IPv4-IPv6網(wǎng)絡(luò)安全防護(hù)要求 第4部分：內(nèi)容分發(fā)網(wǎng)絡(luò)

ICS33.040.40

CCSM32

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/TXXXXX.4—XXXX

IPv4/IPv6網(wǎng)絡(luò)安全防護(hù)技術(shù)規(guī)范

第4部分：內(nèi)容分發(fā)網(wǎng)絡(luò)

IPv4/IPv6securityprotectionrequirements-Part4:Contentdeliverynetwork

（征求意見稿）

在提交反饋意見時(shí)，請(qǐng)將您知道的相關(guān)專利連同支持性文件一并附上。

XXXX-XX-XX發(fā)布XXXX-XX-XX實(shí)施

GB/T××××—××××

前言

本文件按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)

定起草。

GB/TXXXXX《IPv4/IPv6網(wǎng)絡(luò)安全防護(hù)技術(shù)規(guī)范》與GB/TXXXXX《IPv6網(wǎng)絡(luò)安全設(shè)備技術(shù)

要求》、GB/TXXXXX《IPv6網(wǎng)絡(luò)設(shè)備安全技術(shù)要求》共同構(gòu)成支撐IPv6安全的國(guó)家標(biāo)準(zhǔn)體系。

本文件是GB/TXXXXX《IPv4/IPv6網(wǎng)絡(luò)安全防護(hù)技術(shù)規(guī)范》的第4部分，GB/TXXXX已經(jīng)發(fā)

布了以下部分：

——第1部分：IP承載網(wǎng)

——第2部分：移動(dòng)通信網(wǎng)

——第3部分：互聯(lián)網(wǎng)數(shù)據(jù)中心

——第4部分：內(nèi)容分發(fā)網(wǎng)絡(luò)

注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。

本文件由中華人民共和國(guó)工業(yè)和信息化部提出。

本文件由全國(guó)通信標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC485)歸口。

本文件起草單位：

本文件主要起草人：

II

GB/T××××—××××

引言

根據(jù)《關(guān)于加快推進(jìn)互聯(lián)網(wǎng)協(xié)議第六版（IPv6）規(guī)模部署和應(yīng)用工作的通知》，為更好面對(duì)網(wǎng)絡(luò)

復(fù)雜化和用戶規(guī)模擴(kuò)大化帶來的安全挑戰(zhàn)，推動(dòng)IPv6網(wǎng)絡(luò)安全工作的標(biāo)準(zhǔn)化，我國(guó)制定了一系列IPv6

安全標(biāo)準(zhǔn)。其中，GB/TXXXXX《IPv4/IPv6網(wǎng)絡(luò)安全防護(hù)技術(shù)規(guī)范》是為規(guī)范電信網(wǎng)和互聯(lián)網(wǎng)行業(yè)中

重要網(wǎng)絡(luò)單元在IPv6網(wǎng)絡(luò)中所開展的安全防護(hù)工作，擬分為以下部分：

——第1部分：IP承載網(wǎng)。目的在于IPv6部署后，推動(dòng)IP承載網(wǎng)的安全防護(hù)工作。

——第2部分：移動(dòng)通信網(wǎng)。目的在于IPv6部署后，推動(dòng)移動(dòng)通信網(wǎng)的安全防護(hù)工作。

——第3部分：互聯(lián)網(wǎng)數(shù)據(jù)中心。目的在于IPv6部署后，推動(dòng)互聯(lián)網(wǎng)數(shù)據(jù)中心的安全防護(hù)工作。

——第4部分：內(nèi)容分發(fā)網(wǎng)絡(luò)。目的在于IPv6部署后，推動(dòng)內(nèi)容分發(fā)網(wǎng)絡(luò)的安全防護(hù)工作。

III

GB/T××××—××××

IPv4/IPv6網(wǎng)絡(luò)安全防護(hù)技術(shù)規(guī)范第4部分：內(nèi)容分發(fā)網(wǎng)絡(luò)

1范圍

本文件規(guī)定了支持IPv4/IPv6協(xié)議的內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）的安全防護(hù)要求和檢測(cè)要求，包括

數(shù)據(jù)安全、業(yè)務(wù)系統(tǒng)安全、主機(jī)安全、物理環(huán)境安全和管理安全等要求。

本文件適用于支持IPv4/IPv6協(xié)議的CDN安全防護(hù)工作開展和推進(jìn)。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用

文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）

適用于本文件。

GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

YD/T2052-2015域名系統(tǒng)安全防護(hù)要求

3術(shù)語(yǔ)和定義

下列術(shù)語(yǔ)和定義適用于本文件。

3.1

內(nèi)容分發(fā)網(wǎng)絡(luò)contentdeliverynetwork

由一組相互聯(lián)系、統(tǒng)一調(diào)度的內(nèi)容緩存或加速節(jié)點(diǎn)組成的應(yīng)用層網(wǎng)絡(luò)，用于將內(nèi)容從源站更有

效地分發(fā)到互聯(lián)網(wǎng)用戶,以顯著提高互聯(lián)網(wǎng)用戶的訪問速度，改善互聯(lián)網(wǎng)絡(luò)的擁塞狀況，進(jìn)而提升

服務(wù)質(zhì)量。

3.2

內(nèi)容分發(fā)網(wǎng)絡(luò)安全等級(jí)securityclassificationofCDN

內(nèi)容分發(fā)網(wǎng)絡(luò)重要程度的表征。重要程度從內(nèi)容分發(fā)網(wǎng)絡(luò)受到破壞后，對(duì)國(guó)家安全、社會(huì)秩序、

經(jīng)濟(jì)運(yùn)行、公共利益、網(wǎng)絡(luò)和業(yè)務(wù)運(yùn)營(yíng)商造成的損害來衡量。

3.3

內(nèi)容分發(fā)網(wǎng)絡(luò)節(jié)點(diǎn)nodeofCDN

簡(jiǎn)稱CDN節(jié)點(diǎn)，在一個(gè)數(shù)據(jù)中心內(nèi)部的CDN相關(guān)服務(wù)器組成一個(gè)CDN節(jié)點(diǎn)。

4縮略語(yǔ)

下列縮略語(yǔ)適用于本文件。

1

GB/T××××—××××

CDN內(nèi)容分發(fā)網(wǎng)絡(luò)ContentDeliveryNetwork

DNS域名系統(tǒng)DomainNameSystem

DDoS分布式拒絕服務(wù)DistributedDenialofService

IP網(wǎng)際協(xié)議InternetProtocol

IPv4IP協(xié)議第4版InternetProtocolVersion4

IPv6IP協(xié)議第6版InternetProtocolVersion6

SSL安全套接層SecureSocketLayer

VPN虛擬專用網(wǎng)絡(luò)VirtualPrivateNetwork

5內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）安全防護(hù)概述

5.1內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）安全防護(hù)范圍

CDN可以分為企業(yè)自建自用的專用內(nèi)容分發(fā)網(wǎng)、作為第三方對(duì)外提供服務(wù)的內(nèi)容分發(fā)網(wǎng)。本文件

僅對(duì)作為第三方對(duì)外提供內(nèi)容分發(fā)服務(wù)的CDN提出安全防護(hù)要求。

CDN位于內(nèi)容源站與互聯(lián)網(wǎng)用戶之間，主要通過內(nèi)容的分布式存儲(chǔ)和就近服務(wù)提高內(nèi)容分發(fā)的效

率和服務(wù)質(zhì)量，CDN是基于開放互聯(lián)網(wǎng)的重疊網(wǎng)，與承載網(wǎng)松耦合，通常CDN內(nèi)部由運(yùn)營(yíng)管理系統(tǒng)、

