四川联通规划、可研、设计、验收的网络与信息安全“三同步”范本手册.doc

规划、可研、设计、验收的网络与信息安全“三同步”范本手册中国联合网络通信有限公司四川省分公司2014年 3月目录第一部分 总体要求6第二部分 基本知识7第三部分 规划、可研、设计三同步范本8一.IP网工程规划、可研、设计三同步范本81.1 设计依据81.2现状91.3建设方案91.4工作量91.5施工技术要求91.6预算13二.固定通信网工程规划、可研、设计三同步范本141.1 设计依据141.2现状151.3建设方案151.4工作量151.5施工技术要求151.6预算19三.移动通信网工程规划、可研、设计三同步范本201.1设计依据201.2现状211.3建设方案211.4工作量211.5施工技术要求211.6预算26四.传送网工程规划、可研、设计三同步范本271.1设计依据271.2现状271.3建设方案281.4工作量281.5施工技术要求281.6预算32五.同步网工程规划、可研、设计三同步范本331.1设计依据331.2现状331.3建设方案341.4工作量341.5施工技术要求341.6预算38六.信令网工程规划、可研、设计三同步范本391.1设计依据391.2现状391.3建设方案401.4工作量401.5施工技术要求401.6预算44七.接入网工程规划、可研、设计三同步范本451.1设计依据451.2现状461.3建设方案461.4工作量461.5施工技术要求461.6预算48八.IDC及云计算工程规划、可研、设计三同步范本491.1设计依据491.2现状501.3建设方案501.4工作量501.5施工技术要求501.6预算51九.支撑网工程规划、可研、设计三同步范本521.1设计依据521.2现状531.3建设方案531.4工作量531.5施工技术要求531.6预算57十.增值业务网工程规划、可研、设计三同步范本581.1设计依据581.2现状591.3建设方案591.4工作量591.5施工技术要求591.6预算63十一.网上营业厅工程规划、可研、设计三同步范本641.1设计依据641.2现状651.3建设方案651.4工作量651.5施工技术要求651.6预算70十二.域名系统工程规划、可研、设计三同步范本711.1设计依据711.2现状711.3建设方案721.4工作量721.5施工技术要求721.6预算74十三.非核心生产单元工程规划、可研、设计三同步范本751.1设计依据751.2现状751.3建设方案761.4工作量761.5施工技术要求761.6预算79第四部分 工程验收三同步范本80附录 网络安全规范标准81规划、可研、设计、验收的网络与信息安全“三同步”范本手册第一部分 总体要求一、为了贯彻落实全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日）、中华人民共和国电信条例（国务院令291号）、互联网信息服务管理办法（国务院令292号）、工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）、通信网络安全防护管理办法（第11 号令）、工信部和国资委关于开展基础电信企业网络与信息安全责任考核有关工作的指导意见（工信部联保2012551号）等文件精神，加强通信网络与信息安全管理，提高通信网络与信息安全防护能力，保障通信网络与信息安全畅通，四川联通省分各建设部门、市分各建设部门、设计单位、监理单位、施工单位应认真落实工信部网络与安全防护“三同步”的各项要求。二、各建设部门、设计单位、施工单位、监理单位应认真落实工信部11号令，在规划、可研、设计文本中明确网络与信息安全防护“三同步”的各项要求。每项工程验收时，应同步做好网络与信息安全的验收，验收文件中应有网络与信息安全的验收结论。 三、在四川联通、四川省通信管理局或工信部的网络与信息安全检查中，每发生一项工程出现“三同步”不合格的，将对各建设部门予以处罚，并取消相关设计单位、监理单位、施工单位后续入围资格，并对相关设计单位、监理单位、施工单位处以当年所有工程服务费总额的罚款。第二部分 基本知识一、基本概念网络安全“三同步”是指“同步规划、同步建设、同步运营”，将通信网络安全防护融入到规划、可研、设计、建设、验收、备案变更、维护评估、整改加固、退网的全过程，实现网络安全防护工作规范化、流程化、常态化。信息安全“三同步”是指网络、系统、平台的规划设计、建设、升级、改造等环节应当做到与国家安全和电信网络信息安全的要求同步规划设计，同步建设，同步运行。