IDC网络安全防护技术要求V发布版.docx

《IDC网络安全防护技术要求V发布版.docx》由会员分享，可在线阅读，更多相关《IDC网络安全防护技术要求V发布版.docx（37页珍藏版）》请在三一办公上搜索。

1、IDC网络安全防护技术要求Technical Specification of Security for IDC版本号：1. 0. 0中国移动通信有限网络部前言错误!未定义书签。1 适用范围错误!未定义书签。2 引用标准与依据错误!未定义书签。相关法规和政策错误!未定义书签。国家标准及行业标准错误!未定义书签。中国移动企业标准及技术规范错误!未定义书签。其它错误!未定义书签。3 相关术语与缩略语错误!未定义书签。术语错误!未定义书签。缩略语错误!未定义书签。4 综述错误!未定义书签。中国移动IDC的发展现状错误!未定义书签。业务应用错误!未定义书签。IDC的特点错误!未定义书签。IDC的重要性

2、错误.，未定义书签。数据高度集中错误.，未定义书签。高带宽、大流量错误.，未定义书签。安全防护对象特点突出错误.，未定义书签。内部应用可控性较差错误.，未定义书签。面对复杂各异的远程维护需求错误.，未定义书签。5 IDC的基本架构错误!未定义书签。逻辑架构错误!未定义书签。物理层错误?未定义书签。网络层错误J未定义书签。资源层错误J未定义书签。业务层错误J未定义书签。运营管理层错误.，未定义书签。网络架构错误!未定义书签。互联网接入层错误.，未定义书签。汇聚层错误?未定义书签。业务接入层错误.，未定义书签。运营管理层错误.，未定义书签。6 安全风险分析错误!未定义书签。IDC主要安全风险错误!

3、未定义书签。威胁分析错误!未定义书签。物理安全威胁错误.，未定义书签。设备安全威胁错误.，未定义书签。网络安全威胁错误.，未定义书签。应用层安全威胁.错误.，未定义书签。数据安全威胁错误.，未定义书签。脆弱性分析错误!未定义书签。物理安全方面的脆弱性错误.，未定义书签。网络与主机设备的脆弱性错误.，未定义书签。应用系统软件脆弱性错误.，未定义书签。数据安全方面存在的脆弱性错误.，未定义书签。其它错误?未定义书签。IDC安全防护需求错误!未定义书签。7 安全防护要求错误!未定义书签。物理安全要求错误!未定义书签。IDC安全域划分及防护部署错误!未定义书签。互联网接入域错误.，未定义书签。停火区错

4、误?未定义书签。核心汇聚域错误.，未定义书签。业务域错误?未定义书签。日常操作维护区错误.，未定义书签。第三方接入区错误.，未定义书签。管理服务区错误.，未定义书签。设备自身安全和安全配置要求错误!未定义书签。内容合法性检查及域名备案等业务安全防护系统错误!未定义书签。不良内容监测与封堵错误.，未定义书签。网站备案系统错误.，未定义书签。集中化安全管理技术要求错误!未定义书签。综合安全管控错误.，未定义书签。安全扫描错误J未定义书签。安全组织、标准要求错误!未定义书签。8 IDC安全防护体系建设思路错误!未定义书签。附录I： IDC安全风险分析列表错误!未定义书签。附录II：部分典型案例错误!

5、未定义书签。9 编制历史错误!未定义书签。-XX.刖言IDC面临复杂的安全环境，为了向IDC用户提供高质量的服务，维护中国移动的企业形象 和信誉，遵守国家法律法规要求，必须在规划、建设、运营各环节充分考虑IDC安全风险，采 取对应的安全措施。本规范针对IDC中存在的各种网络和系统层面的安全问题和IDC业务特点， 提出了分类提供强制性安全基础服务能力和增值性、差异化安全服务能力的IDC安全防护技术 要求，作为中国移动IDC网络安全防护部署的依据，以保证为IDC用户提供具有高性能、高带 宽、高服务质量、高安全性的主机托管及其增值业务。本规范不对不良、非法、低俗内容安 全等方面的监测手段及网站备案部