DNS調(diào)度系統(tǒng)、邊緣服務(wù)器、監(jiān)控系統(tǒng)組成，CDN外部與內(nèi)容源站以及互聯(lián)網(wǎng)用戶相連，如圖1所示。

本文件的安全防護(hù)對(duì)象是CDN本身，不包含對(duì)內(nèi)容源站的安全防護(hù)、承載網(wǎng)絡(luò)安全防護(hù)要求和部署以

及CDN服務(wù)器的IDC機(jī)房的安全防護(hù)要求，其應(yīng)遵循各自防護(hù)要求標(biāo)準(zhǔn)。

運(yùn)營(yíng)管理系統(tǒng)邊緣服務(wù)器

CDN

DNS調(diào)度系統(tǒng)監(jiān)控系統(tǒng)

承載網(wǎng)絡(luò)

互聯(lián)網(wǎng)用戶內(nèi)容源站

圖1內(nèi)容分發(fā)網(wǎng)絡(luò)示意圖

5.2內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）安全防護(hù)內(nèi)容

應(yīng)按照國(guó)家、行業(yè)的網(wǎng)絡(luò)安全等級(jí)劃分標(biāo)準(zhǔn)確定安全等級(jí)，并依據(jù)安全等級(jí)開展包括數(shù)據(jù)安全、業(yè)

務(wù)系統(tǒng)安全、主機(jī)安全、物理環(huán)境安全和管理安全等五個(gè)層面的安全防護(hù)工作。其中：

a)數(shù)據(jù)安全：主要包括CDN的數(shù)據(jù)一致性保護(hù)、安全審計(jì)、惡意數(shù)據(jù)清除等方面內(nèi)容和要求；

2

GB/T××××—××××

b)業(yè)務(wù)系統(tǒng)安全：主要包括CDN的結(jié)構(gòu)安全、訪問控制安全、攻擊和入侵防范等方面的內(nèi)容和

要求；

c)主機(jī)安全：主要包括CDN的主機(jī)訪問控制、安全審計(jì)、入侵防范等方面內(nèi)容和要求；

d)物理環(huán)境安全：主要包括GB/T22239-2019中安全物理環(huán)境要求；

e)管理安全：除GB/T22239-2019要求外，還包括人員管理、應(yīng)急預(yù)案等方面內(nèi)容和要求。

6內(nèi)容分發(fā)網(wǎng)絡(luò)安全防護(hù)要求

6.1第1級(jí)要求

暫不作要求。

6.2第2級(jí)要求

6.2.1數(shù)據(jù)安全

6.2.1.1數(shù)據(jù)一致性保護(hù)

數(shù)據(jù)一致性保護(hù)應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)保證內(nèi)部傳輸數(shù)據(jù)的一致性，支持基于加密傳輸?shù)确绞酱_保CDN系統(tǒng)內(nèi)部傳輸數(shù)

據(jù)的一致性；

b)CDN系統(tǒng)應(yīng)具備分發(fā)的內(nèi)容不被非法引用的能力，支持基于訪問來源IP、時(shí)間、地域、加密

簽名等方式的防盜鏈；

c)CDN系統(tǒng)應(yīng)能檢測(cè)并及時(shí)阻斷緩存頁(yè)面在傳輸過程中非法廣告及非法內(nèi)容、數(shù)據(jù)的插入。

6.2.1.2安全審計(jì)

數(shù)據(jù)安全審計(jì)應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)記錄內(nèi)容源站操作維護(hù)人員對(duì)其自主源站相關(guān)的CDN管理系統(tǒng)進(jìn)行的管理操作

和數(shù)據(jù)訪問，日志記錄保存至少180天，日志記錄包含操作人員、操作時(shí)間、操作內(nèi)容，操作

結(jié)果等信息；

b)CDN系統(tǒng)應(yīng)記錄CDN內(nèi)部人員管理維護(hù)操作和數(shù)據(jù)訪問，日志記錄至少保留180天；

c)保存的操作日志應(yīng)定期（如每半年/季度/月）進(jìn)行審計(jì)。

6.2.1.3惡意數(shù)據(jù)清除

CDN系統(tǒng)應(yīng)根據(jù)國(guó)家有關(guān)部門或內(nèi)容源站要求及時(shí)完成對(duì)被篡改頁(yè)面或包含惡意代碼頁(yè)面（惡意

代碼可能內(nèi)嵌在文本、圖片、鏈接、可執(zhí)行文件中等）的屏蔽或清除操作，保證全網(wǎng)服務(wù)器屏蔽或清除

全部惡意數(shù)據(jù)的系統(tǒng)完成時(shí)間在30分鐘內(nèi)。

6.2.2業(yè)務(wù)系統(tǒng)安全

6.2.2.1結(jié)構(gòu)安全

業(yè)務(wù)系統(tǒng)結(jié)構(gòu)安全應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)根據(jù)系統(tǒng)內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)，按照統(tǒng)一的管理和控制原則劃分不同的子網(wǎng)或網(wǎng)段，

依照功能劃分及重要性等因素分區(qū)部署相關(guān)設(shè)備；

3

GB/T××××—××××

b)CDN系統(tǒng)應(yīng)做好內(nèi)外網(wǎng)隔離，內(nèi)部IPv4地址、IPv6全局地址應(yīng)該拒絕外網(wǎng)直接訪問；

c)CDN系統(tǒng)在節(jié)點(diǎn)部署時(shí)應(yīng)考慮防范安全攻擊，CDN服務(wù)器單節(jié)點(diǎn)（位于獨(dú)立IDC機(jī)房?jī)?nèi)的

CDN服務(wù)器群）的服務(wù)能力（如承載帶寬量）不超過全網(wǎng)的20%；

d)CDN系統(tǒng)應(yīng)采用多邊緣服務(wù)器冗余配置抵抗攻擊，在一個(gè)邊緣服務(wù)器受到攻擊時(shí)，可在規(guī)定

時(shí)間內(nèi)切換至冗余系統(tǒng)；

e)CDN的中央核心節(jié)點(diǎn)（運(yùn)營(yíng)管理系統(tǒng)、DNS調(diào)度系統(tǒng)、監(jiān)控系統(tǒng)）有實(shí)時(shí)備份節(jié)點(diǎn)，可以在

規(guī)定時(shí)間內(nèi)切換至備份節(jié)點(diǎn)，以保證服務(wù)的可持續(xù)性；

f)CDN系統(tǒng)在單個(gè)運(yùn)營(yíng)商內(nèi)至少部署3個(gè)CDN節(jié)點(diǎn)；

g)CDN系統(tǒng)應(yīng)在軟件結(jié)構(gòu)上將各功能模塊化，從而實(shí)現(xiàn)對(duì)軟件精細(xì)化管理，一個(gè)軟件的故障不

影響其他軟件提供服務(wù)；

h)CDN系統(tǒng)應(yīng)具有較為完備的IPv4/IPv6安全防護(hù)能力，包括安全監(jiān)測(cè)能力、過濾攻擊能力、容

錯(cuò)能力、負(fù)載均衡調(diào)度能力，能夠防護(hù)IPv4/IPv6網(wǎng)絡(luò)環(huán)境下主流的Web應(yīng)用攻擊，例如OWASP

