1、北京地区互联网数据中心和互联网接入服务信息安全管理系统技术北京地区互联网数据中心和互联网接入服务信息安全管理系统技术要求（暂行）北京市通信管理局2014年8月目录前 言 11 范围 12 规范性引用文件 13 术语和定义 13.1 安全监管系统 security monitor management system 13.2 信息安全管理系统 information security management system 13.3 互联网数据中心 internetdatacenter 13.4 互联网接入服务 internetservice provider 13.5 互联网信息服务 intern
2、et content provider 13.6 IDC业务机房 the room of IDC service 13.7 ISP业务节点 the node of ISP service 23.8 业务客户customer 23.9 访问用户 access user 23.10 源IP、源端口 source IP、source port 23.11 目的IP、目的端口 destination IP、destination port 24 缩略语 25 系统概述 26 系统功能 26.1 基础数据管理 26.1.1 基础数据的分类 26.1.2 基础数据本地管理 26.1.3 基础数据上报与核验
3、 26.1.4 基础数据监测和处置 26.2 访问日志管理 26.2.1 访问日志记录功能 26.2.2 日志记录查询方式 26.2.3 日志记录查询结果 26.2.4 日志留存时间 26.3 信息安全管理 26.3.1 活跃资源监测管理 26.3.2 违法违规网站管理 26.3.3 违法信息监测和处置 26.4 系统功能管理 26.4.1 权限管理 26.4.2 运行维护 27 通信接口 28 性能要求 28.1 处理能力 28.2 扩展能力 28.3 可靠性 29 安全性要求 29.1 系统和数据安全 29.2 时钟同步 29.3 运行环境 2附录A （资料性附录） ISMS的实现方式示例
4、 2A.1 系统结构 2A.2 系统功能 2A.3 控制单元功能 2A.3.1 数据通信 2A.3.2 基础数据管理 2A.3.3 监管功能 2A.3.4 权限管理 2A.3.5 运行维护 2A.4 执行单元功能 2A.4.1 数据通信 2A.4.2 基础数据采集及管理 2A.4.3 监管功能 2A.4.4 权限管理 2A.4.5 运行维护 2附录B （规范性附录） 数据代码表 2B.1 机房性质 2B.2 单位属性 2B.3 证件类型 2B.4 接入方式 2B.5 服务内容 2B.6 违法违规情况 2B.7 代理类型 2前 言本文档基于工业和信息化部互联网数据中心和互联网接入服务信息安全管理
5、系统技术要求和互联网数据中心和互联网接入服务信息安全管理系统接口规范起草。依据北京市通信管理局关于北京市IDC/ISP业务经营单位企业侧管理系统相关功能要求的通知（京信保障发2014117号）的有关要求，北京地区开展IDC/ISP业务经营单位所建设的企业侧信息安全管理系统应符合本文档要求。北京地区互联网数据中心和互联网接入服务信息安全管理系统技术要求（暂行）11范围本文档规定了互联网数据中心和互联网接入服务类业务相关信息安全管理技术手段的基本要求。本文档适用于提供包括但不限于业务机房及配套设施租赁、服务器托管和租用、虚拟主机等服务的IDC业务经营者及为互联网信息服务提供者提供互联网接入服务的I
6、SP业务经营者所建设的业务信息安全管理系统。12规范性引用文件下列文件对于本文档的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文档。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文档。中华人民共和国电信条例附录电信业务分类目录YD/T 1728-2008 电信网和互联网安全防护管理指南YD/T 2405 互联网数据中心和互联网接入服务信息安全管理系统接口规范13术语和定义电信业务分类目录界定的术语和定义及下列术语和定义适用于本文档。13.1安全监管系统 security monitor management system电信管理部门依照国家法律法规授权建设的