6、署模式进行论述，请各IDC运营单位按照集团公司下发的信 息安全责任矩阵要求，予以高度重视，加强内容安全管理。本标准由中国移动通信有限公司网络部提出并归口。本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团设计院有限公司。本标准主要起草人：刘佳，杜雪涛，曹一生，周智，徐海东，袁捷，朱文涛，张高山。 感谢华为技术有限公司、绿盟科技、Macfee、中兴通讯股份有限公司、诺基亚西门子公司， 亿阳安全技术有限公司的大力支持。1适用范围本规范作为中国移动通信有限公司、各省公司在IDC设计、建设、系统部署、运营维 护等工作中开展安全防护的依据。2 引用标准与依据2.1 相关法规和政策1 关于加强信

7、息安全保障工作的意见（中办、国办200327号文）2 公安部、保密局、机要局、国务院信息办联合下发的关于信息安全等级保护工作的 实施意见（公通字200466号文）3 四部门联合下发关于印发信息安全等级保护管理办法的通知（公通字200743号 文）4 关于开展全国重要信息系统安全等级保护定级工作的通知（公信安2007861号）5 国务院信息办信息安全风险评估课题组编制的信息安全风险评估研究报告6 国家关于绿色上网等在内的其它要求7 原邮电部、信息产业部制定的IDC服务的相关要求8 最高人民法院、最高人民检察院，关于办理利用互联网、移动通讯终端、声讯台制作、 复制、出版、贩卖、传播淫秽电子信息刑事

8、案件具体应用法律若干问题的解释（二）2.2 国家标准及行业标准1 计算机信息系统安全保护等级划分准则（GB 17859）2 公安部等级保护基本要求系列标准，包括：信息系统安全等级保护测评准则、信息 系统安全等级保护实施指南、信息系统安全等级保护基本要求等3 公安部等级保护技术要求系列标准（GA/T 387-2002至GA/T 391-2002），包括：计算 机信息系统安全等级保护通用技术要求、计算机信息系统安全等级保护操作系统技 术要求、计算机信息系统安全等级保护管理要求、计算机信息系统安全等级保护 网络技术要求、计算机信息系统安全等级保护数据库管理系统技术要求等4 工业和信息化部“电信网和互

9、联网安全防护体系”系列标准（YD/T 1728-2008至YD/T1759-2008)5电信网和互联网物理环境安全等级保护要求2.3 中国移动企业标准及技术规范I 中国移动IDC总体技术要求中国移动支撑系统集中帐号管理、认证、授权与审计（4A）技术要求3 中国移动防火墙部署总体技术要求4 中国移动帐号口令集中管理系统功能及技术规范5 中国移动日志集中管理与审计系统功能及技术规范6 中国移动综合维护接入平台功能和技术规范7 中国移动通用设备安全配置系列规范一路由器部分8 中国移动通用设备安全配置系列规范一操作系统和数据库部分9 中国移动设备通用安全功能和配置规范10 中国移动支撑系统安全域划分与

10、边界整合技术要求II WEB系统安全防护技术要求（网络部，2011年下发）12 网站接入备案及监督管理系统设备规范13 不良信息监测系统设备规范14 中国移动网页篡改及网页信息安全防护系统技术规范15 中国移动互联网安全防护体系技术要求16 中国移动网页篡改及网页信息安全防护系统技术规范2.4 其它3 美国国家标准和技术研究所(NIST, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY)制订的SP 800系列文档：IT系统安全自评估指南、IT系统 风险管理指南、联邦IT系统安全认证和认可指南、信息系统安全规划指南 等，美国国家安全局，信息保障技术框

11、架IATF(INFORMATION ASSURANCE TECHNICAL FRAMEWORK)，版，相关术语与缩略语3.1 术语 IDC：即互联网数据中心(Internet Data Center)，是为满足互联网业务和政府、企 事业信息服务需求而建设的应用基础设施，通过与互联网的高速连接，以丰富的计 算、存储、网络和应用资源向服务提供商(SP)、内容提供商(CP)、各类集团客 户等提供大规模、高质量、安全可靠的主机托管、主机租赁、网络带宽租用、内容 分发等基础服务和企业邮箱、企业建站等增值服务。 威胁：指那些可能对资产或组织造成损害的事故的潜在原因。威胁由多种属性来刻 画：威胁的主体(威胁

12、源)、能力、资源、动机、途径、可能性和后果。脆弱性：指资产中能被威胁利用的弱点。 风险：指由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及 其造成的影响。它由安全事件发生的可能性及其造成的影响这两种指标来衡量。 安全需求：指为保证单位的业务战略能够正常行使，在信息安全保障措施方面提出 的要求。 安全措施：指对付威胁，减少脆弱性，保护资产，限制意外事件的影响，检测、响 应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。 IDC后台管理区：包括IDC日常操作工作区和客户服务管理区。3.2 缩略语缩略语英文全称中文含义ACLAccess Control Lis

