YDT 1746-2013 IP承载网安全防护要求

6IP承载网安全防护要求

a）IP承载网的网络结构与组织应符合YD/T1170的要求。 b）IP承载网节点部署及传输层路由的规划合理，具有较高的可用性和可扩展性。 c）IP承载网节点域内接口应使用内部路由协议（如OSPF、ISIS等）：域间接口应使用外部路 议（如BGP等）。

d）IP承载网的地址应统一规划和分配，体现网络层次性和有利于路由的组织，并应保留一定的备 用地址，满足业务发展的需求。

6.2.1.2网络保护与恢复

b）IP承载网重要节点（如核心节点、汇接节点等）间链路应采取链路穴余保护措施（如链路1+1保 护等），以保证网络具有抗灾以及灾难恢复能力。 c）IP承载网应根据业务或应用的需求采用链路聚合、转发检测、保护倒换和重路由等安全保护措 施。 d）IP城域网络间应通过骨干网络或城域汇接节点实现互联。 e）IP承裁网相关关键数据（如业务数据、配置数据、性能数据和告警数据等）应有本地数据备份， 并按介质特性对备份数据进行定期的有效性验证（至少每季度一次）。 f）IP承载网的灾难恢复应根据灾难的情况，首先保证应急通信、重要应用和业务网络的通信精装修标准规范范本，然 后恢复一般应用和业务网络的通信。 g）IP承载网网络灾难备份和恢复时间应满足行业管理、网络和业务运营商应急预案的要求

6.2.1.3网络管理

a）IP承载网应根据网络结构形式采用分域的管理方式，并根据实际需求或运维体制设置分级权 限，实现对网络的灵活管理。 b）IP承载网业务网络与运维、管理、监测等辅助系统（或平台）间应实现逻辑隔离，并启用安全 域访间控制策略，严格限制对有关设备的访问。 c）IP承载网网络管理应采用安全的管理、控制信息的分发和过滤机制，网络管理会话信息应通过 加密方式传送。 d）网络设备应设置专用管理接口，对于目的地址为设备管理接口的非管理报文、目的地址为设备 微据业务接口的报文应进行严格过滤和限制。 e）IP承载网网络管理应使用用户安全鉴别和认证措施，应符合YD/T1478的要求。 f）IP承载网应有与当前网络节点、链路等资源配置和运营情况相符合的网络拓扑图（或记录完整 拓扑信息的运维文档）

6.2.1.4网络安全防范

a）IP承载网应具有抵御常见网络攻击、 差错防范和处理的设计，在边界部署和启用攻街、入俊防 范技术手段，防范针对网络设备和IT系统的常见攻击及入侵（如端口扫描、木马后门、DoS/DDoS攻击、 冲区溢出攻击、IP碎片攻击和网络端虫等）。 b）IP承载网相关系统、设备对各类管理和维护用户应启用登录失败保护和处理措施。 c）在数据转发平面，IP城域网核心层、汇聚层和接入层都应启用源地址认证策略，以有效防止网 内地址仿目。对于IP城域网接入层，网络和业务运营商可对相关设备和区域网络业务状况进行必要的评 估，在不严重影响有关设备运行和网络业务稳定的前提下启用源地址认证功能。暂不具备实施条件的 应制定明确的改造计划，并按要求及早完成有关设备的更新、升级工作。 d）IP承载网应采用有效的QoS和流量管理策略，应保证管理和控制信息具有较高的优先级，应对 网内广播、组插类数据流量进行必要的限制和管理

e）网络设备的软件应具备实时操作、信息处理、更新升级、差错防护和故障定位等功能。 f）IP承载网建立具有介质存取、验证和转储制度，确保备份数据授权访问。 g）与IP承载网及其业务相关联的运维、管理、监测等系统的应用应当限制和禁用可能造成漏洞的 服务和端口，应在系统边界启用必要的防攻击、防入侵措施（如安装和使用防火墙、入侵检测等安全设 备等），系统相关软件应及时安装补丁，定期检查更新，及时消除可能的隐患。 h）IP承载网和相关系统内部署的安全设备在发生攻击或入侵时，应能及时准确的提供攻击或入侵 的报警、监测信息。 i）各类设备及系统应启用完整的安全日志功能，并实现日志的管理和安全审计，日志记录保存时 间不少于90天、审计记录保存时间不少于180天。日志应包含访问、配置、状态、统计和告警等安全相 关事件的来源、时间和描述等信息内容。