TOP10的Web應(yīng)用程序漏洞等；

i)CDN系統(tǒng)在運(yùn)營(yíng)過程中應(yīng)具有抗攻擊（如DDoS攻擊）和快速恢復(fù)能力；

j)CDN系統(tǒng)應(yīng)能應(yīng)具備隔離針對(duì)單一客戶攻擊的能力，防止或降低攻擊對(duì)其它客戶的影響。

6.2.2.2訪問控制

業(yè)務(wù)系統(tǒng)訪問控制應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)對(duì)內(nèi)部操作維護(hù)管理人員進(jìn)行身份認(rèn)證；

b)CDN系統(tǒng)應(yīng)對(duì)內(nèi)容源站管理員的登錄操作進(jìn)行身份認(rèn)證；

c)CDN系統(tǒng)的身份認(rèn)證過程應(yīng)通過SSL通道完成；

d)CDN內(nèi)部管理員應(yīng)必須從公司內(nèi)部（包含外網(wǎng)VPN方式）登陸CDN系統(tǒng)，CDN系統(tǒng)通過用

戶密碼、登錄IP地址、黑白名單控制等進(jìn)行訪問限制；

e)CDN系統(tǒng)的操作維護(hù)管理員口令長(zhǎng)度應(yīng)不小于8字節(jié)，口令應(yīng)有復(fù)雜度要求（使用大寫字母、

小寫字母、數(shù)字、標(biāo)點(diǎn)及特殊字符四種字符中至少二種的組合，且與用戶名或ID無(wú)相關(guān)性）

并定期更換（更新周期不大于90天）；

f)CDN系統(tǒng)應(yīng)啟用登錄失敗處理功能，如限制非法登錄次數(shù)、鎖定賬號(hào)等；

g)CDN系統(tǒng)對(duì)不同管理員的權(quán)限分級(jí)管理，遵循權(quán)限最小分配原則，管理權(quán)限不應(yīng)超越該管理

員的管轄范圍；

h)CDN系統(tǒng)應(yīng)具備IPv4/IPv6地址的訪問控制能力。

6.2.2.3攻擊防范

引入CDN后不應(yīng)降低內(nèi)容源站的安全水平，同時(shí)CDN系統(tǒng)應(yīng)提供對(duì)內(nèi)容源站IPv4/IPv6網(wǎng)絡(luò)下的

抗攻擊/壓力保護(hù)，包括不限于抗Synflood、UDPFlood、ACKFlood等流量型DDOS攻擊、承載訪問壓

力等，抗流量型DDOS攻擊的能力不小于600Gbps，承載訪問壓力的能力不小于3Gbps。

4

GB/T××××—××××

6.2.2.4入侵防范

業(yè)務(wù)系統(tǒng)入侵防范應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)采取安全措施（如ACL中關(guān)閉不必要的端口和服務(wù)、限制訪問地址）防止CDN

系統(tǒng)被入侵；

b)CDN系統(tǒng)應(yīng)定期（每個(gè)月/季度/半年）對(duì)系統(tǒng)進(jìn)行安全掃描和加固，檢測(cè)CDN系統(tǒng)是否能夠

有效防入侵、防篡改、防攻擊、防病毒。

6.2.2.5DNS調(diào)度系統(tǒng)安全

DNS調(diào)度系統(tǒng)安全應(yīng)滿足以下要求：

a)DNS權(quán)威授權(quán)體系應(yīng)支持IPv4/IPv6協(xié)議；

b)CDN系統(tǒng)應(yīng)盡可能采用包含最新補(bǔ)丁的DNS服務(wù)器軟件；

c)CDN系統(tǒng)應(yīng)參照YD/T2052-2015對(duì)DNS服務(wù)器進(jìn)行與所在內(nèi)容分發(fā)網(wǎng)絡(luò)相同級(jí)別的安全設(shè)

置。

6.2.2.6冗余系統(tǒng)、冗余設(shè)備及冗余鏈路

冗余系統(tǒng)、冗余設(shè)備及冗余鏈路應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)進(jìn)行冗余配置，為多個(gè)邊緣節(jié)點(diǎn)提供安全可靠穩(wěn)定的服務(wù)，運(yùn)營(yíng)管理系統(tǒng)、DNS

調(diào)度系統(tǒng)等CDN系統(tǒng)的核心系統(tǒng)均應(yīng)有至少兩個(gè)備份系統(tǒng)（部署在不同省份），保證系統(tǒng)在

遇到故障和攻擊時(shí)應(yīng)能在30分鐘內(nèi)完成系統(tǒng)切換；

b)CDN系統(tǒng)中所有設(shè)備的處理能力應(yīng)具備至少20%的冗余，能夠滿足業(yè)務(wù)高峰期需要；

c)CDN系統(tǒng)的核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）有專有鏈路接入相關(guān)運(yùn)營(yíng)

商，每個(gè)節(jié)點(diǎn)上聯(lián)接入有備份光纖；

d)CDN系統(tǒng)的核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）間通過多鏈路相連。

6.2.3主機(jī)安全

6.2.3.1訪問控制

主機(jī)訪問控制應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；

b)CDN系統(tǒng)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性；

c)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，相關(guān)用戶口令長(zhǎng)度應(yīng)不小

于8位，口令應(yīng)有復(fù)雜度要求（使用大寫字母、小寫字母、數(shù)字、標(biāo)點(diǎn)及特殊字符四種字符中

至少二種的組合，且與用戶名或ID無(wú)相關(guān)性）并定期更換（更新周期不大于90天）；

d)CDN系統(tǒng)應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；

e)當(dāng)對(duì)各類主機(jī)進(jìn)行遠(yuǎn)程管理時(shí)，CDN系統(tǒng)應(yīng)采取措施（如使用加密協(xié)議）防止鑒別信息在傳

輸過程中被竊聽；

f)CDN系統(tǒng)應(yīng)啟用訪問控制機(jī)制或策略，依據(jù)安全策略控制操作維護(hù)人員對(duì)資源的訪問；

5

GB/T××××—××××

g)CDN系統(tǒng)應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在；

h)CDN系統(tǒng)應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；

i)CDN系統(tǒng)應(yīng)限制默認(rèn)帳戶的訪問權(quán)限，修改這些賬戶的默認(rèn)口令，設(shè)備功能配置可更改的情

況下，應(yīng)重命名默認(rèn)賬戶；

j)CDN系統(tǒng)應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度到主機(jī)

級(jí)。

6.2.3.2安全審計(jì)

主機(jī)安全審計(jì)應(yīng)滿足以下要求：

a)審計(jì)范圍應(yīng)覆蓋到主機(jī)/服務(wù)器上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；

b)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安

全相關(guān)事件；

c)審計(jì)記錄應(yīng)包括事件的操作人員、操作對(duì)象、操作內(nèi)容、操作時(shí)間和操作結(jié)果等；

d)CDN系統(tǒng)應(yīng)保護(hù)審計(jì)記錄，避免其受到未預(yù)期的刪除、修改或覆蓋等，保留一定期限（至少

180天）。

6.2.3.3入侵防范

操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過安全的方式（如設(shè)置升級(jí)

服務(wù)器）保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。主機(jī)和網(wǎng)絡(luò)層面均應(yīng)部署防入侵、防病毒軟件或者硬件。

6.2.3.4資源控制

主機(jī)資源控制應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)對(duì)邊緣服務(wù)器、核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）進(jìn)行性能

監(jiān)測(cè)，包括監(jiān)測(cè)服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；

b)CDN系統(tǒng)應(yīng)能夠?qū)Ψ?wù)器、數(shù)據(jù)庫(kù)等系統(tǒng)的服務(wù)水平設(shè)定告警閾值，當(dāng)監(jiān)測(cè)到服務(wù)水平指標(biāo)

觸發(fā)閾值時(shí)應(yīng)能進(jìn)行告警。

6.2.4物理環(huán)境安全

應(yīng)滿足GB/T22239-2019中第二級(jí)的安全物理環(huán)境要求。

6.2.5管理安全

除滿足GB/T22239-2019中第二級(jí)的安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全運(yùn)維管理