13、t访问控制列表CDNContent Delivery Network内容分发网络CMNetChina Mobile Net中国移动互联网CPContent Provider内容提供商DDNDigital Data Network数字数据网DMZDemilitarized Zone停火区DNSDomain Name Server域名服务器ICPInternet Content Provider网络内容服务商IDCInternet Data Center互联网数据中心IDSIntrusion Detection System入侵检测系统IPInternet Protocol互联网协议ITInfor

14、mation Technology信息技术MPLSMulti-Protocol Label Switching多协议标记交换QoSQuality of Service服务质量SPService Provider服务提供商VPNVirtual Private Network虚拟专用网VLANVirtual Local Area Network虚拟局域网4 综述自2002年进入互联网数据中M(IDC)市场以来，中国移动一直在进行大规模的IDC 建设。IDC数据中心建设，也将成为中国移动集团客户市场的突破口。4.1 中国移动IDC的发展现状中国移动互联网数据中心业务是指以集团和各省分公司IDC平台的

15、各级节点机房设施、 相关网络资源和技术支撑能力为依托，为政府、企业、互联网服务提供商ISP)、互联网内容提供商(ICP)等客户提供的包括主机托管、带宽出租、主机租赁、CDN服务、域名服务、DNS解析以及虚拟服务等基础类业务以及移动业务应用、数据存储、安全服务、网络优化 以及代维代管等增值类业务。目前，28个省建设有独立的IDC或有独立IDC专区，在北京、上海、广东、江苏、四 川、浙江、重庆建设一类IDC，满足全国性、规模性资源和应用支撑需求，并兼做本省IDC。 其它各省根据本省业务需求建设二类IDC，满足省内本地内容托管和集团客户应用等需求， 同时作为一类IDC的补充，提供镜像、内容分发等。4

16、.2 业务应用IDC中业务应用可以包括传统的业务如主机托管、空间租赁、企业邮箱以及承载WEB、 游戏、公司应用、在线存储等增值业务。4.3 IDC的特点4.3.1 IDC的重要性在业务方面，话音业务需求日益趋于饱和，IDC的业务收入将成为电信行业收入增长的 重要来源。在用户方面，宽带接入市场远没有到达饱和的程度，宽带用户保持较快的增长速 度，基于移动终端的上网用户将呈现爆发性的增长态势。除以之外，IDC产业自身正处于发 展的起步阶段，行业需求潜力巨大，因此IDC市场对于中国移动的未来发展具有重要影响， 是中国移动业务扩展的重要方向之一。4.3.2 数据高度集中IDC是Internet企业分工更

17、加细化的产物。它不仅是数据存储的中心，而且是数据流通 的中心。企业将与网站托管服务等相关的一切事务交给专门提供网络服务的IDC承担。因 此，IDC是Internet中数据交换最集中的地方。4.3.3 高带宽、大流量IDC能够为ICP、企业、媒体和各类网站提供大规模、高质量、安全可靠的专业化服务 器托管、空间租用、网络批发带宽等业务。因此，IDC必须具备丰富的互联网带宽资源。4.3.4 安全防护对象特点突出网络设备和应用系统不断增加和变化，网络安全呈现“动态性”；用户系统多样化，应 用复杂，动态多变，面临多种安全威胁和安全攻击；大量集中的主机和服务器易产生安全连 带效应；容易发生内部攻击，安全防

18、范与安全管理并重；WEB应用为主，用户数量巨大。4.3.5 内部应用可控性较差IDC应用复杂（IDC的应用种类详见5.1.4）存在着很多不可控的因素： 服务器托管业务对于服务器托管业务，IDC能够掌控的是托管服务器所在区域（机柜位置）、服务器类 型以及硬件配置等，对于甲方在托管主机硬件系统以外的内容，如主机操作系统安全、应用 层安全等等，IDC运营管理方是无法掌控的。 服务器租用业务对于服务器租用业务，IDC运营能够掌控的是被租用服务器资产、所在区域（机柜位置）、 系统安全等。而租用服务器之上的应用的安装、配置、发布与维护是由服务合同甲方负责的， 是IDC无法掌控的。4.3.6 面对复杂各异的

