YD_T 3157-2016公有云服务安全防护要求.pdf

ICS 33.040M 10YD中华人民共和国通信行业标准YD/T3157-2016公有云服务安全防护要求Security protection requirements for public cloud service2016-07-11发布2016-10-01实施中华人民共和国工业和信息化部发布 : YD/T）应采用加密技术或其他保护措施实现鉴别信息的存储保密性，b）应支持用户实现对关链业务数据和管理数据的存储保密性。c）应支持用户对密码算法、强度和方式等参数的可选配置。d）应提供有效的磁盘保护方法或数据碎片化存储等措施，保证即使磁盘被窃取，非法用户也无法从磁盘中获取有效的用户数据。e）应能够检测到数据在存储过程中完整性受到破坏。数据使用数据使用应符合以下要求：应对数据的使用进行授权和验证。数据迁移数据迁移应符合以下要求：a）应进行数据迁移前的网络安全能力评估，保证数据迁移的安全实施。b）应保证数据在不同虚拟机之闻迁移不影响业务应用的连续性，e）数据迁移中应做好数据备份以及恢复相关工作。数据销毁数据销毁应符合以下要求：a）应能够提供手段协助清除因数据在不同云平台闻迁移、业务终止、自然灾害、合同终止等遗留的数据，对日志的留存期限应符合国家有关规定。b）应提供手段清除数据的所有副本，备份和恢复备份和恢复应符合以下要求：应提供数据本地备份与恢复功能，全量数据备份至少每周一次，增量备份至少每天一次；或提供多则本备份机制。5.2.2应用安全要求身份鉴别身份鉴别应符合以下要求：应采用一种或一种以上组合的鉴别技术来进行身份鉴别。访问控制访间控制应符合以下要求：a）应严格限制用户的访间权限，按安全策略要求控制用户对应用程序及开发环境等的访间。b）应严格限制应用与应用之间相互调用的权限，按照安全策略要求控制应用程序对其他应用程序里用户数据或特权指令等资源的调用。安全审计安全审计应符合以下要求：a）审计范围应覆盖到用户在应用程序及开发环境中的关键操作、重要行为、业务资源使用情况等重要事件。b）应对审计记录进行保护，有效期内避免受到非授权的访问、算改、覆盖或剩除等。c）应定期针对审计日志进行人工审计。d）应支持按用户需求提供与其相关的审计信息及审计分析报告。5 YD/T 315720资源控制资源控制应符合以下要求：a）应限制对应用访问的最大并发会话连接数等资源配额。b）应提供资源控制不当的报警及响应。c）应在会话处于非活跃一定时间或会话结束后终止会话连接。5.2.3网络安全要求网络拓扑结构安全网络拓扑结构安全应符合以下要求：a）应绘制与当前运行情况相符的网络拓扑结构图。b）应保证关健网络设备的业务处理能力具备元余空间，满足业务高峰期需要。c）应保证接入网络和核心网络的带宽满足业务高峰期需要。d）应根据云服务的类型、功能及服务租户的不同划分不同的子网、网段或安全组。访间控制访间控制应符合以下要求：a）应在（子）网络或网段边界部署访问控制设备并启用访间控制功能，或通过安全组设置访间控制策略。b）应能根据会话状态信息为数据流提供明确的允许/拒绝访间的能力，控制粒度到主机级。安全审计安全审计符合以下要求：a）应对网络系统中的网络设备运行状况、网络流量、管理员和运维人员行为等进行日志记录。b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。c）应保证所有网络设备的系统时间自动保持一致，d）应对审计记录进行保护，有效期内避免受到非授权的访间、基改、覆盖或删除等。e）应按用户需求提供与其相关的审计信息及审计分析报告。恶意代码防范恶意代码防范应符合以下要求：应对悉意代码进行检测和清除，5网络设备防护网络设备防护应符合以下要求：a）应对登录网络设各的用户进行身份签别。b）应对网络设备的管理员登录地址进行限制。c）网络设备用户的标识应唯一。d）身份鉴别信息应具有不易被目用的特点，口令应有复杂度要求并定期更换。网络安全监测要求网络安全监测应符合以下要求：a）应对网络系统中的网络设备运行状况、网络流量、管理员和运维人员行为等进行监测，识别和记录异常状态。b）应根据用户需求支持对持续大流量攻击进行识别、报警和阻断的能力。6 YD/T）应监视是否对云服务存在以下攻击行为：端口扫描、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络虫攻击等。d）当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。5.2.4虚拟化安全要求虚拟机安全虚拟机安全应符合以下要求：a）应支持虚拟机之闻、虚报拟机与宿主机之闻的隔离。b）应支持虚拟机部署防病毒软件。c）应具有对虚拟机恶意攻击等行为的识别并处置的能力。d）应支持对虚拟机胞弱性进行检测的能力。虚拟网络