相關(guān)要求外，還應(yīng)滿足如下要求：

a)監(jiān)控人員應(yīng)能夠及時(shí)發(fā)現(xiàn)安全攻擊和系統(tǒng)宕機(jī)等異常事件，并在企業(yè)規(guī)定時(shí)間內(nèi)匯報(bào)運(yùn)維人

員、管理人員和公司核心管理人員，同時(shí)在規(guī)定時(shí)間內(nèi)通知內(nèi)部客戶服務(wù)人員；

b)運(yùn)維人員應(yīng)能根據(jù)安全事件及時(shí)啟動(dòng)系統(tǒng)安全預(yù)案，及時(shí)跟進(jìn)安全事件解決情況，及時(shí)向上級(jí)

匯報(bào)；

6

GB/T××××—××××

c)客服人員應(yīng)能及時(shí)（按照服務(wù)協(xié)議條款）向客戶（即內(nèi)容源站）反饋問題解決建議和對(duì)策，協(xié)

調(diào)客戶完成相應(yīng)部署和測(cè)試；

d)CDN系統(tǒng)應(yīng)針對(duì)各類安全攻擊（如CDN遭受DDoS攻擊，DNS遭受攻擊，域名污染或者內(nèi)

容污染，節(jié)點(diǎn)故障或者帶寬服務(wù)質(zhì)量不能接受，核心數(shù)據(jù)遭到破壞等）準(zhǔn)備詳細(xì)的應(yīng)急處理預(yù)

案；

e)CDN系統(tǒng)應(yīng)對(duì)CDN全網(wǎng)系統(tǒng)有7X24小時(shí)監(jiān)控；

f)CDN系統(tǒng)針對(duì)災(zāi)難的服務(wù)恢復(fù)時(shí)間應(yīng)滿足企業(yè)要求（按照服務(wù)協(xié)議條款）；

g)CDN系統(tǒng)應(yīng)對(duì)災(zāi)難恢復(fù)預(yù)案進(jìn)行教育、培訓(xùn)和演練。

6.3第3級(jí)要求

6.3.1數(shù)據(jù)安全

6.3.1.1數(shù)據(jù)一致性保護(hù)

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

a)CDN系統(tǒng)應(yīng)有能力保證CDN數(shù)據(jù)與內(nèi)容源站傳輸?shù)囊恢滦?，支持MD5值比對(duì)、Etag值比對(duì)

等方式保證CDN數(shù)據(jù)與內(nèi)容源站傳輸?shù)囊恢滦裕?/p>

b)CDN系統(tǒng)應(yīng)具有防止CDN邊緣服務(wù)器回源站域名解析遭到劫持的能力和措施，在源站配合下

CDN的邊緣服務(wù)器能避免受到公網(wǎng)DNS的污染或者劫持進(jìn)而向錯(cuò)誤的源站發(fā)出內(nèi)容請(qǐng)求。

6.3.1.2安全審計(jì)

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

應(yīng)具有對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。

6.3.1.3惡意數(shù)據(jù)清除

CDN系統(tǒng)應(yīng)能夠在國(guó)家相關(guān)部門或內(nèi)容源站要求時(shí)間和范圍內(nèi)，及時(shí)完成對(duì)被篡改頁(yè)面或包含惡

意代碼頁(yè)面（惡意代碼可能內(nèi)嵌在文本、圖片、鏈接、可執(zhí)行文件中等）的屏蔽或清除操作，保證全網(wǎng)

服務(wù)器屏蔽或清除全部惡意數(shù)據(jù)的系統(tǒng)完成時(shí)間在10分鐘內(nèi)。

6.3.1.4備份數(shù)據(jù)安全

備份數(shù)據(jù)安全應(yīng)滿足以下要求：

a)CDN系統(tǒng)應(yīng)在多個(gè)核心節(jié)點(diǎn)備份運(yùn)營(yíng)管理系統(tǒng)的系統(tǒng)管理數(shù)據(jù)，應(yīng)每10分鐘同步一次；

b)CDN系統(tǒng)應(yīng)對(duì)源站托管數(shù)據(jù)進(jìn)行多點(diǎn)容災(zāi)備份，應(yīng)在10分鐘完成數(shù)據(jù)同步。

6.3.2業(yè)務(wù)系統(tǒng)安全

6.3.2.1結(jié)構(gòu)安全

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

CDN系統(tǒng)在單個(gè)運(yùn)營(yíng)商內(nèi)至少部署10個(gè)節(jié)點(diǎn)。

6.3.2.2訪問控制

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

7

GB/T××××—××××

CDN系統(tǒng)可為源站客戶分配多個(gè)賬號(hào)，并根據(jù)管理身份及權(quán)限賦予相應(yīng)的訪問權(quán)限。

6.3.2.3攻擊防范

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

a)引入CDN后不應(yīng)降低內(nèi)容源站的安全水平，同時(shí)CDN系統(tǒng)應(yīng)提供對(duì)內(nèi)容源站IPv4/IPv6網(wǎng)絡(luò)

下的抗攻擊/壓力保護(hù)，包括不限于抗Synflood、UDPFlood、ACKFlood等流量型DDOS攻擊，

承載訪問壓力等，抗流量型DDoS攻擊的能力不小于1.2Tbps，承載訪問壓力的能力不小于

10Gbps；

b)當(dāng)攻擊量或訪問壓力超過CDN的承載能力，CDN系統(tǒng)應(yīng)能夠采取有效措施避免造成CDN網(wǎng)

絡(luò)的全面癱瘓。

6.3.2.4入侵防范

同第2級(jí)要求。

6.3.2.5DNS調(diào)度系統(tǒng)安全

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

a)DNS服務(wù)解析具有抗攻擊能力，支持DNS系統(tǒng)監(jiān)控、DNS可用性（外部可訪問）監(jiān)控、DNS

防攻擊等；

b)DNS可處理整個(gè)系統(tǒng)的96小時(shí)內(nèi)歷史訪問量采樣集的3倍訪問量；

c)CDN的DNS服務(wù)應(yīng)根據(jù)國(guó)家相關(guān)要求在相應(yīng)部門注冊(cè)，CDN運(yùn)營(yíng)企業(yè)承擔(dān)相應(yīng)的管理責(zé)任，

根據(jù)國(guó)家要求完成緊急事件處理。

6.3.2.6冗余系統(tǒng)、冗余設(shè)備及冗余鏈路

除滿足第2級(jí)的要求之外，還應(yīng)滿足：

CDN系統(tǒng)的DNS調(diào)度系統(tǒng)、配置管理系統(tǒng)應(yīng)有多份（至少四份）備份系統(tǒng)，在遇到故障和攻擊時(shí)

能無(wú)縫完成系統(tǒng)切換。

6.3.3主機(jī)安全

同第2級(jí)要求。

6.3.4物理環(huán)境安全

應(yīng)滿足GB/T22239-2019中第三級(jí)的安全物理環(huán)境要求。

6.3.5管理安全

應(yīng)滿足第2級(jí)以及GB/T22239-2019中第三級(jí)的安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安

全運(yùn)維管理相關(guān)要求。

6.4第4級(jí)要求

同第3級(jí)要求。

6.5第5級(jí)要求

8

GB/T××××—××××

同第3級(jí)要求。

7內(nèi)容分發(fā)網(wǎng)絡(luò)安全防護(hù)檢測(cè)要求

7.1第1級(jí)檢測(cè)要求

暫不作要求。

7.2第2級(jí)檢測(cè)要求

7.2.1數(shù)據(jù)安全

7.2.1.1數(shù)據(jù)一致性保護(hù)

