YD_T 1665-2024 通信Web业务防护WAF技术规范.docxVIP

YD/T1665-2024通信Web业务防护WAF技术规范

前言

本文件为通信行业推荐性标准，由工业和信息化部批准发布，中国通信标准化协会归口管理。本标准针对通信行业Web类业务专属安全风险，统一通信Web应用防火墙（WAF）的技术架构、防护能力、规则体系、部署模式、性能指标、安全管控、联动机制与验收规范，填补通信行业专用WAF标准空白。

本文件针对通信运营商门户、业务受理平台、运维网管、云网业务控制台、算力服务门户、API网关Web服务等场景存在的SQL注入、XSS跨站、命令执行、越权访问、爬虫攻击、接口滥用、网页篡改、恶意扫描、零日漏洞利用等共性风险，解决通用WAF适配性差、通信专属防护规则缺失、攻防演练重保能力不足、告警误报漏报率高、与通信运维安全体系无法联动、防护效果无统一验收依据等行业痛点，构建适配云网融合、5G-A、算力网络场景的通信专属Web安全防护体系，实现通信Web业务“全覆盖防护、精准拦截、智能研判、全程溯源、闭环处置”。

本文件适用于通信运营商、通信业务服务商、设备厂商、第三方测评机构开展通信Web业务防护系统建设、WAF设备选型部署、安全策略配置、攻防重保加固、合规自查、项目验收与等级保护测评，是通信行业Web应用安全防护、边界风险管控、业务系统加固的核心技术依据。

1范围

本文件规定了通信Web业务防护WAF的术语定义、总体架构、部署模式、基础防护