DCN网安全接入流程及规范.docx

1、DCN网安全接入流程及规范DCN网安全接入流程及规范流程讲明：1、申请单位向本级DCN治理部门提交申请报告（可使用电子文档），报告内容应包括：（见附表1）a)业务名称、业务性质、业务功能概述、业务归口主管部门、归口主管部门负责人及其联系方法；b)业务规划（网络架构、系统组成及组网技术描述）、目前规模（地域、节点数、设备安放地等）、接入方式（LAN或WAN方式）、资源占用及分配情形（端口占用、带宽、IP地址、域名、自治系统号等）、今后进展（地域、节点数、设备安放地等）；c)工程组织打算（建设工期安排、涉及部门及必要的割接方案）、系统集成方式（涉及相关的厂商情形）；d)用户专门要求。2、本级DCN

2、治理部门接到申请后应及时批阅，并与申请单位联系，确定接入方案，必要时双方技术治理人员应当面讨论协商。3、申请单位的报告获得批准后，应严格按照批准执行，不得擅自接入。4、凡是批复准许接入的业务系统工程负责部门，必须做好全部的接入预备工作，在DCN工程技术人员的配合下，将连接网线布放到指定地点，并做好标识。5、业务子网的接入原则上从网络交换机接入，如确需从路由器接入，需报省DCN治理部门审核批准；网络交换机上业务子网接入的端口资源由省DCN治理部门负责治理，未经省DCN治理部门批准不得擅自接入业务子网；6、系统接入前必须通过安全测试，符合DCN网安全接入规范要求后方可接入。附表1 广东电信DCN网

3、接入申请报告业务名称 业务性质 归口主管部门 归口主管部门负责人姓名 电话 传真 网络结构需用图示讲明（不够可附页）联网技术描述（不够可附页）系统组成（不够可附页）接入DCN的方式 端口类型 带宽需求 域名 IP地址分配（用附件详细讲明）目前规模（包括地域、节点数、设备安放地等）：（不够可附页）今后的网络系统进展（包括地域、节点、设备安放地等）：（不够可附页）工程组织打算：建设工期安排 涉及部门 必要的割接方案、时刻（不够可附页）系统集成商情形 业务系统的专门要求（不够可附页）DCN网安全接入规范第一条随着我省支撑系统的建设实施，需要接入广东电信DCN网的系统越来越多，而且各系统对DCN网的连

4、接要求也越来越复杂。由于DCN网只保证大网的安全畅通，各个应用系统的安全性需要由各自的运维部门爱护，因此，省公司网络运营部编制了DCN网生产系统安全接入规范，用于指导DCN有关使用部门和单位在新建/扩建/改建需接入到DCN网的生产系统的设计、建设、验收各个时期的安全工作，从而达到提高接入到DCN网生产系统的安全水平，保证DCN网生产系统安全运营的目的。第二条本规范是各分公司进行DCN网新建接入系统安全治理的重要依据，各公司应结合本单位的具体情形，遵照本规范对本公司所辖的DCN网接入系统进行安全治理。第三条保证DCN网接入系统机房物理环境的安全性，包括：1.DCN网生产系统所处的物理环境应符合电

5、信机房防火、防盗、防雷、防水、防震等要求（参照国家标准和中国电信有关规定）。2.生产系统属于中国电信重要关键业务系统的，其网络设备和主机系统要和一样的办公和生产环境要进行物理隔离，并采纳门禁系统、防盗报警器、闭路电视监控系统等进行安全防护。3.系统设备的布局以及强电、弱电布线必须合理、规范。4.物理安全检查验收细则参见附件1。第四条保证DCN网接入系统网络设备的安全性，包括：1.确认网络设备使用和爱护文档是否齐全。2.确认交换机所划分的虚拟子网(VLAN)是否符合规划要求。3.确认防火墙的隔离与访咨询操纵策略是否符合规划的要求。4.确认生产系统网络结点与公共网络相连接的进出口处安装配备的VPN