測(cè)試編號(hào)：CDN-第2級(jí)-數(shù)據(jù)安全-數(shù)據(jù)一致性保護(hù)-01

測(cè)試項(xiàng)目：7.2.1.1-a，CDN運(yùn)營(yíng)企業(yè)應(yīng)有能力保證CDN平臺(tái)內(nèi)部傳輸數(shù)據(jù)的一致性。

測(cè)試步驟：

1）訪談CDN運(yùn)營(yíng)企業(yè)是否有能力保證CDN平臺(tái)內(nèi)部傳輸數(shù)據(jù)一致性，是否支持基于加密

傳輸方式確保CDN平臺(tái)內(nèi)部傳輸數(shù)據(jù)的一致性；

2）測(cè)試者提供一個(gè)源站，被測(cè)試者提供兩級(jí)緩存服務(wù)器，測(cè)試者向邊緣緩存服務(wù)器請(qǐng)求測(cè)

試的URL，在傳輸過程中測(cè)試者篡改兩個(gè)緩存服務(wù)器之間傳輸?shù)臄?shù)據(jù)，測(cè)試者應(yīng)無(wú)法獲得

被篡改的數(shù)據(jù)；

3）清除緩存，測(cè)試者再次向邊緣緩存服務(wù)器請(qǐng)求同樣的URL，不執(zhí)行篡改操作，測(cè)試者得

到結(jié)果后與源站內(nèi)容對(duì)比。

預(yù)期結(jié)果：

1）步驟1）企業(yè)可提供驗(yàn)證材料證實(shí)CDN平臺(tái)內(nèi)部傳輸數(shù)據(jù)的一致性；

2）步驟3）預(yù)期結(jié)果應(yīng)完全一致。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

測(cè)試編號(hào)：CDN-第2級(jí)-數(shù)據(jù)安全-數(shù)據(jù)一致性保護(hù)-02

測(cè)試項(xiàng)目：7.2.1.1-b，CDN運(yùn)營(yíng)企業(yè)應(yīng)具備分發(fā)的內(nèi)容不被非法引用的能力。

測(cè)試步驟：

1）訪談CDN運(yùn)營(yíng)企業(yè)是否有能力保護(hù)分發(fā)的內(nèi)容不被非法引用；

2）CDN運(yùn)營(yíng)企業(yè)對(duì)訪問鏈接進(jìn)行來源防盜鏈配置，測(cè)試人員通過其他網(wǎng)站引用該鏈接；

3）CDN運(yùn)營(yíng)企業(yè)對(duì)鏈接進(jìn)行訪問IP防盜鏈配置，測(cè)試人員通過不在設(shè)置IP范圍內(nèi)的IP

地址訪問該內(nèi)容；

4）CDN運(yùn)營(yíng)企業(yè)對(duì)鏈接進(jìn)行訪問IP防盜鏈配置，測(cè)試人員通過在IP范圍內(nèi)的IP地址訪問；

9

GB/T××××—××××

5）CDN運(yùn)營(yíng)企業(yè)進(jìn)行訪問時(shí)間防盜鏈配置，測(cè)試人員在配置時(shí)間外訪問；

6）CDN運(yùn)營(yíng)企業(yè)進(jìn)行訪問時(shí)間防盜鏈配置，在配置時(shí)間內(nèi)訪問。

預(yù)期結(jié)果：

1）步驟1）企業(yè)可提供驗(yàn)證材料證實(shí)CDN運(yùn)營(yíng)企業(yè)應(yīng)具備分發(fā)的內(nèi)容不被非法引用的能力；

2）步驟2）結(jié)果為無(wú)法訪問即判定為基于訪問來源的防盜鏈措施有效；

3）步驟3）結(jié)果應(yīng)為訪問失??；

4）步驟4）結(jié)果應(yīng)為訪問成功；

5）步驟5）結(jié)果應(yīng)為訪問失??；

6）步驟6）結(jié)果應(yīng)為訪問成功。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

測(cè)試編號(hào)：CDN-第2級(jí)-數(shù)據(jù)安全-數(shù)據(jù)一致性保護(hù)-03

測(cè)試項(xiàng)目：7.2.1.1-c，CDN系統(tǒng)應(yīng)能檢測(cè)并及時(shí)阻斷緩存頁(yè)面在傳輸過程中非法廣告及非法

內(nèi)容、數(shù)據(jù)的插入。

測(cè)試步驟：

1）測(cè)試者通過緩存服務(wù)器請(qǐng)求測(cè)試的URL，在傳輸過程中測(cè)試者篡改源站與緩存服務(wù)器之

間傳輸?shù)臄?shù)據(jù)，插入惡意鏈接或者非法內(nèi)容。

預(yù)期結(jié)果：

1）如果訪問被阻斷或攔截，即可判斷系統(tǒng)能檢測(cè)并阻斷緩存頁(yè)面的非法數(shù)據(jù)插入。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.1.2安全審計(jì)

測(cè)試編號(hào)：CDN-第2級(jí)-數(shù)據(jù)安全-安全審計(jì)-01

測(cè)試項(xiàng)目：7.2.1.2-a，CDN系統(tǒng)應(yīng)記錄內(nèi)容源站操作維護(hù)人員對(duì)其自主源站相關(guān)的CDN管

理系統(tǒng)進(jìn)行的管理操作和數(shù)據(jù)訪問。

10

GB/T××××—××××

測(cè)試步驟：

1）查看CDN系統(tǒng)日志，判斷CDN系統(tǒng)是否記錄內(nèi)容源站操作維護(hù)人員對(duì)其自主源站相關(guān)

的CDN管理系統(tǒng)進(jìn)行的管理操作和數(shù)據(jù)訪問；

2）日志記錄是否保存至少180天，日志記錄是否包含操作人員、操作時(shí)間、操作內(nèi)容，操

作結(jié)果等信息；

3）查看CDN系統(tǒng)是否記錄了CDN內(nèi)部人員管理維護(hù)操作和數(shù)據(jù)訪問情況，日志記錄是否

至少保留了180天；

4）詢問CDN運(yùn)營(yíng)企業(yè)是否對(duì)保存的操作日志定期審計(jì)，查看CDN運(yùn)營(yíng)企業(yè)是否保留了審

計(jì)記錄。

預(yù)期結(jié)果：

1）CDN系統(tǒng)應(yīng)記錄內(nèi)容源站操作維護(hù)人員對(duì)其自主源站相關(guān)的CDN管理系統(tǒng)進(jìn)行的管理

操作和數(shù)據(jù)訪問，日志記錄保存至少180天，日志記錄包含操作人員、操作時(shí)間、操作內(nèi)容，

操作結(jié)果等信息；

2）CDN系統(tǒng)應(yīng)記錄CDN內(nèi)部人員管理維護(hù)操作和數(shù)據(jù)訪問，日志記錄至少保留180天；

3）CDN運(yùn)營(yíng)企業(yè)應(yīng)對(duì)保存的操作日志定期（如每半年/季度/月審核一次）審計(jì)。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.1.3惡意數(shù)據(jù)清除

測(cè)試編號(hào)：CDN-第2級(jí)-數(shù)據(jù)安全-惡意數(shù)據(jù)清除-01

測(cè)試項(xiàng)目：7.2.1.3-a，CDN運(yùn)營(yíng)企業(yè)應(yīng)能及時(shí)完成對(duì)被篡改頁(yè)面或包含惡意代碼頁(yè)面的屏蔽

