IDC网络安全防护技术要求V1.0(发布版).doc

. . . IDC IDC网络安全防护技术要求 Technical Specification of Security for IDC 版本号： 版本号：1.0.0 中国移动通信有限网络部 中国移动通信有限网络部 . . 目 录 TOC \o 1-3 \u 前 言 1 1 适用范围 2 2 引用标准与依据 2 2.1 相关法规和政策 2 2.2 国家标准及行业标准 2 2.3 中国移动企业标准及技术规范 3 2.4 其它 3 3 相关术语与缩略语 4 3.1 术语 4 3.2 缩略语 4 4 综述 5 4.1 中国移动IDC的发展现状 5 4.2 业务应用 6 4.3 IDC的特点 6 4.3.1 IDC的重要性 6 4.3.2 数据高度集中 6 4.3.3 高带宽、大流量 6 4.3.4 安全防护对象特点突出 6 4.3.5 内部应用可控性较差 6 4.3.6 面对复杂各异的远程维护需求 7 5 IDC的基本架构 7 5.1 逻辑架构 7 5.1.1 物理层 8 5.1.2 网络层 8 5.1.3 资源层 8 5.1.4 业务层 8 5.1.5 运营管理层 9 5.2 网络架构 9 5.2.1 互联网接入层 10 5.2.2 汇聚层 11 5.2.3 业务接入层 11 5.2.4 运营管理层 12 6 安全风险分析 12 6.1 IDC主要安全风险 12 6.2 威胁分析 13 6.2.1 物理安全威胁 13 6.2.2 设备安全威胁 13 6.2.3 网络安全威胁 13 6.2.4 应用层安全威胁 14 6.2.5 数据安全威胁 14 6.3 脆弱性分析 15 6.3.1 物理安全方面的脆弱性 15 6.3.2 网络与主机设备的脆弱性 15 6.3.3 应用系统软件脆弱性 15 6.3.4 数据安全方面存在的脆弱性 15 6.3.5 其它 16 6.4 IDC安全防护需求 16 7 安全防护要求 16 7.1 物理安全要求 17 7.2 IDC安全域划分及防护部署 17 7.2.1 互联网接入域 19 7.2.2 停火区 20 7.2.3 核心汇聚域 20 7.2.4 业务域 21 7.2.5 日常操作维护区 24 7.2.6 第三方接入区 24 7.2.7 管理服务区 25 7.3 设备自身安全和安全配置要求 25 7.4 内容合法性检查及域名备案等业务安全防护系统 25 7.4.1 不良内容监测与封堵 25 7.4.2 网站备案系统 26 7.5 集中化安全管理技术要求 28 7.5.1 综合安全管控 28 7.5.2 安全扫描 28 7.6 安全组织、标准要求 29 8 IDC安全防护体系建设思路 29 附录I：IDC安全风险分析列表 31 附录II：部分典型案例 34 9 编制历史 34 . . . 前 言 IDC面临复杂的安全环境，为了向IDC用户提供高质量的服务，维护中国移动的企业形象和信誉，遵守国家法律法规要求，必须在规划、建设、运营各环节充分考虑IDC安全风险，采取对应的安全措施。本规范针对IDC中存在的各种网络和系统层面的安全问题和IDC业务特点，提出了分类提供强制性安全基础服务能力和增值性、差异化安全服务能力的IDC安全防护技术要求，作为中国移动IDC网络安全防护部署的依据，以保证为IDC用户提供具有高性能、高带宽、高服务质量、高安全性的主机托管及其增值业务。本规范不对不良、非法、低俗内容安全等方面的监测手段及网站备案部署模式进行论述，请各IDC运营单位按照集团公司下发的信息安全责任矩阵要求，予以高度重视，加强内容安全管理。 本标准由中国移动通信有限公司网络部提出并归口。 本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团设计院有限公司。 本标准主要起草人：刘佳，杜雪涛，曹一生，周智，徐海东，袁捷，朱文涛，张高山。感谢华为技术有限公司、绿盟科技、Macfee、中兴通讯股份有限公司、诺基亚西门子公司，亿阳安全技术有限公司的大力支持。 适用范围 本规范作为中国移动通信有限公司、各省公司在IDC设计、建设、系统部署、运营维护等工作中开展安全防护的依据。 引用标准与依据 相关法规和政策 《关于加强信息安全保障工作的意见》（中办、国办[2003]27号文） 公安部、必威体育官网网址局、机要局、国务院信息办联合下发的《关于信息安全等级保护工作的实施意见》（公通字[2004]66号文） 四部门联合下发关于印发《信息安全等级保护