全要求a) 网络设备处理能力应具备冗余空间，满足流量高负荷时需求，不能由于设备配置不够而导致网络全部或者局部瘫痪。b) 网络拓扑设计合理，应绘制与当前运行情况相符合的网络拓扑图。c) GMSC 或GMSC Server 应当采用1+1 方式配置，并通过负荷分担方式来保证业务安全，避免单GMSC或GMSC Server 瘫痪时导致业务全阻。d) TMSC 或TMSCServer 应当采用1+1 方式配置，并通过负荷分担方式来保证业务安全，避免单一TMSC或TMSCServer瘫痪时导致业务全阻。e) MSC 或MSC Server 至关口局和汇接局之间应当具备双路由或多路由。f) HLR （归属位置寄存器）应当采用1+1 或N+l 备份，具有负荷分担的能力。g) GGSN 要求采用负荷分担的工作方式，或者采用N+l 备份的工作方式。h）DNS 和CG 设备应当采用1+1 备份的工作方式，具有负荷分担的能力。i) 网络域至无线接入系统应当采用物理上的多路由方式配各，在不同的传输设备和传输线路上相互保护，确保传输路径的安全，避免单一传输通道阻断时导致业务全阻。j) HSS 的设置应采用N+l或1+1 的配置方式，支持对HSS上保存的用户信息相关的数据备份，发生故障时能够实现自动倒换或进行系统再配置。k) S/I-CSCF应当采用N+l方式配置，并通过负荷分担方式来保证业务安全，避免单一SII-CSCF瘫痪时导致业务全阻。l) 应支持应用服务器的N+l方式冗余备份配置，在主用应用服务器出现故障的情况下控制S-CSCF和备用应用服务器交互。3、接入GSM 网络安全a) 对接入的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入网络。b) 应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMS1 。c)应在MS和BTS之间提供数据的加密机制，保证数据在无线链路上的传输安全(在国家未对算法作出具体规定之前，对此功能不做要求)。4、接入GPRS 网络安全a) 对接入的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入网络。b) 应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMSI。c) 应在MS和SGSN之间提供用户数据的加密机制，保证用户数据在链路上的传输安全(在国家未对算法作出具体规定之前，对此功能不做要求。5、接入WCDMA/TD-SCDMA 网络安全a) 支持双向鉴权认证功能。对接入的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入网络。用户对接入的网络发起鉴权认证，验证网络的合法性，保证用户能够接入合法网络。b) 应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMSI。c) 应支持用户和网络之间的密钥协商机制。d) 应在MS和RNC之间提供数据的加密机制，保证数据在链路上的传输安全(在国家未对算法作出具体规定之前，对此功能不做要求)。e) 应该支持对层三RRC消息的完整性保护，用于维护信令的完整性。6、接入IMS网络安全a) 提供用户和IMS 网络之间的双向认证。HSS负责产生密钥和挑战，委托S-CSCF执行用户认证的操作。认证基于由IP多媒体服务身份模块(ISIM)和HSS共享的密钥和算法。b) UE与P-CSCF之间的SIP信令消息使用IPSecESP提供机密性和完整性保护.c)应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMSI。7、网络域安全（1）GPRS/WCDMA/TD-SCDMA 网络域安全a) 在分组域与外部IP网络之间应设置防火墙进行隔离，禁止外部网络对内部网络的配置操作，并严格管理内部网络数据。b) 不同分组域之间互连时应在BG处设置防火墙进行隔离。(2) IMS 网路域安全a) 通过选择网络隐藏机制提供对其他运营商隐藏网络拓扑的能力，包括隐藏S-CSCF 的数量、S-CSCF的能力以及网络能力，归属网络中的所有I-CSCF 将共享一个加密和解密密钥。b) 不同网络之间的CSCF 网络实体之间采用IPSec 机制，提供消息机密性、完整性保护安全。