或清除操作。

測(cè)試步驟：

1）通過現(xiàn)網(wǎng)要求CDN運(yùn)營(yíng)企業(yè)屏蔽或清除指定頁(yè)面（模擬被篡改頁(yè)面或包含惡意代碼頁(yè)

面）；

2）驗(yàn)證CDN運(yùn)營(yíng)企業(yè)能否根據(jù)國(guó)家或內(nèi)容源站要求在約定時(shí)間和范圍內(nèi)完成指定頁(yè)面的

屏蔽或清除操作。

預(yù)期結(jié)果：

1）及時(shí)完成對(duì)被篡改頁(yè)面或包含惡意代碼頁(yè)面（惡意代碼可能內(nèi)嵌在文本、圖片、鏈接、

可執(zhí)行文件中等）的屏蔽或清除操作，保證全網(wǎng)服務(wù)器屏蔽或清除全部惡意數(shù)據(jù)的系統(tǒng)完成

時(shí)間在30分鐘內(nèi)。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.2業(yè)務(wù)系統(tǒng)安全

7.2.2.1結(jié)構(gòu)安全

11

GB/T××××—××××

測(cè)試編號(hào)：CDN-第2級(jí)-業(yè)務(wù)系統(tǒng)安全-結(jié)構(gòu)安全-01

測(cè)試項(xiàng)目：7.2.2.1-a，業(yè)務(wù)系統(tǒng)結(jié)構(gòu)安全應(yīng)滿足相關(guān)要求。

測(cè)試步驟：

1）詢問CDN運(yùn)營(yíng)企業(yè)是否根據(jù)系統(tǒng)內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)，按照統(tǒng)一的管理和控制原則劃分

不同的子網(wǎng)或網(wǎng)段，依照功能劃分及重要性等因素分區(qū)部署相關(guān)設(shè)備；查看企業(yè)的網(wǎng)段劃分

實(shí)際配置，并通過內(nèi)外網(wǎng)測(cè)試驗(yàn)證CDN運(yùn)營(yíng)企業(yè)是否有效限制不同子網(wǎng)或網(wǎng)段之間的訪問；

2）通過現(xiàn)網(wǎng)測(cè)試驗(yàn)證CDN內(nèi)網(wǎng)IPv4地址、IPv6全局地址是否不能從外網(wǎng)直接訪問；

3）通過現(xiàn)網(wǎng)測(cè)試驗(yàn)證CDN運(yùn)營(yíng)企業(yè)的節(jié)點(diǎn)部署是否能防范安全攻擊，抽查現(xiàn)網(wǎng)中單節(jié)點(diǎn)

（位于獨(dú)立IDC機(jī)房?jī)?nèi)的CDN服務(wù)器群）服務(wù)能力（如承載帶寬量），與全網(wǎng)服務(wù)能力相

比判斷CDN服務(wù)器單節(jié)點(diǎn)的服務(wù)能力是否不超過全網(wǎng)的20%；

4）詢問CDN運(yùn)營(yíng)企業(yè)是否采用多邊緣服務(wù)器冗余配置，通過現(xiàn)網(wǎng)檢測(cè)CDN運(yùn)營(yíng)企業(yè)是否

采用多邊緣服務(wù)器冗余配置抵抗攻擊。如抽選一個(gè)邊緣服務(wù)器進(jìn)行壓力測(cè)試，確定其冗余配

置的邊緣服務(wù)器，驗(yàn)證該邊緣服務(wù)器受到攻擊并且無(wú)法承載時(shí)，是否可在規(guī)定時(shí)間內(nèi)切換至

冗余系統(tǒng)；

5）查看現(xiàn)網(wǎng)的CDN中央核心節(jié)點(diǎn)（運(yùn)營(yíng)管理系統(tǒng)、DNS調(diào)度系統(tǒng)、監(jiān)控系統(tǒng)）是否都有

實(shí)時(shí)備份節(jié)點(diǎn)，人為構(gòu)造某個(gè)中央核心節(jié)點(diǎn)故障，判斷是否可以在測(cè)試約定時(shí)間內(nèi)切換至備

份節(jié)點(diǎn)，以保證服務(wù)的可持續(xù)性；

6）查看網(wǎng)絡(luò)配置，驗(yàn)證CDN運(yùn)營(yíng)企業(yè)是否在單個(gè)運(yùn)營(yíng)商內(nèi)至少部署3個(gè)節(jié)點(diǎn)；

7）詢問并查看相關(guān)設(shè)計(jì)文檔，判斷CDN運(yùn)營(yíng)企業(yè)是否在軟件結(jié)構(gòu)上將各功能模塊化，從

而實(shí)現(xiàn)對(duì)軟件精細(xì)化管理，一個(gè)軟件的故障不影響其他軟件提供服務(wù)；

8）查看現(xiàn)網(wǎng)CDN系統(tǒng)是否有安全監(jiān)測(cè)能力、過濾攻擊能力、容錯(cuò)能力、負(fù)載均衡調(diào)度能

力。例如通過壓力測(cè)試，驗(yàn)證CDN系統(tǒng)是否能產(chǎn)生告警，進(jìn)而判斷其是否具備安全監(jiān)測(cè)能

力；通過配置一定的過濾規(guī)則，并進(jìn)行訪問測(cè)試驗(yàn)證CDN系統(tǒng)是否具備過濾攻擊能力；通

過對(duì)設(shè)備人為設(shè)置故障，并觀察后續(xù)的行為來驗(yàn)證是否具備容錯(cuò)能力和負(fù)載均衡調(diào)度能力；

9）現(xiàn)網(wǎng)仿真DDoS攻擊和黑客入侵攻擊，驗(yàn)證CDN系統(tǒng)在運(yùn)營(yíng)過程中是否具有抗攻擊和

快速恢復(fù)能力；

10）詢問CDN系統(tǒng)配置的隔離策略，通過儀表對(duì)某客戶進(jìn)行壓力測(cè)試，驗(yàn)證CDN系統(tǒng)在

識(shí)別出特定客戶被攻擊時(shí)，是否能隔離該客戶，以有效防止針對(duì)一個(gè)客戶的攻擊影響到其他

客戶。

預(yù)期結(jié)果：

1）CDN運(yùn)營(yíng)企業(yè)應(yīng)根據(jù)系統(tǒng)內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)特點(diǎn)，按照統(tǒng)一的管理和控制原則劃分不同的子

網(wǎng)或網(wǎng)段，依照功能劃分及重要性等因素分區(qū)部署相關(guān)設(shè)備；

2）CDN運(yùn)營(yíng)企業(yè)應(yīng)做好內(nèi)外網(wǎng)隔離，內(nèi)部IPv4地址、IPv6全局地址應(yīng)該拒絕外網(wǎng)直接訪

問；

3）CDN運(yùn)營(yíng)企業(yè)在節(jié)點(diǎn)部署時(shí)應(yīng)考慮防范安全攻擊，CDN服務(wù)器單節(jié)點(diǎn)（位于獨(dú)立IDC

機(jī)房?jī)?nèi)的CDN服務(wù)器群）的服務(wù)能力（如承載帶寬量）不超過全網(wǎng)的20%；

4）CDN運(yùn)營(yíng)企業(yè)應(yīng)采用多邊緣服務(wù)器冗余配置抵抗攻擊，在一個(gè)邊緣服務(wù)器受到攻擊時(shí)，

可在規(guī)定時(shí)間內(nèi)切換至冗余系統(tǒng)；

12

GB/T××××—××××

5）CDN的中央核心節(jié)點(diǎn)（運(yùn)營(yíng)管理系統(tǒng)、DNS調(diào)度系統(tǒng)、監(jiān)控系統(tǒng)）有實(shí)時(shí)備份節(jié)點(diǎn)，