6、设备是否符合规划要求。5.已建立入侵检测系统的，确认是否能对进出网段的所有专门攻击行为进行实时监控、记录。6.确认网络设备的操作系统是否差不多升级到最新补丁，并禁用了不必要的服务和端口。7.确认DCN网生产系统网络结点与公共网络相连接的进出口处安装配备了防病毒网关。8.物理安全检查验收细则参见附件2。第五条保证DCN网接入系统主机设备的安全性，包括：1.确认服务器主机中不存在重复用户、测试用户、共享用户、公共账号等等不必要的用户账号。2.确认服务器的账号启用了用户账号治理策略，运维人员差不多禁用和修改了工程时期的测试账号和密码。3.确认服务器主机系统没有开放不必要的共享文件。4.确认差不多对服

7、务器主机所有的共享文件设置了用户访咨询权限。5.确认用户账号口令不存在空口令和弱口令。6.确认服务器主机系统差不多升级到最新的安全补丁。7.确认并登记服务器主机系统开放的服务和端口，关闭不必要使用的服务。8.确认系统启用了安全日志记录功能，日志记录设置成只有系统治理员账号才有权访咨询。9.物理安全检查验收细则参见附件3。第六条保证DCN网接入系统应用系统的安全性，包括：1.确认应用程序在登录过程中提供了身份认证功能。2.确认应用程序对登录者依照其操作权限进行了相应的限制。3.确认应用程序本身的日志功能是否满足事后对用户操作进行安全审核的需求。4.确认应用程序通过加密通信的方式与远程主机进行数据

8、交换和传输。5.物理安全检查验收细则参见附件4。第七条保证DCN网接入系统重要数据的安全性，包括：1.确认制定了对数据库等重要数据定时做安全备份。2.确认有通过网络备份系统等对数据库等重要数据进行远程（异地）备份。3.物理安全检查验收细则参见附件5。附件一、物理环境安全性检查验收细则序号咨询题描述回答1是否严格按照机房物理环境安全建设的要求，有火灾检测系统、灭火系统、防静电措施、电力保证系统等？ 是 否2是否明确规定机房严禁吸烟，同时不承诺带食物饮料进入？ 是 否3进入机房是否门禁系统，防止非授权人员进入？ 是 否4机房内是否有温度、湿度的检测和操纵系统，如温度计、湿度计以及空调、除湿机等？

9、是 否5关键系统是否有UPS和备用电源？ 是 否6机房是否有安全监视系统？ 是 否7机房建设和系统设备是否严格遵照设计院的设计进行布局，强电和弱电分不布线？ 是 否附件二、网络设备安全性检查验收细则序号咨询题描述回答1是否有文档化的系统操作程序，内容须有如下信息：（1）设备的有关硬件信息；（2）正常情形下的操作步骤和规程；（3）处理错误和其他专门情形的命令和流程；（4）在显现意外操作或技术咨询题时的支持联络方式；（5）系统显现故障时系统复原的步骤。 是 否2是否有网络系统所安装操作系统和应用系统软件记录，应该包括标明软件名称、厂家、版本、已安装的补丁程序号、安装和升级的时刻等内容，同时在每次系

10、统安装、升级、补丁程序安装、系统设置变化时对所做操作进行记录。 是 否3关于重要的网络设备是否使用RADIUS或者TACACS的方式实现对用户的集中治理？ 是 否4关于重要网络设备，是否建立集中的日志治理服务器，实现对重要网络设备日志的统一治理，以利于对网络设备日志的审查分析 是 否5是否有明确的补丁修补制度，应包括补丁下载的步骤、站点讲明、补丁实验等？ 是 否6是否制订网络设备操作系统的口令治理制度，对口令的选取、组成、长度、修改周期做出规定？ 是 否7是否明确禁止使用超级治理员身份直截了当登录系统？ 是 否8是否依照业务爱护要求，制订相应的网络安全访咨询操纵策略？ 是 否9是否对网络设备的