19、远程维护需求IDC被托管系统应用来自不同行业的不同用户，对于系统的安全防护和日常维护管理有着不同的需求，因此各个托管用户的维护需求不同，具有复杂性。5 IDC的基本架构5.1 逻辑架构业务层（主机托管、数据备份等）运营管理层网络管理资源层（计算、存储、带宽等）J 资源管理网络层（路由器、交换机、防火墙等）业务管理物理层（电力、空调、综合布线等）运营管理图5-1 IDC逻辑架构图IDC涉及范围很广，包含土建、电气、消防、网络、运营等系统，从IDC的逻辑功能 上来划分，IDC可分为物理层、网络层、资源层、业务层、和运营管理层5大逻辑功能模块。5.1.1 物理层+顽间损浦电住抑制宜 岳也侦云防火慕貌

20、瞻燮*0多中W.LL :CTm 牟中监拽涤统综台布统制冷系统供电琳中心迭址。L H：亏=*埼Er天花板架空地扳，膀朗等静态样换开关电池“Y电：也波* :七捉百日检吒眺缆&光纤走线支来精密空调舒适性至调遇只系驻图5-2 IDC物理层功能图物理层主要包括系统、消防系统、安保系统、配线系统、照明系统、制冷系统等。5.1.2 网络层网络层由路由器、交换机、防火墙，IDS（入侵检测系统）等数据通信设备和安全设备 组成。网络层在整个IDC中属于IT基础架构，是开展IDC业务运营的基础。5.1.3 资源层资源层是IDC用来开展业务运营的基础，资源层包括计算资源、存储资源、IP资源、 带宽资源、机房空间资源等

21、资源。5.1.4 业务层业务层是IDC的核心要素，也是IDC价值的具体表现形式。业务层按照IDC提供的服务 属性可以分为基础类业务和增值类业务两大类，这两大类业务又可以细分为众多子业务，如 下图所示：搜服务属性分类1基础类业务1增值类业务皿主fJLttW主仇粗最U饥府出租 CDNBggU料譬域名服劳帆爨* DN5薜忻市施出祖.虑拟服努虑州主机讶庄拟服务器安全用茗奖代绯代笆类X敌据存睹类其他荚格初驻若应用类网缗优化奖安全服务圭数据祥慵卖移动业务应用韭*哉海吝买个人姣g手挑存、手机说.手虱音乐，手机 粮斧，手机玄等年回业务应压L业SiS/Zve变业拒走F：if.S.业泛石家庭业务应用老.一吝左、近

22、居应用舌1防*租 A崂喧此支呈汗斗、*化:扁嗣扫描1 VPN阿培优化生弋哇代冒类具它类女真均1割 55应豆 iS驼计洲i芷布兰r M堂京片相巨程朗手 5舞、工位由租图5-3 IDC业务分类汇聚崖NA 宙矢区坪悄业基巳!E 一二二I;11i 1_ ，主机托含叵! vif喳户底：!主雌用区| -11 一 _ _ _ I图5-4 IDC网络逻辑架构图5.1.5运营管理层运营管理层为IDC的稳定运行和业务运营提供必要的各种支撑服务，主要包括网络管 理、资源管理、业务管理、运营管理4个功能模块。5.2 网络架构IDC网络架构分成4层：互联网接入层、汇聚层、业务接入层、运营管理层。IDC整体 网络系统架构

23、如图5-4：别NFT骨干苗点、甲r W 二神一斧i互此也也业Q :iZj C3： !匕葬F斐嬴期.:； 卜瞄耳1 !.11 i * I . p | 重ii， | 口苕*昴区弗团善J r区 =*= *=二5.2.1 互联网接入层互联网接入层拓扑结构如下图所示:图5-5互联网接入层网络互联网接入层对外完成与CMNET骨干网设备高速互联，对内负责与IDC的汇聚层交换机 互联。互联网接入层负责高速可靠的转发IDC业务数据，并且对IDC内部路由信息和外部路 由信息的转发。5.2.2 汇聚层图5-6汇聚层网络汇聚层是业务接入层交换机的汇聚点，负责本地数据的汇聚并完成数据的高速交换。5.2.3 业务接入层业