可以在規(guī)定時(shí)間內(nèi)切換至備份節(jié)點(diǎn)，以保證服務(wù)的可持續(xù)性；

6）CDN運(yùn)營(yíng)企業(yè)在單個(gè)運(yùn)營(yíng)商內(nèi)至少部署3個(gè)節(jié)點(diǎn)；

7）CDN運(yùn)營(yíng)企業(yè)應(yīng)在軟件結(jié)構(gòu)上將各功能模塊化，從而實(shí)現(xiàn)對(duì)軟件精細(xì)化管理，一個(gè)軟件

的故障不影響其他軟件提供服務(wù)；

8）CDN系統(tǒng)應(yīng)具有較為完備的IPv4/IPv6安全防護(hù)能力，包括安全監(jiān)測(cè)能力、過濾攻擊能

力、容錯(cuò)能力、負(fù)載均衡調(diào)度能力，能夠防護(hù)IPv4/IPv6網(wǎng)絡(luò)環(huán)境下主流的Web應(yīng)用攻擊，

例如OWASPTOP10的Web應(yīng)用程序漏洞等；

9）CDN系統(tǒng)在運(yùn)營(yíng)過程中應(yīng)具有抗攻擊（如DDoS攻擊）和快速恢復(fù)能力；

10）CDN系統(tǒng)應(yīng)能應(yīng)具備隔離針對(duì)單一客戶攻擊的能力，防止或降低攻擊對(duì)其它客戶的影

響。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.2.2訪問控制

測(cè)試編號(hào)：CDN-第2級(jí)-業(yè)務(wù)系統(tǒng)安全-訪問控制-01

測(cè)試項(xiàng)目：7.2.2.2-a，業(yè)務(wù)系統(tǒng)訪問控制應(yīng)滿足相關(guān)要求。

測(cè)試步驟：

1）現(xiàn)網(wǎng)查看CDN系統(tǒng)是否對(duì)內(nèi)部操作維護(hù)管理人員進(jìn)行身份認(rèn)證；

2）現(xiàn)網(wǎng)查看CDN系統(tǒng)是否對(duì)內(nèi)容源站管理員的登錄操作進(jìn)行身份認(rèn)證；

3）現(xiàn)網(wǎng)查看CDN系統(tǒng)的身份認(rèn)證過程是否通過SSL通道完成；

4）詢問CDN內(nèi)部管理員是否必須從公司內(nèi)部（包含外網(wǎng)VPN方式）登陸CDN系統(tǒng)，現(xiàn)

網(wǎng)測(cè)試CDN系統(tǒng)是否通過用戶密碼、登錄IP地址、黑白名單控制等進(jìn)行訪問限制，是否不

存在通過其他方式登錄CDN系統(tǒng)的情況；

5）通過儀表測(cè)試和現(xiàn)網(wǎng)登錄系統(tǒng)驗(yàn)證CDN系統(tǒng)的操作維護(hù)管理員口令長(zhǎng)度是否不小于8

字節(jié)，口令復(fù)雜度要求是否足夠（使用大寫字母、小寫字母、數(shù)字、標(biāo)點(diǎn)及特殊字符四種字

符中至少二種的組合，且與用戶名或ID無(wú)相關(guān)性），口令是否定期更換（更新周期不大于

90天）；

6）詢問CDN系統(tǒng)哪些設(shè)備中保存CDN系統(tǒng)內(nèi)部和內(nèi)容源站操作維護(hù)人員信息，現(xiàn)網(wǎng)測(cè)試

CDN系統(tǒng)是否不明文保留密碼；

7）現(xiàn)網(wǎng)嘗試失敗登錄，驗(yàn)證CDN系統(tǒng)是否采用啟用登錄失敗處理功能，如限制非法登錄

次數(shù)、鎖定賬號(hào)等；

8）詢問CDN系統(tǒng)是否對(duì)不同管理員的權(quán)限分級(jí)管理，遵循權(quán)限最小分配原則，管理權(quán)限

不應(yīng)超越該管理員的管轄范圍，現(xiàn)網(wǎng)驗(yàn)證上述措施是否落實(shí)；

9）現(xiàn)網(wǎng)查看CDN系統(tǒng)是否具備IPv4/IPv6地址的訪問控制能力。

預(yù)期結(jié)果：

13

GB/T××××—××××

1）CDN系統(tǒng)應(yīng)對(duì)內(nèi)部操作維護(hù)管理人員進(jìn)行身份認(rèn)證；

2）CDN系統(tǒng)應(yīng)對(duì)內(nèi)容源站管理員的登錄操作進(jìn)行身份認(rèn)證；

3）CDN系統(tǒng)的身份認(rèn)證過程應(yīng)通過SSL通道完成；

4）CDN內(nèi)部管理員應(yīng)必須從公司內(nèi)部（包含外網(wǎng)VPN方式）登陸CDN系統(tǒng)，CDN系統(tǒng)

通過用戶密碼、登錄IP地址、黑白名單控制等進(jìn)行訪問限制；

5）CDN系統(tǒng)的操作維護(hù)管理員口令長(zhǎng)度應(yīng)不小于8字節(jié)，口令應(yīng)有復(fù)雜度要求（使用大寫

字母、小寫字母、數(shù)字、標(biāo)點(diǎn)及特殊字符四種字符中至少二種的組合，且與用戶名或ID無(wú)

相關(guān)性）并定期更換（更新周期不大于90天）；

6）CDN系統(tǒng)應(yīng)啟用登錄失敗處理功能，如限制非法登錄次數(shù)、鎖定賬號(hào)等；

7）CDN系統(tǒng)對(duì)不同管理員的權(quán)限分級(jí)管理，遵循權(quán)限最小分配原則，管理權(quán)限不應(yīng)超越該

管理員的管轄范圍；

8）CDN系統(tǒng)應(yīng)具備IPv4/IPv6地址的訪問控制能力。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.2.3攻擊防范

測(cè)試編號(hào)：CDN-第2級(jí)-業(yè)務(wù)系統(tǒng)安全-攻擊防范-01

測(cè)試項(xiàng)目：7.2.2.3-a，業(yè)務(wù)系統(tǒng)攻擊防范應(yīng)滿足相關(guān)要求。

測(cè)試步驟：

1）通過查看網(wǎng)絡(luò)拓?fù)?、配置等判斷引入CDN后是否沒有降低內(nèi)容源站的安全水平。

2）通過現(xiàn)網(wǎng)儀表壓力測(cè)試驗(yàn)證CDN系統(tǒng)是否能提供對(duì)內(nèi)容源站的抗攻擊/壓力保護(hù)，包括

不限于抗Synflood、UDPFlood、ACKFlood等流量型DDOS攻擊、承載訪問壓力等。

預(yù)期結(jié)果：

1）引入CDN后不應(yīng)降低內(nèi)容源站的安全水平，同時(shí)CDN系統(tǒng)應(yīng)提供對(duì)內(nèi)容源站IPv4/IPv6