11、登录提示重新进行设置，防止网络设备在用户登录提示信息中显现系统的有关信息，必要时在用户登录提示中还能够对攻击尝试提出警告 是 否10是否启用网络设备对远程登录用户的IP地址校验功能，保证用户只能从特定的IP设备上远程登录设备进行配置等操作？ 是 否11是否依照网络安全访咨询操纵策略，拟定相应的防火墙安全操纵准则，并对安全操纵准则和访咨询操纵策略的一致性进行校验？ 是 否12是否有明确的规定，要求启用对用户口令的加密功能，对本地储存的用户口令进行加密存放，防止用户口令泄密？ 是 否13是否有明确的规定，要求设置操纵口和远程登录口的闲暇超时，让操纵口或远程登录口在闲暇一定时刻后自动断开？ 是 否1

12、4是否明确规定，限制路由器、交换机的Web服务的使用，一样情形下关闭路由器的Web配置服务，假如确实需要，应该临时开放，并在做完配置后赶忙关闭？ 是 否15是否明令禁止开放路由器、交换机上不需要的服务，如Finger、NTP、Echo、Discard、Daytime、Chargen等 是 否16是否制订了路由安全策略，包括禁止IP直截了当广播、禁止IP源路由、ICMP重定向、以及与外部互联时，必须采纳静态路由等路由安全策略。 是 否17是否有明确的策略，要求在防火墙操纵准则的设置上应该采纳“禁止除非被明确承诺”的原则？ 是 否18是否明确要求对防火墙系统不同的治理员设置相应的账号，并开启防火墙

13、系统对治理员操作的记录和审计功能？ 是 否附件三、主机设备安全性检查验收细则序号咨询题描述回答1是否有文档化的系统操作程序，内容须有如下信息：（1）设备的有关信息；（2）正常情形下的操作步骤和规程；（3）处理错误和其他专门情形的命令和流程；（4）在显现意外操作或技术咨询题时的支持联络方式；（5）系统显现故障时系统复原的步骤。 是 否2是否制定了软件使用制度，内容应包括禁止用户安装和使用来历不明、没有版权的软件，在服务器系统上还应该禁止安装与服务器所提供服务和应用无关的其它软件。 是 否3是否有主机系统所安装操作系统和应用系统软件记录，应该包括标明软件名称、厂家、版本、已安装的补丁程序号、安装和

14、升级的时刻等内容，同时在每次系统安装、升级、补丁程序安装、系统设置变化时对所做操作进行记录。 是 否4是否制定重要主机系统的安全使用制度，内容应包括禁止在重要的主机系统上扫瞄外部网站网页、接收电子邮件、编辑文档、编程以及进行与主机系统爱护无关的其它操作。 是 否5是否有明确的补丁修补制度，应包括补丁下载的步骤、站点讲明、补丁实验等？ 是 否6是否制订主机系统的口令治理制度，对口令的选取、组成、长度、修改周期做出规定？ 是 否7是否制定了安全检查制度，对检查的周期、内容、原则、时刻做出明确的规定？ 是 否8是否有明确的制度，规定对操作系统日志、系统进程、系统用户进行定期分析和检查？ 是 否9是否

15、明确规定系统显现专门时，必须对系统进行全面的安全咨询题诊断，并记录备案？专门包括系统崩溃、系统账号权限的变化、系统突然的不明缘故的性能下降等。 是 否10是否对系统所开放的网络服务进行登记备案，包括端口号、进程等差不多信息。 是 否11是否定期对所开放的服务进行安全扫描，同时，要求对安全扫描软件进行定期的更新 是 否12是否对扫描到的安全漏洞进行了适当的处置并记录备案，包括修补漏洞、加强访咨询操纵等方法。 是 否13是否对系统上可能泄漏操作系统、后台服务进程及版本号的服务重新进行安全设置，包括Banner隐藏以及其它系统信息隐藏，这些服务包括Telnet、FTP、Email等 是 否14是否明

