CDN安全防护的新标准安全防护文档格式.docx

1、ChinaCommunications StandardsAssociation）立项，“电信网安全防护标准起草组”讨论了征求意见稿，相信CDN安全的标准化工作，能对促进CDN服务商规范安全地提供服务，从整体上提高CDN行业的安全防护水平提供指导。 美英等国家从20世纪70年代就开始研究等级保护、风险评估的相关内容，制订发布了彩虹系列、BS7799、ISO27001等具有世界影响力的安全标准。随着通信网络在国家政治、经济和社会发展过程中的基础性和全局性作用与日俱增，这些发达国家越来越重视通信网络安全，并上升到 _高度。我国也越来越重视网络与信息安全保障，相继发布了中办【xx】27号国家信息化领

2、导小组关于加强信息安全保障工作的意见、中办发【xx】11号xx2020年国家信息化发展战略等文件指导基础 _络和重要信息系统的安全保障体系建设。 近五年通信网络安全防护工作取得很大成效，指导通信网络从业务安全、网络安全、系统安全、数据安全、设备安全、物理环境安全、管理安全等各方面加固，提高了通信网络运行的稳定性和安全性、基础电信运营企业安全管理的规范性，也促进了通信行业安全服务产业的快速发展。 随着通信网络安全防护工作逐步深入规范开展，xx年工业和信息化部组织开展了增值运营企业的安全防护试点，率先对新浪、腾讯、XX、阿里巴巴、万网、空中信使运营管理的网络单元进行定级备案、安全符合性评测和风险评

3、估。 xx年，“电信网安全防护标准起草组”组织研究起草互联网内容分发网络安全防护要求和互联网内容分发网络安全防护检测要求等8项安全防护标准，工业和信息化部电信研究院、蓝汛、网宿、清华大学、中国移动、中国电信、华为、中国互联网协会等单位研究人员参与了标准的起草，目前这两项标准的征求意见稿已经在CCSA讨论通过。 根据通信网络安全防护管理办法，按照各通信网络单元遭到破坏后可能对 _、经济运行、社会秩序、公众利益的危害程度，由低到高可划分为一级、二级、三级、四级、五级。因此互联网内容分发网络安全防护要求明确了一级至五级CDN系统应该满足的安全等级保护要求，级别越高，CDN需满足的安全要求越多或越严格

4、。互联网内容分发网络安全防护检测要求明确了对CDN进行安全符合性评测的方法、内容、评价原则等，有助于深入检查企业是否落实了安全防护要求。 CDN安全防护内容 CDN位于内容源站与终端用户之间，主要通过内容的分布式存储和就近服务提高内容分发的效率，改善互联网络的拥塞状况，进而提升服务质量。通常CDN内部由请求路由系统、边缘服务器、运营管理系统、监控系统组成，CDN外部与内容源站以及终端用户相连。CDN是基于开放互联网的重叠网，与承载网松耦合。 CDN主要是为互联网上的各种业务应用分发服务，以显著提高互联网用户的访问速度，所以保障CDN分发的数据内容安全和CDN业务系统安全至关重要，保障CDN的基

5、础设施安全、管理安全，有效实施灾难备份及恢复等也是CDN安全防护应该考虑的重要内容。因此CDN的安全防护可从数据内容安全、业务系统安全、基础设施安全、管理安全、灾难备份及恢复几方面考虑。 （1）CDN数据内容安全 为保障CDN分发的数据内容安全，需要确保CDN与源站数据内容一致，并进行版权保护，记录管理员的操作维护并定期审计，一旦发现不良信息能够及时清除，同时提供防御互联网的网络攻击并对源站进行保护的能力。 数据一致性：CDN企业提供对内容污染的防御能力，识别和丢弃污染的内容，保障重要数据内容的一致性和完整性；保证CDN平台内部传输数据的一致性；防止分发的内容被非法引用（即防盗链）。 版权保护

6、：按照源站要求鉴权、用户鉴权、IP地址鉴权、终端鉴别以及组合鉴权等方式对源站内容进行版权保护。 安全审计：记录管理员（含源站管理员和CDN系统内部管理员）对CDN系统的管理操作，留存日志记录并定期审计。 不良信息清除：一旦发现CDN系统内部含不良信息，应在内容源站或主管部门要求时间内，完成全网服务器屏蔽或清除不良信息。 防攻击和源站保护：引入CDN后不应降低内容源站的安全水平，同时CDN在一定程度上提供对内容源站的抗攻击保护。 （2）CDN业务系统安全 为保障CDN的业务系统安全，需要从结构安全、访问控制、入侵防范等方面进行安全保护，另外鉴于请求路由系统（即DNS系统）在CDN系统中的重要性以