7、信息安全监管系统。13.2信息安全管理系统 information security management system业务经营者建设的符合本文档所规定信息安全管理系统要求的所有软、硬件系统的集合。13.3互联网数据中心 internetdatacenter增值电信业务，定义详见电信业务分类目录。13.4互联网接入服务 internetservice provider增值电信业务，定义详见电信业务分类目录。本文档中所有未指明的ISP均特指互联网接入服务。13.5互联网信息服务 internet content provider增值电信业务，定义详见电信业务分类目录。13.6IDC业务机房 th
8、e room of IDC serviceIDC业务经营者利用既有的互联网通信线路、带宽资源及辅助设施（如，温湿度控制、除尘、消防、供配电、安防等），建立具有标准化电信级业务的环境和放置业务相关设备的场所。13.7ISP业务节点 the node of ISP serviceISP业务经营者利用接入服务器和相应的软硬件资源建立的、为客户提供接入互联网服务的业务节点。13.8业务客户customerIDC/ISP业务的客户，包括在IDC进行托管主机、租赁主机、租用虚拟空间、专线接入等的客户或从ISP获得互联网接入服务的客户。13.9访问用户 access user访问通过IDC/ISP接入互联网
9、的业务客户有关应用和服务的外部用户。13.10源IP、源端口 source IP、source port访问用户所使用的IP地址和端口。13.11目的IP、目的端口 destination IP、destination portIDC/ISP业务客户所使用的IP地址和端口。14缩略语下列缩略语适用于本文档。FTP文件传输协议File Transfer ProtocolHTTP超文本传输协议Hypertext transfer protocolICP互联网信息服务Internet Content ProviderIDC互联网数据中心InternetDataCenterISP互联网服务提供商Int
10、ernetService ProviderIP互联网协议Internet ProtocolISMI信息安全管理接口Information Security Management InterfaceISMS信息安全管理系统Information Security Management SystemNAT网络地址转换Network Address TranslationPOP3邮政协议-第3版Post Office Protocol-version 3SMMS安全监管系统Security Monitor Management SystemSMTP简单邮件传输协议Simple Mail Transf
11、er ProtocolTCP传输控制协议Transmission Control ProtocolUDP用户数据报协议User Datagram ProtocolURL统一资源定位符Uniform Resource LocatorXLS可扩展电子表格格式eXtensible Language StylesheetXML可扩展标记语言eXtensible Markup Language15系统概述IDC/ISP信息安全管理系统（ISMS）是IDC/ISP业务经营者建设的具有基础数据管理、访问日志管理、信息安全管理等功能的信息安全管理系统，以满足IDC/ISP业务经营者和电信管理部门的信息安全管理
12、需求。每个IDC/ISP经营者应建设一个统一的ISMS，并与电信管理部门建设的安全监管系统（SMMS）通过信息安全管理接口（ISMI）进行通信，实现本文档规定的有关功能。ISMS与SMMS之间的关系如图1所示：图1 ISMS与SMMS关系示意图本文档仅规定了ISMS功能和性能要求。ISMS与SMMS之间的数据交换格式及通信方法，见互联网数据中心和互联网接入服务信息安全管理系统接口规范。附录A给出了ISMS的一种实现方式，IDC/ISP经营者也可采取其它技术实现方式。16系统功能16.1基础数据管理16.1.1基础数据的分类ISMS管理的IDC/ISP业务相关基础数据包括主体信息、资源信息两类。