c) 与外部E 网络之间应设置防火墙进行隔离，禁止外部网络对内部网络的配置操作，并严格管理内部网络数据。d) 在两个运营商域间进行互连的IBCF处应设置防火墙进行隔离。8、设备安全要求GSM/GPRS/WCDMA/TD-SCDMA网设备安全应满足设备技术规范、设备入网管理相关要求。9、物理环境安全要求（1）机房、办公场地物理环境安全除满足电信网和互联网物理环境安全等级保护要求中第2级的安全要求外，还需满足：a) 机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于750kg/m2 ;b) 机房应具各防虫防鼠等相关措施，以有效防范鼠虫蚁害。（2）室外无线接入设备场地物理环境物理位置的选择、防盗窃和防破坏、防雷击、防火、防水和防潮、温湿度控制、防尘、防鼠虫、电力供应、管理安全要求。1.5.3. 2 移动通信网安全防护检测要求按照移动通信网安全防护检测的需要，将移动通信网安全防护检测分为移动通信网安全等级保护、移动通信网风险评估实施和移动通信网灾难备份及恢复等3个部分。移动通信网安全防护检测内容包括以下一些内容：l 移动通信网安全等级保护检测主要包括业务安全检测、网络安全检测、设备安全检测、物理安全检测和管理安全检测等。l 移动通信网安全风险评估检测主要包括风险评估范围、风险评估内容检测、风险评估要素检测、风险评估赋值原则检测、风险评。估计算方法检测、风险评估文件类型检测和风险评估文件记录检测等。l 移动通信网灾难备份及恢复检测主要包括冗余系统、元余设备及元余链路检测、元余路由检测、备份数据检测、技术支持能力检测、运行维护管理检测和灾难恢复预案检测等。1.5.3.3 移动网管安全要求综合上面的安全威胁分析，说明移动网管系统和网络需要从访问控制、可说明性能力、容灾、可用性能力、安全域隔离、入侵及缺陷检测、数据完整性和机密性保护、集中病毒管理、适应性能力等多方面进行考虑，从而提出下面的安全要求，亦即移动网络管理系统应实现的主要安全目标：只有合法的角色才可以访问和操作移动网管系统和网管网络内的资产:只有合法的角色才可以访问和操作己获得授权的资产:要对不同的合法角色进行有区别并且/或者有等级的授权以保证访问权限的合理化:所有的角色都需要为自己所执行的活动负责:所有的角色的访问和操作以及系统自身的行为与活动都要进行必要的日志和审计:网管网络和系统的用户应该进行集中管理:应该采取措施保护移动网管系统和网络的可用性以防止未授权访问和操作:移动网管系统应该具备一定的数据信息容灾的能力:移动网管网络应该具备一定的系统容灾能力以提高系统运行的可靠性;移动网管网络的安全能力应该具备一定的冗余以适应网络的动态变化和降低运营风险:移动网管系统应该根据组成系统的设备自身的不同安全需求进行安全域的划分，在不同安全域之间应该制定和采取适当的域隔离机制，并定义和配置对应的访问策略:移动网管系统和网络应该具备入侵检测和安全缺陷检测及管理的能力:如果检测到安全入侵，应该有效进行控制使其产生的危害降至最低:当安全缺陷被检测到后，系统应该能够进行适当的升级或其他弥补措施以使系统重新恢复到期望的安全水平:移动网管系统和网络应该保证其内存贮和传输数据的机密性、完整性:移动网管网络应该提供措施以确保传输到网外的数据完整性、机密性和有效性:移动网管系统中的所有终端都应进行集中的病毒服务管理:移动网管系统及网络的安全架构应该提供一个适当的弹性以能够支持不同的安全策略，如采取不同安全强度的机制。1.5.4 移动网日志留存要求1.5.4.1上网日志留存内容1）日志留存内容为四川联通2G（GPRS/EDGE）用户、3G（WCDMA）、WLAN用户的移动上网日志信息，分为认证登录留存信息和访问互联网留存信息两种。认证登录留存信息包括MSISDN、用户私网IP地址、上线/下线时间。 2.访问互联网留存信息包括NAT后用户公网IP地址、NAT后源端口、用户私网IP地址、目的IP、目的端口、MSISDN、用户访问URL、访问时间。 3.已建立移动上网日志留存系统，系统具备2G/3G、WLAN移动上网认证登陆和访问互联网日志留存功能，必选字段不缺漏；留存时间、时间误差、应用协议、错误率、丢失率均满足规划要求。1.5.4.2日志留存时间认证登录、访问互联网日志留存信息应至少保存60日。1.6预算*同步新增防火墙的预算*新增设备同步纳入防火墙管理的施工预算*新增设备同步纳入网管监控的施工预算*新增设备话务、流量监控的预算*移动通信网安全的其它预算四. 