无覆盖不全、漏控等问题。做到与主体工程同时进行验收和投入运行，且有相应资金保障。企业在网络设备选型、采购和使用时，应遵守电信设备进网要求，满足信息安全管理需要，对存在技术问题、标准问题、法律问题的业务平台、网络配套的信息安全技术管理系统，应及时报告省通信管理局，在同步建设实施时按照工信部、省通信管理局文件要求执行。网络安全防护规划，包含整体规划和分项规划两部分。其中，整体规划是指全网统一规划安全域隔离、边界控制、系统漏洞扫描、基线检查、入侵检测等公共安全系统的建设；分项规划是指移动网、数据网、传送网、接入网、增值业务平台、IT系统等网络规划时应充分遵循网络安全整体规划的安全域隔离、边界访问控制等要求，也要遵循工信部下发的网络单元安全防护技术系列规范和风险评估要求。二、工信部“三同步”考核内容网络安全防护“三同步”考核内容：新建、改建、扩建通信网络工程项目时，应在可研、设计文本中明确安全域隔离、边界访问控制等要求，明确工信部下发的所属网络单元安全防护技术规范和风险评估要求，明确所属网络单元安全验收标准，并在项目中有资金保障。信息安全“三同步：考核内容：对本企业新产品立项、产品开发和业务上线（包括合作开办）的各环节实施信息安全评估，同步配套建设信息安全保障措施和技术手段。要求系统与网络发展同步配套，无覆盖不全、漏控等问题。第三部分 规划、可研、设计三同步范本一. IP网工程规划、可研、设计三同步范本1.1 设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部IP承载网安全防护要求YD/T1746-2013*工业和信息化部IP承载网安全防护检测要求YD/T1747-20131.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用网络与信息安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3 IP网安全防护技术要求1.5.3.1业务及应用安全要求1) 业务提供、控制与管理过程应保护用户隐私，不泄漏用户相关敏感信息。2) 业务控制与管理应提供并启用身份鉴别、标识唯一性检查、鉴别信息复杂度检查及登录失败处理功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用，并根据安全策略对登录失败可采取结束会话、限制非法登录次数和自动退出等措施。3) 业务控制与管理应严格限制默认账号的权限，各账号应依据最小授权原则授予为完成各自承担任务所需的权限，按安全策略要求控制对文件、数据库表等内容的访问。4) 系统访问控制策略应由授权主体配置。5) 业务控制与管理应提供覆盖到每个账号的安全审计功能，应保证无法删除、修改或覆盖审计记录。6) 业务相关审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。7) 对业务管理和控制应符合国家、企业的相关规定及要求。8) 应能根据需要对业务及应用相关通信过程中的全部报文或整个会话过程提供必要的保护（如进行通信数据加密) ，并提供业务及应用相关访问、通信等数据的防抵赖功能。9) 应能够对业务及应用服务水平进行检测，具有当服务水平降低到预先规定的阀值时进行告警的功能。1.5.3.2业务及应用系统安全要求1) 应绘制与当前运行情况相符的系统拓扑结构图。2) 应根据应用和服务的特点，在满足高峰期流量需求的基础上，合理设计带宽。3) 应根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，设备依照功能划分及其重要性等因素分区部署。4) 应在系统边界部署访问控制设备，启用访问控制功能，应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力。5) 应对系统管理用户进行有效的身份标识和鉴别，并确保用户标识(用户名)具有唯一性和不易被冒用的特点，相关用户口令长度应不小于8字节，口令应有复杂度要求(使用大写字母、小写字母、数字、标点及特殊字符4种字符中至少3种的组合，且与用户名或ID无相关性)并定期更换(更新周期不大于90天)。6) 应按系统管理用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户。7) 应对系统中的重要设备运行状况、网络流量监测信息、系统管理及维护等进行日志记录，并且保留一定期限(至少180天)。8) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。