24、务接入层由接入交换机和各业务系统的服务器、存储等设备组成，业务接入层对业务 区内的主机、存储系统及用户网络设备提供网络接入，并对业务区内不同用户系统进行隔离 及实施QOS、VPN等业务接入层策略，详细描述参见中国移动IDC总体技术要求。它的网络拓扑如下图所示:图5-7业务接入层网络5.2.4 运营管理层IDC运营管理层中包含各类网管系统、防病毒系统控制端、安全管控平台服务器等设备， 页包括管理终端、防火墙等设备。运营管理层主要为IDC提供网络管理、资源管理、业务管 理、运营管理等功能，向运营维护人员和客户提供设备管理、系统维护、远程接入等服务。 运营管理层架构如图5-8所示。I3第三方业余域接

25、入 交换扒接入交我机汇聚安顿机防火墙翌三方接入区接入*曰富操作维护区首理服务区图5-8 IDC运营管理层如图5-8所示，运营管理层接入交换机连接汇聚交换机、管理区域的服务器和终端设备。 维护人员通过运营管理层接入交换机管理IDC内部设备。6 安全风险分析6.1 IDC主要安全风险 非法内容的发布，违反国家法律法规。IDC中存在大量的WEB应用，易产生内容 合法性问题，作为IDC运营单位，将承担极大的法律风险和政治风险，请各IDC 运营单位按照集团公司制定下发的信息安全责任矩阵要求，予以高度重视，加强内 容安全管理； DDoS攻击导致系统资源、带宽资源耗尽，甚至业务中断； 僵尸网络，病毒扩散，导

26、致IDC部署的系统无法正常服务，或者用于攻击其它系 统产生法律纠纷； IDC客户系统处于同一物理网络，容易相互影响； 由于存在IDC用户远程维护所属系统的需求，需要开放大量的逻辑维护通道，因 此容易产生内部管理问题，影响到整个IDC安全。IDC具体的安全风险分析参见附录I。相关案例请参见附录II。6.2 威胁分析6.2.1 物理安全威胁物理环境安全威胁主要来自于物理环境建设过程中考虑不当、不全面以及日常管理不到 位引发的安全威胁。详细的物理安全威胁请参照中国移动安全威胁分析标准模板库。6.2.2 设备安全威胁IDC网络设备的安全威胁主要来自两个方面，一个是设备自身的安全威胁，另外一个是 外界环

27、境的安全威胁。具体的设备安全威胁如下：设备自身的安全缺陷或未能够及时修复的安全缺陷，导致的针对该设备的缺陷利用，影响IDC业务的连续性、可靠性和完整性; 承载业务系统硬件、网络环境等方面的威胁; 业务系统自身安全威胁。6.2.3 网络安全威胁网络安全威胁主要如下： 来自内部和外部可能的网络攻击，如DDOS攻击、利用系统漏洞进行的各类攻击 蠕虫病毒入侵，局域网内部病毒等恶意软件的传播，尤其是维护终端、磁盘介质使 用等导致的病毒扩散； 利用管理和技术漏洞，或者内部资源成为僵尸网络、木马的被控资源，IDC资源被 用作攻击外部网络的工具 WEB类应用被挂马，成为木马大范围传播的主要途径； 由于对IDC

28、网络进行维护不恰当，而导致的安全威胁。详细的网络安全威胁请参照中国移动安全威胁分析标准模板库。6.2.4 应用层安全威胁应用层的安全威胁主要来自以下两个方面： 来自原互联网、内部恶意用户的安全威胁； IDC客户或者WEB用户发布反动、色情、违反版权要求、进行人身攻击的文字、 视频、图片、音频、游戏等等。详细的应用安全威胁请参照中国移动安全威胁分析标准模板库。6.2.5 数据安全威胁(1)网管数据网管数据，主要指IDC管理层面的数据，其安全威胁主要如下： 数据传输过程中被窃取，篡改、破坏； 越权访问； 病毒入侵导致丢失； 其它误操作、系统故障、介质问题等原因导致的数据丢失、泄漏。(2) 内部业务

29、数据内部业务数据，主要指IDC各个业务区域数据，其安全威胁一方面来自于各个业务的 不同要求，另外更主要的一方面是这些业务数据的存放，具体如下： 病毒、木马、间谍软件的入侵； 针对敏感数据的非法篡改、获取； 数据的存储安全威胁，包括数据存储磁盘管理不善，数据访问管理不善带来的威胁 等。(3) 帐号口令 口令密码明文保存导致失窃； 弱口令导致的暴力破解； 网络监听明文传输的帐号口令。6.3 脆弱性分析6.3.1 物理安全方面的脆弱性物理安全方面的脆弱性，主要体现在以下几方面： 机房的门禁、监控设备不完善； 机房的设备老化； 机房人员进出管理不严格等。6.3.2 网络与主机设备的脆弱性网络和主机设备