13、1）对于主体信息，分为IDC/ISP业务经营单位信息、IDC/ISP业务客户信息。a）经营单位信息，包括：IDC/ISP许可证号、单位名称（应与许可证上登记信息一致）、单位地址及邮编、企业法人、网络信息安全责任人、应急联系人信息、IDC业务机房/ISP业务节点的数量、以及各个IDC业务机房/ISP业务节点相关信息，其中：IDC业务机房/ISP业务节点相关信息包括各个IDC业务机房/ISP业务节点的名称、编号、IDC业务机房/ISP业务节点所处机房的性质（见附录B.1）、机房所在地、机房地址及邮编、机房驻地网络信息安全责任人信息。b）客户信息，包括：客户编号、客户属性（分为提供应用服务、其他等类
14、）、客户单位名称（或姓名）、客户单位地址及邮编、客户单位属性（见附录B.2）、证件类型（见附录B.3）、证件号码、网络信息安全责任人信息、服务开通时间，对于IDC业务客户需记录所属IDC业务机房信息，对于ISP业务客户需记录所属ISP业务节点信息，对于虚拟主机客户需记录虚拟主机信息，对于提供应用服务的客户还需要记录应用服务信息列表，其中：所属IDC业务机房信息包括所属机房编号、业务机架机位编号、客户应用相关IP地址（如果应用服务使用私网地址，则需记录NAT地址映射表）、带宽及分配时间；所属ISP业务节点信息包括所属节点编号、客户应用相关IP地址（如果应用服务使用私网地址，则需记录NAT地址映射
15、表）、带宽及分配时间；虚拟主机信息包括占用虚拟主机编号、虚拟主机名、虚拟主机网络地址、虚拟主机状态、虚拟主机类型(共享式/专用式/云虚拟)、虚拟主机管理地址等；应用服务信息包括应用服务类型（内部应用、电信业务/对外应用服务）、业务许可证号或备案号、接入方式（见附录B.4）、预登记的服务内容（可多选）（见附录B.5）、域名信息列表(对支持域名指向的应用服务，如：HTTP、FTP、SMTP、POP3等需提供本级域名)。2）对于资源信息，包括业务经营单位所辖全部IDC业务机房/ISP业务节点IP段、机架和链路信息等。a）IP段信息，即IDC业务机房/ISP业务节点所有IP地址段信息，包括IP段编号、
16、起始IP地址、终止IP地址、来源、分配单位、分配使用时间、使用单位信息、IP地址使用方式（静态/动态）。b）机架信息，即在机房区域内摆放的所有机架柜信息，主要包括：机架/机位编码、所在机房编号、分配状态(未分配/已分配)、占用状态(未占用/己占用)、使用类型(自用/出租)。c）链路信息，即IDC业务机房/ISP业务节点上联至互联网的业务链路信息，主要包括IDC业务机房/ISP业务节点出入口链路编号、所属IDC业务机房/ISP业务节点编号、网关IP地址、链路带宽、链路类型、链路接入单位信息。16.1.2基础数据本地管理ISMS应实现基础数据的集中管理，包括基础数据本地存储以及有关数据本地进行增加
17、、删除、修改等操作的功能。ISMS可支持采用XML或XLS等常见数据格式进行基础数据导入和导出。对于导入的数据，ISMS应进行本地数据冲突校验，避免因导入数据可能出现的错漏与既有数据产生冲突。16.1.3基础数据上报与核验ISMS应能以IDC业务机房/ISP业务节点为单位，实现向SMMS上报基础数据的功能。ISMS应具备基础数据信息更新后自动上报的功能，上报方式应为增量上报（即仅将新增或因修改存在变化的记录内容上报给SMMS）。ISMS应支持SMMS对上报基础数据信息的校对与核验。对于经SMMS核验有误或存疑的退回记录，应及时进行补正并重新上报。ISMS应能基于SMMS的基础数据信息查询指令，
18、对本地记录进行检索并上报有关基础数据记录信息。16.1.4基础数据监测和处置ISMS应能基于通过SMMS核验的基础数据记录，对IDC业务机房/ISP业务节点内的IP地址、域名等使用方式进行全面的监测，自动实时发现未向SMMS上报的IP地址接入、已向SMMS上报但属未启用/未分配状态的IP地址接入、已向SMMS上报但应用域名与绑定IP地址不一致的IP地址接入等异常情况，并形成基础数据监测异常记录。基础数据监测异常记录应包括：发现异常的IP地址、登记使用方式和实际使用方式、异常类型（使用方式或登记域名异常）、登记域名和实际域名（仅适用于支持域名指向的应用服务）、发现时间/处置时间、当前状态（已处置
19、或未处置）等监测信息。基础数据监测异常结果应定时向SMMS上报（上报周期为日）。对于监测发现的异常情况，如在一个上报周期内即完成处置（ISMS监测恢复正常），ISMS应基于处置状态的不同生成至少两条独立的记录并向SMMS上报。如一个上报周期内没有监测到新增的基础数据异常情况，ISMS应按“零报告”要求上报监测结果（即上报当前监测时段内基础数据异常记录结果为零的报告）。ISMS应实现基础数据监测异常记录的本地存储功能，保存时间不少于12个月，并供SMMS查询。16.2访问日志管理16.2.1访问日志记录功能ISMS应基于外部访问用户对IDC/ISP接入互联网业务客户有关应用和服务的访问行为，完整