9) 应在系统边界处对发生的端口扫描、强力攻击、木马后门攻击、DoS/DDoS攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等攻击和入侵事件提供有效的抵御和防范能力。10) 互联网数据中心业务内部网络应能提供有效的安全防护技术手段(如防火墙、入侵检测、漏洞扫描)。11) 系统年宕机时间不超过8.76h. 可靠性应达到99.9% 以上。1.5.3.3设备安全要求1) 应对构建相关业务及应用系统内部网络结构的数据网络设备，如各类路由器、交换机等，进行必要的安全检测。2) 业务及应用系统相关设备的安全应满足相应设备技术规范、设备安全要求等行业标准的有关规定(如，宽带网络接入服务器安全要求见YD/T 1658-2007 、网络接入服务器设备安全要求见YD/T 1045-2000 、WAP网关设备安全要求见YD/T 1392-2005)。3) 应对登录设备的用户进行有效的身份标识和鉴别，确保用户名具有唯一性，应为不同用户分配不同的权限，相关用户口令长度应不小于8字节，口令应有一定的复杂度，井定期更换。4) 业务及应用系统相关设备应符合设备入网管理相关要求的规定，应符合网络和业务运营商相关设备的要求。1.5.3.4物理环境安全要求1) 应满足YD/T 1754-2008中第2级要求。2) 互联网相关业务及应用系统所处机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于750kg/m2。3) 互联网相关业务及应用系统所处机房机架/机拒应以交替模式排列布局。4) 互联网相关业务及应用系统所处机房应具备防虫防鼠等相关措施，以有效防范鼠虫蚁害。1.5.3.5互联网灾难备份及恢复要求1) 根据YD/T 1731 -2008第5.1节要求，灾难备份及恢复定级应与安全等级保护确定的安全等级一致。2) 业务及应用系统相关设备的处理能力应具备一定的冗余，应满足业务高峰期需要。3) 关键设备的重要部件应采用冗余的方式提供保护。4) 应建立对业务及应用关键数据和重要信息进行备份和恢复的管理和控制机制。5) 相关业务及应用的关键数据(如业务数据、计费数据、系统配置数据、管理员操作维护记录、用户信息等应有必要的容灾备份。6) 相关业务及应用的数据备份范围和时间间隔、数据恢复能力应满足行业管理、网络和业务运营商应急预案相关要求。7) 重要设备、线路应采用热备份的保护方式进行保护。8) 系统应有必要的流量负荷分担设计。9) 系统应具备较好的灾难各份和业务恢复的能力，提供重要服务的业务及应用系统应进行系统级备份，以保证其业务连续性。10) 应建立对业务及应用全部数据、信息进行备份和恢复的管理和控制机制。11) 系统重要的业务及应用相关数据应进行异址备份。12) 系统应提供数据自动保护功能，当发生故障后应保证系统能够恢复到故障前的业务状态。1.5.4 IP网日志留存要求1）上网日志留存内容 应当记录上网用户的上网时间、用户帐号、主叫电话号码等信息。2）日志留存时间应记录用户业务相关日志(如用户接入时间和时长、用户账号、主叫号码等) ,并且保留一定期限至少60天)1.6预算*同步新增防火墙的预算*新增设备同步纳入防火墙管理的施工预算*新增设备同步纳入网管监控的施工预算*新增设备流量监控的预算*IP网安全的其它预算 二. 固定通信网工程规划、可研、设计三同步范本（固定通信业务包括：固定通信网本地电话业务、固定通信网国内长途电话业务、固定通信网国际长途电话业务、消息类业务、多媒体业务等。）1.1 设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部固定通信网安全防护要求YD/T1732-2008*工业和信息化部固定通信网安全防护检测要求YD/T1733-20081.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用网络与安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3固定通信网安全防护技术要求1.5.3.1业务安全（1）业务提供安全a） 交换网应具有足够的业务处理能力，应能够满足业务提供的需要，不应因为过负荷或者突发业务量而影响网络安全；b） 交换网应采取一定的安全措施，即使在网络拥塞时也能对特定的通信（如维护操作呼叫）予以优先保证；c） 交换网的业务提供不应因后台计费系统的毁坏而中断；d） 交换设备应具有高可靠性和高稳定性，所提供的业务应尽可能不因系统引入其他新业务、系统补丁加载而中断。 （2）业务数据安全a） 交换网应对重要数据（系统配置数据、用户数据、计费数据等）进行备份，需要时能够对数据进行恢复；b） 交换网应对用于操作维护的系统密码等重要数据在数据库中应进行加密处理、而不是明文显示，并对访问权限进行限制；c） 详细计费话单应在交换网中的存储时间和存储方式应满足相关要求，例如存储时间应不少于24小时，未被采集前应不被删除；d） 重要数据（如计费数据）所占存储空间达到阈值时，系统应能产生相应的告警信息；e） 交换网应能够保证对业务进行本地和远程操作维护的安全性，对操作维护人员帐户权限分级管理，及时删除临时帐户权限，对操作维护人员身份进行认证，记录操作维护人员对业务所进行的任何操作，操作维护信息保存时间应符合相关要求，需要时应能够对操作维护信息进行查询。1.5.3.2网络安全（1）PSTN网络安全a） PSTN端局到同一长途局应具备双路由；b） 网络设备关键部件必应采用主备热备份的结构；c） PSTN中的设备应该是网络和业务运营商可控和可管理的，应确保合法且通过认证的设备（网元和管理终端）才能够进入PSTN网络；d） PSTN中当交换机与操作维护接口未采用专线方式、而是采用TCP/IP传输时，应提供必要的安全机制，如对传输的数据采用IPSec等安全技术进行进一步的安全处理；e） PSTN汇接局应采用双局设置，端局到汇接局应具备双归属能力；f） PSTN长途交换局应采用双局配置，并且应放在不同的机房中。（2）软交换网络安全a） 软交换网络的网络配置（如节点和链路的数量、位置或负荷分担分配比例等）应合理，不应因网络配置不合理而导致网络全部或者局部瘫痪；b） 软交换网与互联网间的边界关口应具有一定的安全防护能力（例如防火墙配置，常用端口屏蔽）；c） 软交换网络应对传送的管理信息进行保护，防止信息被非法或恶意地窃听、篡改；d） 软交换网络应保证会话建立过程中的信令流的通信安全；e） 软交换网络应保证媒体流传输过程中的保密性、完整性；f） 软交换网络中的设备应是运营商可控和可管理的，应确保合法且通过认证的设备（网元和管理终端）才能够进入软交换网络；g） 网络或设备发生故障或故障消失时应能及时产生告警信息并发送至网元管理系统；h） 软交换网络中的软交换设备应采用多节点工作的方式，一个节点的损害不影响业务提供，并且应能够对拥塞进行话务控制；i） 软交换网络的关键设备应进行冗余备份设计，主处理板、电源和通讯板等设备的主要部件均应支持热冗余备份；j） 针对软交换网络传输的媒体流保护措施应考虑电信监管需求和对媒体流服务质量的影响；k） 软交换网络应采取安全对策（如防病毒软件、系统加固、网络隔离、防火墙、访问控制等）有效地防止非法用户利用各种手段对网络发起攻击而导致网络及设备无法正常工作或瘫痪；l） 软交换网络应部署基于主机和基于网络的入侵检测系统，并应及时处理入侵检测系统的报警；m） 应对软交换网络中关键的主机系统和网络定期进行安全检查（例如使用安全扫描软件），以检查出网络弱点和策略配置上的问题。1.5.3.3设备安全PSTN网络主要包括交换机设备，软交换网络由软交换设备、媒体网关、信令网关、媒体服务器、应用服务器、软交换业务接入控制设备、接入网关等设备组成；设备安全应满足设备技术规范、设备入网管理相关要求。1.5.4固定通信网灾难备份及恢复要求固定通信网中交换网的灾难恢复应根据灾难的情况，首先保证应急通信、重要通信，然后恢复一般的通信。（1）冗余系统、冗余设备及冗余链路a） 单节点的灾难不应导致其他节点的业务提供发生异常；单一地区范围的灾难不应导致其他地区的业务提供发生异常；b） 网络灾难恢复时间应满足行业管理、网络和业务运营商应急预案的相关要求；c） PSTN汇接局应采用双局设置；d） PSTN长途交换局应采用双局配置、应放在不同的物理位置进行容灾。（2）冗余路由a） 路由应支持冗余方式，如PSTN端局到同一长途局应配备双路由；b） 应有流量负荷分担设计。（3）备份数据a） 关键数据（如计费数据、用户数据、网络配置数据、管理员操作维护记录）应有本地数据备份；b） 关键数据的备份范围和时间间隔、采取的备份方式、数据恢复能力应符合相关要求；c） 关键数据（如计费数据、网络配置数据）应在不同的局址进行备份。1.5.4 固网日志留存要求1）日志留存内容应当记录并妥善保存用户使用电信网络的有关信息 2）日志留存时间 业务留存信息应当至少保存60日。1.6预算*同步新增防火墙的预算*新增设备同步纳入防火墙管理的施工预算*新增设备同步纳入网管监控的施工预算*新增设备话务监控的预算*固定通信网安全的其它预算三. 