30、，即操作系统存在的脆弱性，主要有以下几点： 设备性能低、运行不稳定； 口令不够复杂、合理或没有经常更新； 设备自身存在安全缺陷； 设备所使用的资源存在被威胁利用的风险。6.3.3 应用系统软件脆弱性应用系统的脆弱性，主要有以下几点： 相关服务器的应用代码存在漏洞、后门; 相关服务器存在过多不必要的开放端口； 相关服务器配置不合理，访问控制策略存在漏洞； 相关服务器不能记录敏感操作，或者相关日志功能没有启用或不够详细； 不能提供帐号权限管理功能，不能提供账号修改界面； 不能支持密码复杂度检测，或者密码未采用hash函数保存，而采用明文保存； 业务流程设计方面的漏洞导致业务信息泄露和被滥用等。6.

31、3.4 数据安全方面存在的脆弱性数据脆弱性，主要有以下几点： 数据传输未加密，容易被窃取、篡改； 数据明文保存或者访问控制不严，存储介质保护不力等。6.3.5 其它IDC业务系统中管理层面还可能具有人员安全意识、无法阻止托管设备运行监听、攻击 软件以及缺乏容灾备份的对应措施等脆弱性。6.4 IDC安全防护需求结合以上IDC的威胁分析和脆弱性分析，IDC的安全防护需求具体包括以下几点： 根据系统价值、功能、业务特性，实施分区防护及边界访问控制 网络基础设施安全要求 保证物理环境安全、设备安全以及媒体安全； 保证网络层所涉及的网络链路、网络设备、网络服务的安全； 保证系统层所涉及的操作系统、系统服

32、务的安全； 保证应用层高可用性、业务连续性要求； 保证各类数据的完整性和保密性要求； 保证IDC应用符合国家法律法规的相关安全措施。7 安全防护要求充分考虑上述安全威胁和主要风险，从组网安全、设备自身安全以及部署专用安全防护 设备、实现集中安全管理四个层面，提出符合“集中防护、纵深防御、灵活配置”原则的中 国移动IDC安全防护技术体系。针对国家对于IDC增值业务商的管控要求，以及IDC用户要求差异化特点，IDC安全 防护技术体系服务能力区分为强制性部署的免费基础性安全服务和满足客户差异化需求的 增值安全服务。强制部署的防护手段，如物理安全、公共防火墙、不良信息检测与封堵系统、网站备案 系统，为

33、IDC用户提供基础性安全服务，不向IDC客户单独收取费用。增值性安全服务部分，如流量监控（抗DDOS攻击）、防火墙、具备虚拟功能的入侵检 测系统、网页篡改及网页信息安全防护系统、综合安全管控系统、各类漏洞扫描系统、网络 版防病毒系统以及安全加固服务等等，为有需求客户提供有偿的差异化服务。为提高中国移动IDC相对于其它对手的竞争优势，可以根据业务发展策略、IDC经营 需要，适时地将增值性安全服务中的部分内容转化为免费的基础性安全服务。7.1 物理安全要求物理的安全防护部署包含以下几点： 供电系统：部署双路电源、关键设备前部署UPS，有条件的IDC部署应急发电系统； 消防系统：按照消防要求部署防火

34、装置，并定期检查其有效性； 安保系统：安装门禁系统，采用IC卡或者指纹识别方法鉴别进出入人员，另外对临 时出入管理也需要指定相应的登记、审批制度，并定期分析出入人员情况； 配线系统：按照综合布线规范配线，保证质量和连通性； 照明系统：按照监控管理业务要求部署照明系统； 制冷系统：按照机房环境要求进行空调、除湿系统部署； 监控系统：按照IDC安防要求部署监控系统，实施通过摄像头等系统对关键区监控， 监控录像按照管理要求留存一定时间。7.2 IDC安全域划分及防护部署根据业务保障原则、结构简化原则、等级保护原则和生命周期原则，IDC内部可划分为以下主要的安全域：互联网接入域、停火区、核心汇聚域、业

