YD_T 2587-2013移动互联网应用商店安全防护要求.pdf

ICS 35.110M11中华人民共和国通信行业标准YD/T 2587-2013移动互联网应用商店安全防护要求Security and protection requirements formobile internet application store2013-07-22 发布2013-10-01实施中华人民共和国工业和信息化部发布 YD/T 2587-2013目次前言·1范围2规范性引用文件·3术语、定义和缩略语·…·3.1术语和定义?3.2缩略语·4　应用商店安全防护概述5应用商店定级对象和安全等级确定·6应用商店安全等级保护要求·6.1第1级要求…·6.2第2级要求6.3第 3.1级要求6.4第 3.2级要求·6.5第4级要求126.6第5级要求·附录A（规范性附录）应用商店风险分析·13参考文献 YD/T 2587-20131）应在系统边界部署访问控制设备，并启用访问控制功能；2）应根据会话状态信息为数据流提供明确的允许/拒绝访问的能力；3）应依据最小授权原则为各账号授权，按安全策略要求控制对文件、数据库表等内容的访问；4）应按照允许访问规则，决定允许或拒绝管理用户对系统的资源访问，控制粒度为单个用户；5）应限制具有拨号访问权限的管理用户的数量。安全审计1）应对系统中的重要设备运行状况、网络流量监测信息、系统管理及维护等进行日志记录，并且保留一定期限（至少90天）；2）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息，并且保留一定期限（至少180天）。入侵防范1）对于直接面向互联网用户提供服务的设备仅开放服务所必须端口，并采用技术手段监控该端口通信情况；2）应在系统边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、DoS/DDoS攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；3）应在系统边界处部署防火墙等安全防御设备或技术措施，有效抵御和防范各种攻击；4）中间件应采取最小安装原则，并更改默认账户口令及banner信息。软件容错应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求。网络及安全设备防护1）各类路由器、交换器、宽带接入服务器等网络设备应满足相关行业标准要求，具有入网许可证。2）应对登录业务平台网络设备（例如路由器、交换机）以及安全设备（例如入侵检测设备、防火·墙设备）的用户进行有效的身份标识和鉴别；3）用户的标识应唯一；4）用户口令应不小于8byte，且应有一定的复杂度，并定期更换（更新周期不大于90天）；5）应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；6）应通过设定终端接入方式、网络地址范围等条件限制管理终端登录；7）当对网络及安全设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。6.2.4主机安全身份鉴别1）应对登录操作系统和数据库系统的用户进行身份标识和鉴别；2）应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性；3）操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，相关用户口令长度应不小于8byte，口令应有复杂度要求（使用大写字母、小写字母、数字、标点及特殊字符4种字符中至少2种的组合，且与用户名或ID无相关性）并定期更换（更新周期不大于90天）；4）应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； YD/T 2587-20135）当对各类主机进行远程管理时，应采取必要措施，防止鉴别信息在传输过程中被窃听。访问控制1）应启用访问控制功能，依据安全策略控制用户对资源的访问；2）应及时删除多余的、过期的账户，避免共享账户的存在；3）应实现操作系统和数据库系统特权用户的权限分离；4）应限制默认账户的访问权限，修改这些账户的默认口令，条件允许下，应重命名默认账户。安全审计1）审计范围应覆盖到主机/服务器上的每个操作系统用户和数据库用户；2）审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;3）审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；4）应保护审计记录，避免其受到未预期的删除、修改或覆盖等，保留一定期限（至少180天）。入侵防范操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过安全的方式（如设置升级服务器）保持系统补丁及时得到更新（至少每周一次）。恶意代码防范1）应安装防范病毒、木马等恶意代码的软件，并及时更新防恶意代码软件版本和恶意代码库（至少每周一次）；2）应支持防恶意代码的统一管理。资源控制1）应通过设定终端接入方式、网络地址范围等条件限制管理终端登录；2）应根据安全策略设置登录终端的操作超时锁定；3）应限制单个用