20、记录和统计访问信息，形成访问日志。对于可通过传输层协议或应用层协议头信息区分会话特征的数据流量，ISMS应以会话为单位记录访问日志，记录信息至少应包括源IP、目的IP、源端口、目的端口、访问时间（起始时间，精确到秒），属于浏览类协议的访问需留存URL；对于采用加密方式的会话，记录的访问日志应至少包括源IP、目的IP、源端口、目的端口、访问时间（起始时间，精确到秒）；对于无法通过传输层协议或应用层协议报文头内容区分会话特征的数据流量，ISMS应以数据流（源IP、目的IP、源端口、目的端口均相同，速率大于1帧/秒且持续时间大于10秒的数据流量）为单位记录访问日志，记录信息至少应包括源IP、目的IP
21、、源端口、目的端口、访问时间（起始时间，精确到秒）、持续时长（精确到秒）。16.2.2日志记录查询方式ISMS应支持SMMS对访问日志记录有关字段内容的精确查询、检索功能。ISMS应支持的访问日志查询方式见下表。其中，属性“M”为必须支持，“O”为可选支持，“C”为有条件支持。表1 日志留存查询方式注日志留存查询方式（查询条件）属性日志查询输出要求（查询结果）单个源IP地址、单个源端口、查询时间M6.2.3节 a）款单个源IP地址、查询时间O6.2.3节 b）款单个目的IP地址、单个目的端口、查询时间M6.2.3节 c）款单个用户访问URL、查询时间C6.2.3节 d）款注：查询时间指明确起止
22、时间点的查询时段（单次查询的时间跨度以不大于2小时为宜）；用户访问URL仅适用于浏览类协议的访问日志；ISMS可选支持其他组合查询条件的查询方式。16.2.3日志记录查询结果a）源IP地址+源端口+查询时间依据源IP地址、源端口及查询时间，ISMS应至少上报：目的IP地址、目的端口、用户访问URL（仅浏览类协议的访问日志）、访问时间。b）源IP地址+查询时间依据源IP地址及查询时间，ISMS应至少上报：目的IP地址、目的端口、用户访问URL（仅浏览类协议的访问日志）、访问时间。c）目的IP地址+目的端口+查询时间依据目的IP地址、目的端口及查询时间，ISMS应至少上报：源IP地址、源端口、用户
23、访问URL（仅浏览类协议的访问日志）、访问时间。d）用户访问URL+查询时间依据用户访问URL（仅浏览类协议的访问日志）及查询时间，ISMS应至少上报：源IP地址、源端口、目的IP地址、目的端口、访问时间。16.2.4日志留存时间ISMS所记录访问日志的保存时间应满足国家和行业主管部门所规定的要求。16.3信息安全管理16.3.1活跃资源监测管理ISMS应对IDC业务机房/ISP业务节点有关业务链路上传送的公共信息数据进行全量监测，对通过IDC/ISP接入的活跃域名、活跃IP、活跃应用等信息进行统计，形成活跃资源监测记录。对于活跃域名监测记录应包括发现的活跃域名、关联IP、首次访问时间、最后访
24、问时间、24小时累计访问量；对于活跃IP及应用端口监测记录应包括发现的活跃IP、应用端口、传输层协议类型（TCP/UDP）、首次访问时间、最后访问时间、24小时累计访问量。活跃资源监测记录应按日向SMMS上报，ISMS至少应缓存有关监测记录直至完成向SMMS上报。16.3.2违法违规网站管理ISMS应具备通过与IDC/ISP经营单位本地的网站备案记录、违法网站记录等数据进行比对的方式，自动实现对未备案网站和违法违规网站的监测、处置等功能。ISMS应支持违法网站列表本地管理功能，并能接收SMMS下发的违法网站、免过滤网站列表（域名、IP形式）。违法违规网站监测记录应包括：违法违规网站的域名、IP
25、、服务内容、违法违规情况（见附表B.6）、24小时累计访问量、记录时间（最后访问时间）、当前状态（已处置或未处置）、处置人账号。其中，处置人账号为实施处置操作的用户登录名，如根据SMMS指令自动处置则记录为“ISMS”，如未处置则记录为空。违法违规网站监测记录应定时上报给SMMS(上报周期为日)。对于监测发现的违法违规网站，如在一个上报周期内处置状态发生变化，ISMS应基于处置状态生成至少两条独立的记录并向SMMS上报。如一个上报周期内没有监测到新增的违法违规网站，ISMS应按“零报告”要求上报监测结果（即上报当前监测时段内违法违规网站监测记录结果为零的报告）。ISMS应实现监测记录的本地存储