6.2.2设备安全要求

IP承载网相关数据网络设备主要包括各类路由器、交换机设备等，相关设备应满足： a）网络设备的安全应满足相关设备技术规范、设备安全要求以及设备入网管理相关要求的规定 （如以太网交换机的安全应满足YD/T1099、YD/T1627等相关标准的安全要求；具有路由功能的以太 网交换机的安全应满足YD/T1255、YD/T1629等相关标准的安全要求；具有内容交换功能的以太网交 换机的安全应满足YD/T1691等相关标准的安全要求；低端路由器或边缘路由器的安全应相应满足YD/T 1096、YD/T1358、YD/T1452等相关标准的安全要求；高端路由器或核心路由器的安全应相应满足 YD/T1097、YD/T1359、YD/T1454等相关标准的安全要求等）。 b）现网使用的网络设备应进行覆盖用户安全标识和认证、数据保护、设备容错、访问控制、安全 日志与审计、资源调度和安全管理等方面内容的安全检测，出具安全测试及验收报告并妥善保存。 c）对登录设备的管理用户应进行有效的身份标识和鉴别，确保用户标识具有唯一性，应为不同用 户分配不同的权限。相关用户的口令长度应不小于8字节，口令应有一定的复杂度，并定期更换（账号的 口今更新周期不大于90天）

6.2.2.2通用主机设备安全要求

P承载网相关通用主机设备主要包括各类通用服务器、工作站、终端和数据库等，相关设备应满足： a）现网使用的通用主机设备应进行覆盖用户安全标识和认证、数据保护、设备容错、访问控制、 安全日志与审计、资源调度和安全管理等方面内容的安全检测，出具安全测试及验收报告并妥善保存。 b）对设备操作系统和相关应用的用户应进行有效的身份标识，为有关用户分配不同的标识（或账 号、用户名等），并确保标识具有唯一性且不易被冒用。相关用户的口令长度应不小于8字节，口令应有 复杂度要求（使用大写字母、小写字母、数字、标点及特殊字符四种字符中至少三种的组合，且与用户 名或ID无相关性）并定期更换（账号的口令更新周期不大于90天）。 c）当对各类主机进行远程管理时，应采取安全加密保护措施，防止鉴权信息在传输过程中被窃 听。 d）依据统一的安全策略，启用访问控制功能，对各类用户的访问进行管理，应及时删除多余的、 过期的账户，禁用共享账户。 e）应实现操作系统和各类应用的特权用户的权限分离，应限制或禁止默认账户的访问权限。

f）应通过设定终端接入方式、网络地址范围等条件限制终端登录，应根据安全策略设置登录终端 的操作超时锁定。 g）审计范围应覆盖到主机/服务器上的每个操作系统用户和应用用户。审计内容应包括用户重要行 为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件，审计记录应包括事件的 日期、时间、类型、主体标识、客体标识和结果等。 h）应保护审计记录，避免其受到未预期的翻除、修改或覆盖等。 i）通用主机设备操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过安全的 方式（如设置升级服务器）保证系统及时得到更新（至少每两周一次）。 J）通用主机设备应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库（至少每 两周一次）。