35、务域、日常操作维护区、第三 方接入区和管理服务区。对于基础区和增值区（扩展区）通过不同的汇聚交换机上连到互联网接入域的情形，单独在增值区和扩展区的汇聚交换机上部署支持虚拟功能的防火墙、IDS等设备（图7-1）：InternetPortal播心il H网甘段落域PortalIlN滂第：方径入X日常操作雄炉区!VPN.墅3 !1心保域 工戒换机Q堡室主相 管理胭苏区I爪住象4扩展业字一 一 一一 一一 一一 一一一 一第三方业务域7-1 IDC安全域划分逻辑图对于基础区和增值区、扩展区通过物理上相同的一组汇聚交换机上连到互联网接入域的 情形，在汇聚交换机上部署支持虚拟功能的防火墙、IDS等设备，并

36、对虚拟出的增值区、扩 展区汇聚交换机部署防火墙、入侵监测策略，具体安全域划分如图7-2所示：小.贸业命I ；:向探作维护国；第三芳卷入管理服务瓦j7-2 IDC安全域划分逻辑图7.2.1 互联网接入域互联网接入域是IDC与互联网连接的出口，提供高速可靠的连接，包括足够的带宽、 高可靠的网络、网络设备冗余备份等。对外与外部网络以及其它系统互联，实现高速连接以 及路由选择和分发功能，是IDC的集中入口，过滤一些来自Internet的不安全因素。针对常见的DDOS攻击，需要在IDC出口或者连入的CMNet省网或者骨干网上部署异 常流量监测及过滤设备。1）分级部署异常流量监测及过滤设备 按照中国移动互

37、联网安全防护体系技术要求总体规划，CMNet国际出入 口、骨干网层面运营商之间互联网出入口以及骨干网汇聚节点均会部署异常流 量监测及过滤系统，僵木蠕恶意代码监测系统，监测来自国际、国内其它运营 商以及其它CMNet省网的攻击流量，对全网重要系统、IDC进行防护。为此， 各省公司需要向总部提供相关IDC分配的IP地址等基础信息。 为防范来自省网内部、省内直联的DDoS攻击，在各IDC上连的省网出入口 位置集中部署抗拒绝服务攻击设备，为省内所有IDC以及重要互联网接入客 户集中提供抗拒绝攻击服务。为此，各IDC需要向省公司提供相关IDC分配 的IP地址等基础信息。 对于抗拒绝服务攻击业务需求较强、

38、有大型或者重要客户的IDC，在省网集中 部署的抗拒绝服务攻击设备无法满足响应速度、不能准确提供自动阻断、不能 配置客户业务特征进行准确监测的情况，经省公司相关部门进行综合评判，可 以进一步在IDC出口部署抗拒绝服务攻击设备。监测到异常流量攻击后，抗 拒绝服务攻击设备进行异常流量过滤，将过滤后的正常业务流量重新注入网络 中。为预防IDC内部SP/CP利用移动的IP等资源对外发起恶意攻击，同时监 测来自IDC的上行流量，将IDC内部发起的异常流量过滤后再发布到公网上。7.2.2 停火区逻辑上，停火区连接互联网与IDC内部网络，该区域内一般放置对外发布数据的Web 服务器。外部用户可以通过互联网接入

39、域，直接访问停火区内的服务器，但不能直接访问内 部网络的数据库，起到安全缓冲区作用。为满足一些特殊用户需求，特别是一些单独拥有业务域VLAN和自有设备的大客户， 可以由用户自己组网，允许此类用户将对外发布数据的服务器放在业务区域内，但应通过边 界防火墙限制这类用户访问其它业务区域内的设备。停火区需要部署如下安全设备：支持虚拟功能的入侵检测设备（含IDS，IPS），为需要该类防护服务的业务提供定 制化的监测防护能力，监测、防止来自互联网的恶意攻击；鉴于IDC第三方应用 的复杂性、多边性，建议采用IDS。 部署Web篡改防护设备，防止网页篡改和信息泄露。其中，针对自有WEB类业 务系统所有WEB服

40、务器，优先部署软件型网页篡改及网页信息安全防护产品，以 实现更强的防护能力。针对用户设备不能安装软件型网页篡改及网页信息安全防护 设备客户端的情况，优先部署独立、外置的硬件型网页篡改及网页信息安全防护设 备（即业界所称的网页防火墙），实现基于会话的网页篡改及网页信息安全防护和 防信息泄漏部分监测防护能力； 针对其中的Windows类平台部署网络版防病毒系统，并通过集团公司统一建设的 防病毒系统集中升级出口进行自动、集中升级； 同时，在停火区内部也要部署综合安全管控平台的互联网专用Portal、VPN网关、 堡垒主机等设备，满足维护人员以及IDC客户远程管理所属系统的需求。7.2.3 核心汇聚域