移动通信网工程规划、可研、设计三同步范本（移动通信网含传统移动通信网及LTE核心网等。）1.1设计依据（1）建设单位关于XX的设计编制委托。（2）XX下发关于XXX的通知要求。（3）中国联通XX技术规范v1.0。请在常规设计依据之后增加通用安全防护规范：*全国人民代表大会常务委员会关于加强网络信息保护的决定（2012年12月28日颁布）*中华人民共和国电信条例（国务院令291号）*互联网信息服务管理办法（国务院令292号）*工业和信息化部基础电信企业信息安全责任管理办法（试行）（工信部保2009713号）*工业和信息化部移动上网日志留存规范（试行）（工信部保2010548号）*工业和信息化部通信网络安全防护管理办法（第11号令）*工业和信息化部电信网和互联网安全防护管理指南YD/T1728-2008*工业和信息化部电信网和互联网安全等级保护实施指南YD/T1729-2008*工业和信息化部电信网和互联网安全风险评估实施指南YD/T1730-2008*工业和信息化部电信网和互联网灾难备份机恢复实施指南YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护要求YD/T1731-2008*工业和信息化部电信网和互联网物理环境安全等级保护检测要求YD/T1755-2008*工业和信息化部电信网和互联网管理安全等级保护要求YD/T1756-2008*工业和信息化部电信网和互联网管理安全等级保护检测要求YD/T1757-2008*工业和信息化部通用机房安全管理总体要求YD/T2057-2009*工业和信息化部互联网安全防护要求YD/T1736-2009*工业和信息化部互联网安全检测要求YD/T1737-2009请在通用安全防护规范之后增加专业安全防护防范：*工业和信息化部移动通信网安全防护要求YD/T1734-2009*工业和信息化部移动通信网安全防护检测要求YD/T1735-2009*工业和信息化部移动网管安全技术要求YD/T2021-20091.2现状1.2.1 本期工程的网络安全现状1.3建设方案1.3.1 本期工程的网络安全建设方案1.4工作量1.4.1 本期工程的网络安全工作量1.5施工技术要求请在常规设计技术要求之后增加通用安全防护技术要求：1.5.1安全域划分 本工程应对系统进行子网划分，不同子网归属于相应的安全域。安全域划分的原则为：1) 结构合理原则 根据系统在业务中承载的类型以及系统中设备所承担的工作角色，进行安全域划分，安全域的个数不应过多，各个安全域之间路由或者交换跳数不宜过多。2) 投资保护原则安全域划分应遵从统一的规范要求，充分利用安全域间的防护设备。3) 可操作性原则安全域划分遵循可操作性原则，不对原有系统整体结构进行彻底颠覆。4) 生命周期原则安全域的划分还要考虑到由于需求、环境不断变化带来的影响。1.5.2边界防护要求 安全域边界防护的总体要求是在支撑业务不断发展的前提下，通过安全域边界防护形成清晰、简洁的网络布局和系统架构，将安全风险和隐患降低到一个可以接受的水平，实现相关网络与系统之间严格访问控制的安全互连。1）集中防护防火墙、入侵检测、异常流量检测和过滤等基础安全技术防护手段以安全域划分为基础，进行集中部署，对多个安全域或子域提供集中防护。 2）分等级防护根据不同安全等级防护的要求，对系统所在的边界部署符合其防护等级的安全技术手段。3）分层防护通过安全域的划分，从外部网络到子域之间存在多层安全防护边界，分层防护就是在每层防护边界上部署侧重点不同的安全技术手段和安全策略来实现对关键设备或系统的高等级防护。1.5.3 移动通信网安全防护技术要求1.5.3.1 移动通信网安全等级保护要求1、业务安全要求a) 在业务开始时对用户进行认证，防止未授权用户获得业务接入。b) 在网络发生拥塞或设备发生单点故障时，应保证业务的连续性。c) 应能够纪录操作维护人员对网络进行的操作，对发布、修改、删除等操作行为进行记录，并且可以按时间、操作方式和操作人员来查询。2、网络安全要求a) 网络设备处理能力应具备冗余空间，满足流量高负荷时需求，不能由于设备配置不够而导致网络全部或者局部瘫痪。b) 网络拓扑设计合理，应绘制与当前运行情况相符合的网络拓扑图。c) GMSC 或GMSC Server 应当采用1+1 方式配置，并通过负荷分担方式来保证业务安全，避免单GMSC或GMSC Server 瘫痪时导致业务全阻。