6.23物理环境安全要求

a）应满足YD/T1754中第2级的相关要求 b）IP承载网相关设备所处机房应具备防

6.2.4管理安全要求

a）应满足YD/T1756中第2级的相关要求。 b）IP承载网及其所属各类设备、系统应按照YD/T1730的相关要求定期进行安全风险评估（至少每 两年一次），风险评估范围应与IP承载网安全防护范围一致。 c）IP承载网安全风险评估至少应覆盖网络安全、设备安全、物理环境安全等相关技术风险和人员 安全、运维安全等相关管理风险，至少包含IP承载网相关资产、脆弱性、威胁、安全措施、风险分析等 要素和内容，并根据评估结果制定相应的风险处理计划。 d）IP承载网运维应设有相应的管理责任人。 e）IP承载网应按照YD/T1731的相关要求制定灾难恢复预案，并定期组织灾难恢复预案的教育培 训（至少每半年一次）和演练（至少每年一次）

除满足第2级的要求之外，还应满足： a）IP承载网络结构根据网络的运营、管理或区域等因素在逻辑上合理的实现分层和分级，IP承载 网自治域划分应与网络结构和组织形式保持一致。 b）IP承载网核心节点间应采用全网状连接。 c）IP骨干网节点分布应能满足周边网络接入的需求，节点功能应能满足网络可扩展的需求。 d）IP城域网汇聚层节点组织和分布应能满足业务接入和汇聚的需求。

6.3.12网络保护与恢复

除满足第2级的要求之外，还应满足： a）IP承载网重要节点（如核心节点、汇接节点等）应采用节点亢余的保护措施，保证网络具有较 高的抗灾以及灾难恢复能力。 b）IP承载网重要节点（如核心节点、汇接节点等）间应至少保有两条不同物理路径的连接。

c）IP城域网应具有双出口。 d）IP城域网汇聚层节点应配置为双上行链路穴余保护，汇聚层节点间应设计并采用穴余链路。 e）IP承载网应根据业务或应用的需求采用业务负荷分担、网络异常流量监控等安全保护措施。 f）IP承载网相关关键数据（如配置数据、重要告警数据等）应有异址数据备份。

6.3.1.3网络管理

除满足第2级的要求之外，还应满足： a）IP承载网的网络管理应启用访问和资源控制的安全措施，遵循最小特权原则对接口使用、访问 和资源等进行限制。 b）P承载网络管理原则上应具有对业务相关数据进行检测、统计、控制和过滤的功能。 c）IP承载网络管理应能对节点、链路和各类资源的预警、告警、故障进行及时有效的定位，相关 各类预警阀值设置合理。 d）IP承载网络管理使用的SNMP原则应支持SNMPv3并支持VACM和USM安全机制，对于远程登 击应支持SSH以及相关加密和认证算法，对于浏览器管理方式应支持SSL/TLS安全协议，设备支持的 SNMP、SSH服务等应能在必要情况下关闭和禁用

6.3.1.4网络安全防范

除满足第2级的要求之外，还应满足： a）在控制平面，网络和设备应根据实际情况对相关控制信息进行有效合理的加密、认证和过滤； 对于目的地址为设备本身的数据分组，应具有有效的攻击识别和防范能力；对于异常数据流量具有识别 和处理能力。 b）网络应采用灵活、有效的服务质量和流量控制（如IPQoS、MPLSQoS、流量映射、RSVP、码 点标记、流量限速、队列调度和QPPB等）技术策略，符合端到端业务的需求。 c）安全日志及审计记录（或报告）应通过安全机制在本地或外部设备上进行记录、输出、存储 日志记录保存时间不少于6个月、审计记录保存时间不少于12个月。 d）应按介质特性对IP承载网的备份数据进行定期的有效性验证（至少每月一次）。

