《GBT 33134-2023信息安全技术 公共域名服务系统安全要求》必威体育精装版解读.pptx

《GB/T33134-2023信息安全技术公共域名服务系统安全要求》必威体育精装版解读;目录;目录;目录;目录;目录;目录;PART;;新版标准强调了权威域名服务系统和递归域名服务系统的安全配置与管理，包括服务器数量的合理备份、跨自治域网络的部署、地理上的合理分布、加密可靠的连接传输数据等。同时，还明确了资产管理、人员管理、运行管理、物理和环境管理、设备管理等方面的具体要求，以确保公共域名服务系统的全面安全。;PART;;国家战略需求

围绕国家网络安全战略需求，加强域名服务系统的安全防护能力，是维护国家网络安全、保障社会稳定的重要措施。;GB/T33134-2023标准修订背景及意义;;PART;术语和定义增加;新旧标准对比：变化与升级点剖析;;PART;;PART;;PART;;PART;;满足合规性要求

很多行业都有数据备份的合规要求，DNS数据备份是满足这些要求的重要措施。;;;PART;资产清单编制

制定详尽的公共域名服务系统资产清单，包括但不限于域名、DNS服务器、相关硬件设备、软件授权等。确保每项资产都有唯一的标识，并记录其配置信息、使用状态、维护记录等重要数据。

资产分类与分级

根据资产的重要性、敏感性及潜在风险等因素，对公共域名服务系统资产进行分类与分级管理。针对不同级别的资产，制定差异化的保护策略，确保关键资产得到重点保护。

访问权限控制

建立严格的访问权限控制机制，明确各岗位人员的访问权限，确保只有授权人员才能访问和操作相关资产。同时，实施定期的权限审查，及时发现并纠正权限滥用行为。;;PART;;;;;;;;PART;运行管理：确保域名服务系统稳定运行的关键;安全审计与合规性检查

定期对公共域名服务系统进行安全审计和合规性检查，确保系统符合国家和行业的相关安全标准和法律法规要求。通过审计和检查发现潜在的安全漏洞和合规性问题，及时修复和整改，保障系统的安全性和稳定性。;PART;;;;防火与防雷

配置有效的防火设施和防雷装置，减少自然灾害对域名系统的破坏。;;PART;;设备标识与审计

每台设备应贴有唯一标识，便于追踪和审计，同时建立详细的设备台账。;;设备管理的安全要求与实践;远程管理与访问控制：;会话审计

记录所有远程访问会话的详细信息，包括访问时间、用户身份、操作内容等，以便进行安全审计和追溯。;;PART;访问控制策略细化;定期审计与权限复审;权限变更记录与追踪;PART;;在DNS服务器之间以及DNS服务器与客户端之间采用加密通信协议，如DNSoverTLS(DoT)或DNSoverHTTPS(DoH)。这些协议能够保护DNS查询和响应数据不被窃听或篡改，提高数据传输的安全性。;PART;权威域名服务系统安全加固

针对政府重要网站，权威域名服务系统需实施严格的安全加固措施，包括部署多台权威域名服务器实现冗余备份，确保服务的高可用性和抗攻击能力。同时，服务器应部署在不同地理区域的自治域网络中，以防范自然灾害等不可抗力因素对服务的影响。

递归服务安全优化

递归服务系统需具备安全的查询和缓存功能，防止恶意查询和缓存污染攻击。政府重要网站应优先采用基于TLS或HTTPS的加密连接方式，确保递归服务过程中数据传输的安全性。同时，需定期检查递归服务系统的安全配置和漏洞，及时更新安全补丁，防范潜在的安全风险。;政府重要网站域名服务系统安全保障;PART;;;;;协议安全要求：;;域名系统安全防护技术要求;PART;;DNSSEC在公共域名服务中的应用;PART;;PART;HTTPS下的DNS查询安全机制;;PART;;;;;;;;PART;;;PART;;多点备份

在地理上分散的多个地点进行备份，以防止单一地点灾难导致的数据丢失。;;数据恢复与灾难备份计划设计;灾难备份中心建设：;演练与评估

定期进行灾难恢复演练，评估备份和恢复策略的有效性和效率。;;PART;DNS放大攻击防范

针对DNS放大攻击，标准中强调了权威域名服务系统和递归域名服务系统的查询响应包大小限制和查询率限制要求，以防止攻击者利用DNS服务器进行放大攻击。

DNS缓存投毒防御

标准详细规定了DNS缓存投毒的检测与防御机制，包括实施DNSSEC（域名系统安全扩展）验证资源记录的完整性和来源合法性，以及定期更新缓存策略以减少缓存投毒的风险。;;PART;;服务中断

考虑自然灾害、人为错误或恶意攻击导致权威域名服务系统服务中断的影响。;;;安全风险评估与应对策略;建立严格的访问控制机制，限制对域名服务系统的非授权访问，并记录所有访问和操作日志以便审计。;PART;法律法规遵循：公共域名服务系统需严格遵守国家关于信息安全的相关法律法规，包括但不限于《网络安全法》、《数据安全法》等，确保系统运营合法合规。;PART;加密传输技