IDC网络安全防护技术要求V1.0发布版资料

《IDC网络安全防护技术要求V1.0发布版资料》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、IDC网络安全防护技术要求TechnicalSpecificationofSecurityforIDC版本号：1.0.0中国移动通信有限网络部目录前言11适用范围22引用标准与依据22.1相关法规和政策22.2国家标准及行业标准22.3中国移动企业标准及技术规范32.4其它33相关术语与缩略语43.1术语43.2缩略语44综述54.1中国移动IDC的发展现状54.2业务应用64.3IDC的特点64.3.1IDC的重要性64.3.2数据高度集中64.3.3高带宽、大流量64.3.4安全防护对象特点突出64.3.5内部应用可控性较差64.3

2、.6面对复杂各异的远程维护需求75IDC的基本架构75.1逻辑架构75.1.1物理层85.1.2网络层85.1.3资源层85.1.4业务层85.1.5运营管理层95.2网络架构95.2.1互联网接入层105.2.2汇聚层115.2.3业务接入层115.2.4运营管理层126安全风险分析126.1IDC主要安全风险126.2威胁分析136.2.1物理安全威胁136.2.2设备安全威胁136.2.3网络安全威胁136.2.4应用层安全威胁146.2.5数据安全威胁146.3脆弱性分析156.3.1物理安全方面的脆弱性156.3.2网络与主机

3、设备的脆弱性156.3.3应用系统软件脆弱性156.3.4数据安全方面存在的脆弱性156.3.5其它166.4IDC安全防护需求16II7安全防护要求167.1物理安全要求177.2IDC安全域划分及防护部署177.2.1互联网接入域197.2.2停火区207.2.3核心汇聚域207.2.4业务域217.2.5日常操作维护区247.2.6第三方接入区247.2.7管理服务区257.3设备自身安全和安全配置要求257.4内容合法性检查及域名备案等业务安全防护系统257.4.1不良内容监测与封堵257.4.2网站备案系统267.5集中化安全

4、管理技术要求287.5.1综合安全管控287.5.2安全扫描287.6安全组织、标准要求298IDC安全防护体系建设思路29附录I：IDC安全风险分析列表31附录II：部分典型案例349编制历史34IIIDC安全防护技术要求前言IDC面临复杂的安全环境，为了向IDC用户提供高质量的服务，维护中国移动的企业形象和信誉，遵守国家法律法规要求，必须在规划、建设、运营各环节充分考虑IDC安全风险，采取对应的安全措施。本规范针对IDC中存在的各种网络和系统层面的安全问题和IDC业务特点，提出了分类提供强制性安全基础服务能力和增值性、差异化安全服务

5、能力的IDC安全防护技术要求，作为中国移动IDC网络安全防护部署的依据，以保证为IDC用户提供具有高性能、高带宽、高服务质量、高安全性的主机托管及其增值业务。本规范不对不良、非法、低俗内容安全等方面的监测手段及网站备案部署模式进行论述，请各IDC运营单位按照集团公司下发的信息安全责任矩阵要求，予以高度重视，加强内容安全管理。本标准由中国移动通信有限公司网络部提出并归口。本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团设计院有限公司。本标准主要起草人：刘佳，杜雪涛，曹一生，周智，徐海东，袁捷，朱文涛，张高山。感谢华为技术有限公

6、司、绿盟科技、Macfee、中兴通讯股份有限公司、诺基亚西门子公司，亿阳安全技术有限公司的大力支持。35IDC安全防护技术要求1适用范围本规范作为中国移动通信有限公司、各省公司在IDC设计、建设、系统部署、运营维护等工作中开展安全防护的依据。2引用标准与依据2.1相关法规和政策[1]《关于加强信息安全保障工作的意见》（中办、国办[2003]27号文）[2]公安部、保密局、机要局、国务院信息办联合下发的《关于信息安全等级保护工作的实施意见》（公通字[2004]66号文）[3]四部门联合下发关于印发《信息安全等级保护管理办法》的通知（公通字

7、[2007]43号文）[4]《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）[5]国务院信息办信息安全风险评估课题组编制的《信息安全风险评估研究报告》[6]国家关于绿色上网等在内的其它要求[7]原邮电部、信息产业部制定的IDC服务的相关要求[8]最高人民法院、最高人民检察院，《关于办理利用互联网、移动通讯终端、声讯台制作、复制、出版、贩卖、传播淫秽电子信息刑事案件具体应用法律若干问题的解释(二)》2.2国家标准及行业标准[1]《计算机信息系统安全保护等级划分准则》（GB17859）[2]公安部等级保护

8、基本要求系列标准，包括：《信息系统安全等级保护测评准则》、《信息系统安全等级保护实施指南》、《信息系统安全等级保护基本要求》等[3]公安部等级保护技术要求系列标准（GA/T387-2002至GA/T391-