41、核心汇聚域主要负责IDC业务域对外连接和内部数据流的汇聚。核心汇聚域由汇聚层 交换机和核心路由器构成，是多台业务接入交换机的汇聚点，并提供到互联网接入域的上行 链路。它作为各个业务模块的汇聚层，针对各个业务系统的需求，按照业务系统划分区域， 对相关的业务区域提供基础的安全保障。需要部署的安全设备有：2）支持虚拟功能的双重异构防火墙 部署支持虚拟功能的双重异构（不同品牌，确保不会因为某一品牌防火墙操作 系统漏洞导致同时失效）防火墙，隔离互联网与停火区和内部网络。在防火 墙策略设置上，外层防火墙侧重实施粗粒度访问控制，内层防火墙侧重针对特 定系统实施细粒度的访问控制，针对业务区域不同需求提供定制化

42、的访问控制 能力。 如果IDC汇聚层对业务层基础区、增值区、扩展区部署不同的汇聚交换机， 则仅仅在增值区、扩展区的汇聚交换机上部署防火墙。 如果汇聚层针对业务层基础区、增值区、扩展区合设汇聚交换机，那么只针对 为增值区、扩展区虚拟出的逻辑汇聚交换机部署防火墙策略。3）支持虚拟功能的入侵监测系统 在各核心汇聚域交换机镜像端口，部署支持虚拟功能的入侵检测设备，针对IDC内部系统之间的相互攻击以及部分来自互联网的入侵攻击行为进行监测。 如果IDC汇聚层对业务层基础区、增值区、扩展区部署不同的汇聚交换机， 则仅仅在增值区、扩展区的汇聚交换机上部署支持虚拟功能的入侵监测系统。 如果汇聚层针对业务层基础区

43、、增值区、扩展区合设汇聚交换机，那么只针对 为增值区、扩展区虚拟出的逻辑汇聚交换机部署支持虚拟功能的入侵监测系 统，为增值区、扩展区和自有业务虚拟出专用入侵监测系统。原则上，IDC优先建设停火区的入侵监测系统（IDS）或入侵防护系统（IPS）。核心汇聚域可通过物理隔离的方式，实现各个业务区域之间的隔离；也可通过在防火墙 上设定安全访问控制策略实现各个业务域的隔离。7.2.4 业务域业务域由接入交换机和各业务系统的服务器、存储设备等组成，根据安全管理的可控性 不同，业务域可以划分为移动自有业务域和第三方业务域。移动自有业务域为中国移动提供IDC业务，例如门户网站的核心设备、自有业务系统 核心设备

44、等。此区域的主机及超级终端可管控性强。第三方业务域指对外提供IDC业务的区域，根据安全需求的不同，可分为基础区、增 值区和扩展区三个区域： 基础区通过普通接入（不需要经过防火墙）连接到CMNET网络。在该区域的服务 器设备通过业务接入层交换机上联到汇聚层交换机，经过IDC核心路由器和CMNET实现互联。用户拥有自己的业务设备，例如：带宽管理设备、防火墙、负 载均衡设备、4层/7层智能服务设备等。用户仅需要从IDC租用固定带宽和机位 机架的服务。该区域一用于开展IDC主机托管、带宽租赁、主机租赁等基础业务。 增值区是围绕IDC数据中心业务开展的其它增值类附属业务的区域。该区域通过 防火墙、IDS

45、等安全设备连接到CMNET网络。用户需要使用IDC提供的增值服 务设备，例如：防火墙、负载均衡设备、4层/7层智能服务设备等。该区域除了提 供基础区的业务外，还可以提供防火墙出租、服务器监控、存储出租、入侵监测、 流量监控与过滤、网页篡改防护、远程接入管控等增值业务。 根据中国移动IDC总体技术要求扩展区是为了 IDC的业务扩展性而设计的， 通过防火墙、IDS等安全设备连接到CMNET网络，并提供专线接入服务，实现与 集团客户内部网络的互连。设置扩展区有两点考虑：一是建设方可以将一些不适合 放在基础区或者增值区的业务系统放入扩展区，如大型集团客户；另外一方面根据 IDC业务发展的需求，在IDC里面不断涌现各种对网络架