传送网工程规划、可研、设计三同步范本（传送网安全防护的范围包括光传送网、微波接力传送网和卫星传送网，相应的网络技术包括PDH光网络、SDH光网络、MSTP光网络、WDM光网络、ASON光网络、OTN光网络、PTN光网络、IPRAN、微波接力传送网络和卫星传送网络等。）1.1设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部传送网安全防护要求YD/T1744-2009*工业和信息化部传送网安全防护检测要求YD/T1744-20091.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3传送网安全防护技术要求1.5.3.1传送网安全防护要求在工业和信息化部传送网安全防护要求YD/T1744-2008标准中，传送网安全防护要求内容分为安全风险分析、安全等级保护、灾难备份及恢复等三个部分。1）安全风险分析要求安全风险分析主要包括资产识别、脆弱性识别、威胁识别、已有安全措施的确认、风险分析、风险评估文件记录等。本标准仅对传送网进行资产分析、脆弱性分析、威胁分析，在传送网安全风险评估过程中确定各个资产、脆弱性、威胁的具体值。A资产分析传送网资产应包括：设备硬件、设备软件、重要数据、提供的服务、文档、人员、网络拓扑等，具体如下表所示。分类示例设备硬件包括设备节点，如PDH节点、SDH节点、MSTP节点、ASON节点、WDM节点、OTN节点、微波中继设备、地球站、静止卫星、维护管理系统硬件；传送网信号传送的介质资源，如光缆/管道、波长、微波/卫星频率等；设备运行所需的物理环境硬件，如机房、电力供应系统、电磁防护系统、防火、防水和防潮系统、防静电系统、防雷击系统、温湿度控制系统等设备软件包括传送网设备涉及的系统软件（操作系统、各种数据库软件等）、系统控制软件、协议软件和操作维护系统软件等重要数据包括传送网网络配置数据、管理员操作维护记录、用户数据等服务/业务包括传送网专线业务、虚拟专网（VPN）业务等文档纸质以及保存在存储介质中的各种文件，如设计文档、技术要求、管理规定（机构设置、管理制度、人员管理办法）、工作计划、技术或财务报告、用户手册等人员掌握重要技术的人员，如网络维护人员、设备维护人员、网络或业务的研发人员等网络拓扑包括传送网节点之间点到点连接、环形连接和网状连接等。B脆弱性分析传送网存在的脆弱性可分为技术脆弱性（含网络类脆弱性、设备类脆弱性、物理环境类脆弱性）和管理类脆弱性等。脆弱性的识别对象应以资产为中心。下表给出了部分脆弱性识别内容：类型对象存在的脆弱性技术脆弱性网络包括光缆备用纤芯不足、绘制网络拓扑与现网不一致、光缆物理路由维度太少、光缆超过设计使用年限、数据通信网（DCN）无保护路由、不支持多点同时故障的保护等设备（含操作系统和数据库）包括设备重要部件未配置主备用保护、业务板卡无备件、设备接口指标不满足规范要求、设备超过设计使用年限、网管服务器没有采用主备、网管系统没有与外部网络隔离、网管系统的杀毒工具版本未升级、重要数据未定时备份、登录用户未实现等级管理等。物理环境包括机房选址不合理、电缆/光缆铺设不符合规范、物理访问控制管理松懈、防盗窃和防破坏措施简单、防雷击不符合规范、防火/防水/防潮不符合规范、防静电不符合规范、温湿度控制不符合规范、电力供应不符合规范、电磁防护不符合规范等管理脆弱性安全管理机构方面：岗位设置不合理（如人员配置过少、职责不清）、授权和审批程序简化、沟通和合作未执行、审核和检查未执行等；安全管理制度方面：管理制度不完善、制度评审和修订不及时等；人员安全管理方面：人员录用不符合程序、人员离岗未办理安全手续、人员未进行安全培训、对于第三方人员未进行限制访问等；建设管理方面：安全方案不完善、软件开发不符合程序、工程实施未进行安全验收或验收不严格等；运维管理方面：物理环境管理措施简单、存储介质使用不受限、设备没有定期维护、厂家支持力度不够、关键性能指标没有定期监控、无恶意代码防范措施、无数据备份和恢复策略、访问控制不严格、操作管理不规范等，应急保障措施不到位，灾难恢复预案不完善C威胁分析对于传送网可能存在的威胁，根据来源可分为技术威胁、环境威胁和人为威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。下表列举出部分威胁：来源威胁描述技术威胁包括光缆/管道中断、板卡失效、微波或卫星设备故障、网管瘫痪、ASON控制平面故障、网