6.3.2设备安全要求

除满足第2级的要求之外，还应满足： a）应根据最小权限分配原则，按设备相关各类管理、操作用户的角色分配权限，实现管理账号与 操作和维护账号的权限分离。 b）通用设备操作系统和相关应用的账号口令更新周期不天于60天。 c）重要的服务器、数据库等主机应使用安全性较高的身份鉴别措施（如数字证书）对用户进行身 份鉴别。 d）应对重要信息资源设置敏感标记，应依据安全策略严格控制有关用户对有敏感标记重要信息资 源的操作。

e）应对重要主机进行入侵行为的监测，能够记录入侵的源IP、攻击的类型、攻击的目的地址、攻 击的时间，并在发生严重入侵事件时提供报警。 f）应对重要主机的重要程序（或应用软件）的完整性进行监测，并能其完整性受到破坏后采取有 效的安全两离和恢复措施。 g）应定期检查并及时安装操作系统补丁，应定期检查和更新防恶意代码软件相关恶意代码库（更 新频次不少于每周一次）。

6.3.3物理环境安全要求

a）应满足第2级、YD/T1754中第3.1级的相关要求 b）IP承载网相关设备所处机房整体抗震能力应不低于里氏7级，相关楼层承重能力不低于 750kg/m2 c）IP承载网相关通用主机设备所处机房机架/机柜应以交替模式排列布局（即相邻列的机架或机柜 期向以相向/相背的设置布局交替排列）

6.3.4管理安全要求

a）应满足第2级、YD/T1756中第3.1级的相关要求。 b）应定期对IP承载网及其所属各类设备、系统进行安全风险评估（至少每年一次）。 c）IP承载网应设有专职的操作、维护技术人员和安全管理人员，相关人员应定期组织进行技术培 训和考核。 d）应定期组织IP承载网及其所属各类设备、系统灾难恢复预案的教育培训（至少每季度一次）和 演练（至少每半年一次）。 e）IP承载网灾难恢复预案应按照安全管理制度相关的制修订要求进行管理。

6.4.1网络安全要求

除满足第2级、第3.1级的要求之外，还应满足： a）IP骨干网应设置成单个自治域，网内核心节点应设置为骨干区域（区域号为0），其他节点可以 综合地理位置以及相互之间通信量就近组成多个非骨于区域。

6.4.1.2网络保护与恢复

除满足第2级、第3.1级的要求之外，还应满足： a）IP承载网相关的辅助IT系统（如运维、管理和监测系统等）的重要设备应采用元余的方式保证网 络及业务的抗灾以及灾难恢复能力。 b）IP骨干网应设置异地备用网管中心

除满足第2级、第3.1级的要求之外，还应满足： a）IP承载网络管理应能实现分域定制的管理功能。 b）IP承载网络的管理应实现控制平面分离。 c）IP承载管理信息及数据的机密性和完整性在传送、接收、处理和存储过程中都应得到保证 6.4.1.4网络安全防范

除满足第2级、第3.1级的要求之外，还应满足： ）IP承载网络管理应能实现分域定制的管理功能

6.4.1.4网络安全防范

除满足第2级、第3.1级的要求之外，还应满足： a）IP承载网应能够按照分层安全原则实现安全防范的有关功能，应符合YD/T1163中相关安全机 制要求。 b）IP承载网络应建立完整的端到端电信级安全框架，并在安全框架内采用有效的QoS和流量管理 策略螺纹标准，满足不同业务对承载网络的需求。

6.4.2设备安全要求

a）应满足第3.1级的相关要求。 b）IP承载网相关设备所处机房整体抗震能力应不低于里氏8级，相关机架及设备需进行必要的抗 震加固，相关楼层承重能力不低于1000kg/m

6.4.4管理安全要求

IP承载网资产的识别与选取应符合科 信息、业务、文件、人员和物理环境设施 析应包括但不限于表A.1所列范围

电缆标准规范范本承教网的瓶性包活技术题弱性和管理 脆弱性识别对象应以资产为核心。IP承 载网的脆弱性分析应包括但不限于表A.2所列范围

IP承载网的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威 协和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。IP承载网的威胁分析应包 括但不限于表A.3所列范围