16、确禁止使用超级治理员身份直截了当登录系统？ 是 否15关于WEB服务，是否有明确治理员操作规程，包括不得以系统最高权限用户运行Web后台进程、将Web文档依照类型分不存放于不同名目，并对名目权限作相应的设置、禁止以输入“.”的方式来对上一级名目的访咨询等内容。 是 否16关于MAIL服务器的治理，是否有明确治理员操作规程，包括禁止启用Email服务器的Open Relay功能、设置Email服务的访咨询操纵文件，拒绝接收来自垃圾邮件列表的邮件、正确设置邮件主名目的属主和权限等内容 是 否17关于FTP服务器，是否有明确治理员操作规程，包括为匿名FTP用户建立专门的用户组，并设置禁止该组用户执行

17、系统Shell命令；正确设置FTP主名目的属主和权限，名目属主设置为超级用户，权限设置应为对所有用户都可读、不可写、可执行；为FTP用户建立专门的Shell命令名目（如bin），并将该名目的属主设置为超级用户，权限设置应为对所有用户都不可读、不可写、可执行。 是 否18是否对用户权限的划分进行了明确的规定，遵循最小授权和权限分割原则，只给系统用户、数据库系统或其它应用系统用户授予业务所需的最小权限，禁止与所治理主机系统无关的人员在系统上拥有用户账号，同时关闭不需要的系统账号。对两个月以上不用的用户账号进行锁定。 是 否19关于重要的主机系统，在系统启用、重新安装或者升级时建立系统镜像，在发生网

18、络安全咨询题时利用系统镜像对系统进行完整性检查。 是 否附件四、应用系统安全性检查验收细则序号咨询题描述回答1确认应用程序是否在登录过程中提供了身份认证功能。 是 否2确认应用程序是否对登录者依照其操作权限进行了相应的限制。 是 否3确认应用程序本身的日志功能是否满足事后对用户操作进行安全审核的需求。 是 否4确认应用程序是否通过加密通信的方式与远程主机进行数据交换和传输。 是 否附件五、数据安全性检查验收细则序号咨询题描述回答1是否有明确的要求，爱护以下重要数据：计费数据、系统数据、客户数据等？ 是 否2是否制订了重要数据的备份策略，内容应包括备份的数据对象、备份方式、备份周期、备份采纳的介

19、质、数据备份储存的期限、以及操作人员 是 否3是否制订了数据备份介质的治理制度，内容包括对数据备份必须有明确的记录，在记录中标明备份内容、备份时刻，备份操作人员等信息。假如有条件，关于重要数据的备份还必须异地保密存放？ 是 否4是否明确规定，要求验证所制定的数据备份策略的有效性，对数据复原过程进行试验，确保在发生安全咨询题时能够从数据备份中进行复原 是 否5是否明确规定，关于重要数据的备份，做定期的检查，确保备份的内容和周期以及备份的储存符合有关的规定，一样一个月至少有一次？ 是 否6是否制订了重要数据的灾难复原打算，内容包括重要数据对象、数据储备及备份的位置、从数据备份进行复原的详细过程和步

20、骤、以及执行复原操作的人员。 是 否7是否对重要数据的储备有登记记录，内容包括需要爱护的数据、储备的位置、储备的形式、安全操纵的方法和措施、负责安全治理和日常备份的人员、能够访咨询数据的用户、访咨询的方式以及权限。 是 否8显现下列情形，应对数据进行备份，包括系统升级、补丁程序安装、系统配置做大的改动的前后对系统数据做全面备份、在对重要数据进行修改后应该赶忙进行备份 是 否9是否明令规定，禁止在没有采纳安全爱护机制的运算机上储备重要数据、在储备重要数据的运算机至少应该有开机口令、登录口令、数据库口令、屏幕爱护等防护措施？ 是 否10是否明令规定，禁止以软盘或者手提电脑等形式将重要数据带出系统，禁止在个人PC上存放重要数据。 是 否11是否有明确的规定，重要数据通过网络传输之前进行加密？ 是 否