7、及目前DNS系统存在脆弱性，需要保障请求路由系统的安全。 结构安全：CDN企业在节点部署时应考虑防范安全攻击，如为服务器单节点服务能力留出足够的冗余度、配置实时备份节点等。 访问控制：对管理员操作维护进行身份认证并进行最小权限分配，从IP地址等方面限制访问。 入侵防范：关闭不必要的端口和服务，CDN能够抵御一定的安全攻击并快速恢复。 请求路由系统安全：部署多个内部DNS节点进行冗余备份，并对DNS进行安全配置。 （3）CDN基础设施安全 保障CDN的基础设施安全，可从主机安全、物理环境安全、网络及安全设备防护等方面进行保护。 主机安全：企业对CDN的操作系统和数据库的访问进行访问控制，记录操作

8、并定期进行安全审计；操作系统遵循最小授权原则，及时更新补丁，防止入侵；对服务器的CPU、硬盘、内存等使用情况进行监控，及时处置告警信息。 物理环境安全：机房应选择合适的地理位置，对机房访问应进行控制，防盗窃、防破坏、防雷击、防火、防水、防潮、防静电、温湿度控制、防尘、电磁防护等方面均应采取一定的防护措施，并确保电力持续供应。 网络及安全设备防护：IP承载网需要从网络拓扑结构、网络保护与恢复、网络攻击防范等方面进行保护。 （4）CDN管理安全 规范有效的管理对于保障信息系统的安全具有重要作用，可从机构、人员、制度等方面进行保障，同时应将安全管理措施贯穿系统建设、系统运维全过程。 机构：通过加强岗

9、位设置、人员配备、授权审批、沟通合作等形成强有力的安全管理机构。 人员：在人员录用、离岗、考核、安全意识教育和培训、外部人员访问等环节加强对人员的管理。 制度：对重要的安全工作制订管理制度，确保制度贯彻执行，根据安全形势的变化和管理需要及时修订完善安全制度。 安全建设：在系统定级备案、方案设计、产品采购、系统研发、工程实施、测试验收、系统交付、选择安全服务商等环节进行安全管理，分析安全需求、落实安全措施。CDN企业在新建、改建、扩建CDN时，应当同步建设安全保障设施，并与主体工程同时验收和投入运行。安全保障设施的新建、改建、扩建费用，需纳入建设项目概算。 安全运维：在系统运行维护过程中对物理环

10、境、介质、网络、业务系统、安全监测、密码、备份与恢复等加强安全管理，提高对恶意代码防范、安全事件处置、应急预案制订与演练的管理。 （5）灾难备份及恢复 可通过配置足够的冗余系统、设备及链路，备份数据，提高人员和技术支持能力、运行维护管理能力，制订完善的灾难恢复预案，提高CDN企业的抗灾难和有效恢复CDN的能力。 冗余系统、设备及链路：运营管理系统、请求路由系统等核心系统应具备冗余能力，在多个省份备份，发生故障后能及时切换；CDN设备的处理能力应有足够的冗余度；核心系统间的链路应有冗余备份。 备份数据：系统配置数据、源站托管数据等关键数据应定期同步备份。 人员和技术支持能力：应为用户提供724小

11、时技术支持，员工应经过培训并通过考核才能上岗。 运行维护管理能力：运维人员应能及时发现系统异常事件，在规定事件内上报企业管理人员、客服人员，做好对客户的解释工作。 灾难恢复预案：应根据可能发生的系统故障情况制订详细的灾难恢复预案，组织对预案的教育、培训和演练。 CDN标准展望 xx年制订的CDN标准还只是一个尝试，目前互联网内容分发网络安全防护要求和互联网内容分发网络安全防护检测要求仅对作为第三方对外提供互联网内容分发服务的CDN提出安全防护要求和检测要求，随着后续CDN安全防护工作的深入开展、CDN面临的安全风险不断变化，CDN安全防护标准还会不断修订完善。 后续CDN企业还将根据工业和信息化部通信网络安全防护工作的整体部署，依据互联网内容分发网络安全防护要求和互联网内容分发网络安全防护检测要求实施安全符合性评测，通过安全风险自评估深入查找网络中存在哪些安全风险，工业和信息化部还将委托专业技术检测机构对现网CDN进行安全检查评测和风险检查评估。 相信随着CDN安全防护工作的深入开展，各CDN企业会逐步加深对通信网络安全防护工作重要性的认识，掌握通信网络安全分级保护、风险评估的基本方法和要求，通过安全符合性评测和风险评估深入查找网络安全薄弱环节、落实安全防护措施、减少安全隐患，提升CDN整体安全防护水平，更好地保障 _、经济运行、社会稳定。 内容仅供参考