YD_T 2589-2013内容分发网(CDN)安全防护要求.pdf

ICS 35.110M 11中华人民共和国通信行业标准YD/T2589-2013内容分发网（CDN）安全防护要求Securityprotectionrequirementsforcontentdeliverynetworkoverinternet2013-07-22发布2013-10-01实施中华人民共和国工业和信息化部发布 YD/T2589-2013（6）CDN运营企业应在软件结构上将各功能模块化，从而实现对软件精细化管理，一个软件的故障不影响其他软件提供服务。(7）CDN系统应具有安全监测能力、过滤攻击能力、容错能力、负载均衡调度能力。（8）CDN系统在运营过程中应具有抗攻击（如DDoS攻击）和快速恢复能力。(9）CDN系统应能隔离针对客户的安全攻击，防止针对一个客户的攻击影响到其他客户。6.2.2.2访问控制(1）CDN系统应对内部操作维护管理人员进行身份认证。（2）CDN系统应对内容源站管理员的登录操作进行身份认证，(3）CDN系统的身份认证过程应通过SSL通道完成。（4）CDN内部管理员应必须从公司内部（包含外网VPN方式）登陆CDN系统，CDN系统通过用户密码、登录IP地址、黑白名单控制等进行访间限制。（5）CDN系统的操作维护管理员口令长度应不小于8字节，口令应有复杂度要求（使用大写字母、小写字母、数字、标点及特殊字符四种字符中至少两种的组合，且与用户名或ID无相关性）并定期更换（更新周期不大于90天）。（6）CDN系统应启用登录失败处理功能，如限制非法登录次数、锁定账号等。（7）CDN系统对不同管理员的权限分级管理，遵循权限最小分配原则，管理权限不应超越该管理员的管暂范围。6.2.2.3用户信息保护（1）CDN系统应对CDN节点缓存的互联网用户信息（如登录用户名、密码等）进行加密保护，采取有效措施防止用户信息被泄露、溢用。（2）未经内容源站允许，CDN运营企业不得截获、存储互联网用户访间中的个人信息。(3）CDN系统加密保留CDN系统内部和内容源站操作维护人员的访问密码，6.2.2.4攻击防范（1）引入CDN后不应降低内容源站的安全水平，同时CDN系统应提供对内容源站的抗攻击/压力保护，包括不限于抗Synflood、UDPFlood、ACKFlood等流量型DDoS攻击、承载访问压力等，抗流量型DDOS攻击的能力不小于500Mbit/s，承载访间压力的能力不小于3Gbit/s。6.2.2.5入侵防范（1）CDN运营企业应采取安全措施（如ACL中关闭不必要的端口和服务、限制访间地址）防止CDN系统被入。(2）CDN运营企业应定期（每个月/季度/半年）对系统进行安全扫描和加固，检测CDN系统是否能够有效防入侵、防塞改、防攻击和防病毒，6.2.2.6请求路由系统安全（1）CDN运营企业在全国至少部署两个DNS节点进行完余备份。(2）CDN运营企业应尽可能采用包含必威体育精装版补丁的DNS服务器软件。络相同级别的安全设置。6.2.2.7余系统、穴余设备及穴余链路6 YD/1）CDN系绕应进行亢余配置，为多个边缘节点提供安全可靠稳定的服务，运营管理系统、请求路由系统应有至少两个备份系统，部署于多个省份，在遇到故障和攻击时应能在30min内完成系统切换。(2）CDN系统中所有设备的处理能力应具备至少20%的元余，能够满足业务高峰期需要。(3）CDN系统的核心系统（请求路由系统、运营管理系统、监控系统）有专有链路接入相关运营商，每个节点上联接入有备份光纤。（4）CDN系统的核心系统（请求路由系统、运营管理系统和监控系统）间通过多链路相连：6.2.3基础设施安全6.2.3.1主机安全6.2.3.1.1访间控制（1）CDN系统应对登录操作系统和数据库系统的用户进行身份标识和鉴别。（2）CDN系统应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。（3）操作系统和数据库系统管理用户身份标识应具有不易被目用的特点，相关用户口令长度应不小于6字节，口令应有复杂度要求（使用大写字母、小写字母、数字、标点及待殊字符四种字符中至少两种的组合，且与用户名或ID无相关性）并定期更换（更新周期不大于90天）（4）CDN系统应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。（5）当对各类主机进行远程管理时，CDN系统应采取措施（如使用加密协议）防止鉴别信息在传输过程中被锁听。（6）CDN系统应启用访间控制机制或策略，依据安全策略控制操作维护人员对资源的访间。（7）CDN运营企业应及时利除多余的、过期的账户，避免共享账户的存在，（8）CDN运营企业应实现操作系绕和数据库系统特权用户的权限分离。（9）CDN运营企业应限制默认账户的访间权限，修改这些账户的款认口令，设备功能配置可更改的情况下