26、功能，保存时间不少于12个月，并供SMMS查询。16.3.3违法信息监测和处置ISMS应支持SMMS通过下发违法信息监测/过滤指令的方式，至少实现基于IP地址（使用特定源/目的IP的数据包或会话）、源/目的端口（使用特定源/目的端口的数据包或会话）、传输层协议类型（TCP/UDP）、域名（使用特定域名的应用）、URL（使用特定URL所指向的资源）、关键词（页面标题和正文中含有特定明文关键词的页面）规则的违法信息管理功能。ISMS应能对所有符合违法信息监测规则的TCP和UDP协议流量（包括但不限于流媒体、TFTP、DNS、Socket代理、即时通信、P2P等类应用）进行监测，应能对所有符合违法信
27、息过滤规则的TCP和UDP协议流量（包括但不限于流媒体、TFTP、DNS、Socket代理、即时通信、P2P等类应用）进行过滤处置。ISMS应确保在信息安全指令管理功能的实现过程中，按照SMMS下发指令的优先级高于ISMS本地指令、过滤指令的优先级高于监测指令的原则，根据相关指令的优先级实现规则冲突校验和提醒功能。对于同类指令中规则内容有包含关系的按优先级执行（如域名过滤与该域名下URL过滤指令同时下发时，优先执行域名过滤指令）。违法信息监测/过滤记录至少包括源/目的IP，源/目的端口、违法信息、采集时间以及触发的指令标识，对浏览类应用还需记录URL。对于页面标题或正文含有违法信息监测/过滤规
28、则指定关键词的页面，ISMS应在当日的首次监测/过滤记录保存相应页面的纯文本页面快照（页面缓存）。ISMS可选支持基于违法信息监测、过滤规则的代理发现功能，并记录代理类型和代理IP。其中，代理类型宜按照附录B.7的规定进行分类。对于生效的违法信息监测、过滤指令，ISMS至少应缓存有关监测、过滤记录直至完成向SMMS上报。16.4系统功能管理16.4.1权限管理ISMS应实现对系统管理人员、操作人员、维护人员的身份认证和权限管理，根据不同的角色授予相应的权限，XX的用户不得使用ISMS的相应功能。ISMS应严格限制默认帐号的权限，各帐号应依据最小授权原则授予为完成各自承担任务所需的权限。ISMS
29、应记录系统登录和操作日志，记录至少应包括：登录/操作账号、时间、登录用户IP及操作内容等。ISMS应对SMMS下发指令及其执行状态进行有效保护，防止受到未授权的干扰与影响，且ISMS应能根据SMMS下发指令中的可读标记来实现ISMS侧全部用户对特定指令及其执行结果的权限控制。16.4.2运行维护ISMS应实现各子系统、组件程序的集中配置管理，对各系统、服务程序的运行状态进行实时监控，为系统的正常运行提供保障。ISMS应能对分布于全部IDC业务机房/ISP业务节点的系统设备状态进行持续监测，并按IDC业务机房/ISP业务节点为单位，向SMMS定期上报系统运行状态监测结果（上报周期10分钟）。IS
30、MS向SMMS传送有关数据信息所用代码见附录B。ISMS应支持SMMS通过代码表发布指令的方式来实现在用数据代码的更新。17通信接口ISMS应支持ISMI数据通信接口，接受SMMS下发的指令，完成基础数据与管理信息上报，并实现接口规范的管理功能。18性能要求18.1处理能力ISMS处理能力应不低于所辖IDC业务机房出口总带宽/ISP业务节点接入总带宽。 ISMS应能对所覆盖的IDC/ISP全部业务链路传送数据报文的关联和线速处理，避免对各类数据报文造成丢失或较大延迟等影响，并确保与业务链路的增、删、改、扩工程同步。ISMS应能对运行在不同链路上同用户的同应用进行同源同宿处理。ISMS应提供各类
31、记录的快速查询手段，应能在接收SMMS各类查询指令后10min内返回查询结果。ISMS应在基础数据更新后10min内将更新记录上报至SMMS。ISMS基础数据监测异常记录错漏比例应不高于1%。ISMS应及时记录访问日志，应能在访问行为发生后2h内有效查询到相应的访问日志记录，且查询响应时间不大于10min。访问日志记录错漏比例应不高于1%，访问时间记录误差不大于10s。ISMS活跃资源监测记录访问量错漏比例应不高于1%。ISMS应及时上报违法信息监测/过滤记录，并在触发指令的访问行为发生10min内上报至SMMS。ISMS支持的违法信息监测/过滤规则总数目至少应达到5万条。ISMS在所覆盖业务链路的峰值流量压力下，按5