d) TMSC 或TMSCServer 应当采用1+1 方式配置，并通过负荷分担方式来保证业务安全，避免单一TMSC或TMSCServer瘫痪时导致业务全阻。e) MSC 或MSC Server 至关口局和汇接局之间应当具备双路由或多路由。f) HLR （归属位置寄存器）应当采用1+1 或N+l 备份，具有负荷分担的能力。g) GGSN 要求采用负荷分担的工作方式，或者采用N+l 备份的工作方式。h）DNS 和CG 设备应当采用1+1 备份的工作方式，具有负荷分担的能力。i) 网络域至无线接入系统应当采用物理上的多路由方式配各，在不同的传输设备和传输线路上相互保护，确保传输路径的安全，避免单一传输通道阻断时导致业务全阻。j) HSS 的设置应采用N+l或1+1 的配置方式，支持对HSS上保存的用户信息相关的数据备份，发生故障时能够实现自动倒换或进行系统再配置。k) S/I-CSCF应当采用N+l方式配置，并通过负荷分担方式来保证业务安全，避免单一SII-CSCF瘫痪时导致业务全阻。l) 应支持应用服务器的N+l方式冗余备份配置，在主用应用服务器出现故障的情况下控制S-CSCF和备用应用服务器交互。3、接入GSM 网络安全a) 对接入的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入网络。b) 应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMS1 。c)应在MS和BTS之间提供数据的加密机制，保证数据在无线链路上的传输安全(在国家未对算法作出具体规定之前，对此功能不做要求)。4、接入GPRS 网络安全a) 对接入的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入网络。b) 应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMSI。c) 应在MS和SGSN之间提供用户数据的加密机制，保证用户数据在链路上的传输安全(在国家未对算法作出具体规定之前，对此功能不做要求。5、接入WCDMA/TD-SCDMA 网络安全a) 支持双向鉴权认证功能。对接入的用户身份发起鉴权认证，验证用户身份的合法性，保证授权用户能够接入网络。用户对接入的网络发起鉴权认证，验证网络的合法性，保证用户能够接入合法网络。b) 应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMSI。c) 应支持用户和网络之间的密钥协商机制。d) 应在MS和RNC之间提供数据的加密机制，保证数据在链路上的传输安全(在国家未对算法作出具体规定之前，对此功能不做要求)。e) 应该支持对层三RRC消息的完整性保护，用于维护信令的完整性。6、接入IMS网络安全a) 提供用户和IMS 网络之间的双向认证。HSS负责产生密钥和挑战，委托S-CSCF执行用户认证的操作。认证基于由IP多媒体服务身份模块(ISIM)和HSS共享的密钥和算法。b) UE与P-CSCF之间的SIP信令消息使用IPSecESP提供机密性和完整性保护.c)应提供用户身份的保密措施。在用户初次接入网络的时候IMSI才被发送，仅在无线信道上发送移动用户相应的TMSI。7、网络域安全（1）GPRS/WCDMA/TD-SCDMA 网络域安全a) 在分组域与外部IP网络之间应设置防火墙进行隔离，禁止外部网络对内部网络的配置操作，并严格管理内部网络数据。b) 不同分组域之间互连时应在BG处设置防火墙进行隔离。(2) IMS 网路域安全a) 通过选择网络隐藏机制提供对其他运营商隐藏网络拓扑的能力，包括隐藏S-CSCF 的数量、S-CSCF的能力以及网络能力，归属网络中的所有I-CSCF 将共享一个加密和解密密钥。b) 不同网络之间的CSCF 网络实体之间采用IPSec 机制，提供消息机密性、完整性保护安全。c) 与外部E 网络之间应设置防火墙进行隔离，禁止外部网络对内部网络的配置操作，并严格管理内部网络数据。d) 在两个运营商域间进行互连的IBCF处应设置防火墙进行隔离。8、设备安全要求GSM/GPRS/WCDMA/TD-SCDMA网设备安全应满足设备技术规范、设备入网管理相关要求。9、物理环境安全要求（1）机房、办公场地物理环境安全除满足电信网和互联网物理环境安全等级保护要求中第2级的安全要求外，还需满足：a) 机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于750kg/m2 ;b) 机房应具各防虫防鼠等相关措施，以有效防范鼠虫蚁害。（2）