網(wǎng)絡(luò)下的抗攻擊/壓力保護(hù)，包括不限于抗Synflood、UDPFlood、ACKFlood等流量型DDOS

攻擊、承載訪問壓力等，抗流量型DDOS攻擊的能力不小于600Gbps，承載訪問壓力的能

力不小于3Gbps。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.2.4入侵防范

測(cè)試編號(hào)：CDN-第2級(jí)-業(yè)務(wù)系統(tǒng)安全-入侵防范-01

測(cè)試項(xiàng)目：7.2.2.4-a，業(yè)務(wù)系統(tǒng)入侵防范應(yīng)滿足相關(guān)要求。

14

GB/T××××—××××

測(cè)試步驟：

1）詢問CDN運(yùn)營(yíng)企業(yè)采取了哪些防范入侵的安全措施，現(xiàn)網(wǎng)查看是否有效落實(shí)了安全措

施（如ACL中關(guān)閉不必要的端口和服務(wù)、限制訪問地址等）防止CDN系統(tǒng)被入侵，測(cè)試

CDN采取了安全措施后是否能有效防止對(duì)CDN系統(tǒng)的攻擊；

2）詢問并查看記錄，判斷CDN運(yùn)營(yíng)企業(yè)是否定期（每個(gè)月/季度/半年）對(duì)系統(tǒng)進(jìn)行安全掃

描和加固，是否對(duì)現(xiàn)網(wǎng)驗(yàn)證安全掃描發(fā)現(xiàn)的問題進(jìn)行了加固。

預(yù)期結(jié)果：

1）CDN運(yùn)營(yíng)企業(yè)應(yīng)采取安全措施（如ACL中關(guān)閉不必要的端口和服務(wù)、限制訪問地址）

防止CDN系統(tǒng)被入侵；

2）CDN運(yùn)營(yíng)企業(yè)應(yīng)定期（每個(gè)月/季度/半年）對(duì)系統(tǒng)進(jìn)行安全掃描和加固，檢測(cè)CDN系統(tǒng)

是否能夠有效防入侵、防篡改、防攻擊、防病毒。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.2.5DNS調(diào)度系統(tǒng)安全

測(cè)試編號(hào)：CDN-第2級(jí)-業(yè)務(wù)系統(tǒng)安全-DNS調(diào)度系統(tǒng)-01

測(cè)試項(xiàng)目：7.2.2.5-a，業(yè)務(wù)系統(tǒng)DNS調(diào)度系統(tǒng)安全應(yīng)滿足相關(guān)要求。

測(cè)試步驟：

1）查看CDN運(yùn)營(yíng)企業(yè)的現(xiàn)網(wǎng)配置，DNS權(quán)威授權(quán)體系是否支持IPv4/IPv6協(xié)議；

2）詢問CDN運(yùn)營(yíng)企業(yè)對(duì)DNS服務(wù)器軟件更新或修補(bǔ)的機(jī)制，判斷其是否盡可能采用包含

最新補(bǔ)丁的DNS服務(wù)器軟件；

3）詢問并查看CDN運(yùn)營(yíng)企業(yè)對(duì)DNS服務(wù)器的安全設(shè)置，判斷其是否對(duì)內(nèi)部所有的DNS

服務(wù)器參照YD/T2052-2015進(jìn)行了與所在內(nèi)容分發(fā)網(wǎng)絡(luò)相同級(jí)別的安全設(shè)置。

預(yù)期結(jié)果：

1）CDN運(yùn)營(yíng)企業(yè)在全國(guó)至少部署兩個(gè)DNS節(jié)點(diǎn)進(jìn)行冗余備份，DNS權(quán)威授權(quán)體系應(yīng)支持

IPv4/IPv6協(xié)議；

2）CDN運(yùn)營(yíng)企業(yè)應(yīng)盡可能采用包含最新補(bǔ)丁的DNS服務(wù)器軟件；

3）CDN運(yùn)營(yíng)企業(yè)應(yīng)參照YD/T2052-2015對(duì)DNS服務(wù)器進(jìn)行與所在內(nèi)容分發(fā)網(wǎng)絡(luò)相同級(jí)別

的安全設(shè)置。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.2.6冗余系統(tǒng)、冗余設(shè)備及冗余鏈路要求

測(cè)試編號(hào)：CDN-第2級(jí)-業(yè)務(wù)系統(tǒng)安全-冗余要求-01

15

GB/T××××—××××

測(cè)試項(xiàng)目：7.2.2.6-a，業(yè)務(wù)系統(tǒng)冗余應(yīng)滿足相關(guān)要求。

測(cè)試步驟：

1）詢問并現(xiàn)網(wǎng)查看CDN系統(tǒng)是否進(jìn)行了冗余配置，是否能為多個(gè)邊緣節(jié)點(diǎn)提供安全可靠

穩(wěn)定的服務(wù)。詢問并查看運(yùn)營(yíng)管理系統(tǒng)、DNS調(diào)度系統(tǒng)是否有至少兩個(gè)備份系統(tǒng)，部署于

至少兩個(gè)省，通過現(xiàn)網(wǎng)測(cè)試判斷CDN系統(tǒng)在遇到故障和內(nèi)外網(wǎng)攻擊時(shí)是否能在30分鐘內(nèi)

完成系統(tǒng)切換；

2）詢問CDN系統(tǒng)的處理能力是否具備至少20%的冗余，是否能夠滿足業(yè)務(wù)高峰期需要；

3）詢問CDN運(yùn)營(yíng)企業(yè)CDN系統(tǒng)的核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）

鏈路的連接情況，判斷是否有專有鏈路接入相關(guān)運(yùn)營(yíng)商，每個(gè)核心系統(tǒng)上聯(lián)接入是否有備份

光纖；

4）詢問CDN運(yùn)營(yíng)企業(yè)CDN系統(tǒng)的核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）

間的互聯(lián)情況，判斷是否通過多鏈路相連。

預(yù)期結(jié)果：

1）CDN系統(tǒng)應(yīng)進(jìn)行冗余配置，為多個(gè)邊緣節(jié)點(diǎn)提供安全可靠穩(wěn)定的服務(wù)，運(yùn)營(yíng)管理系統(tǒng)、

DNS調(diào)度系統(tǒng)應(yīng)有至少兩個(gè)備份系統(tǒng)，部署于多個(gè)省份，在遇到故障和攻擊時(shí)應(yīng)能在30分

鐘內(nèi)完成系統(tǒng)切換；

2）CDN系統(tǒng)中所有設(shè)備的處理能力應(yīng)具備至少20%的冗余，能夠滿足業(yè)務(wù)高峰期需要；

3）CDN系統(tǒng)的核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）有專有鏈路接入相

關(guān)運(yùn)營(yíng)商，每個(gè)節(jié)點(diǎn)上聯(lián)接入有備份光纖；

4）CDN系統(tǒng)的核心系統(tǒng)（DNS調(diào)度系統(tǒng)、運(yùn)營(yíng)管理系統(tǒng)、監(jiān)控系統(tǒng)）間通過多鏈路相連。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.3主機(jī)安全

7.2.3.1訪問控制

測(cè)試編號(hào)：CDN-第2級(jí)-基礎(chǔ)設(shè)施安全-主機(jī)安全-訪問控制01

測(cè)試項(xiàng)目：7.2.3.1-a，主機(jī)訪問控制應(yīng)滿足相關(guān)要求。

測(cè)試步驟：

1）通過現(xiàn)網(wǎng)測(cè)試驗(yàn)證系統(tǒng)是否對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；

2）通過現(xiàn)網(wǎng)測(cè)試驗(yàn)證系統(tǒng)是否對(duì)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確

保用戶名具有唯一性；

3）通過現(xiàn)網(wǎng)測(cè)試驗(yàn)證系統(tǒng)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)具有不易被冒用的特點(diǎn)，

相關(guān)用戶口令長(zhǎng)度不小于8位，口令有復(fù)雜度要求（使用大寫字母、小寫字母、數(shù)字、標(biāo)點(diǎn)

及特殊字符四種字符中至少二種的組合，且與用戶名或ID無(wú)相關(guān)性）并定期更換（更新周

期不大于90天）；

4）通過現(xiàn)網(wǎng)嘗試失敗的登錄，測(cè)試CDN系統(tǒng)是否啟用登錄失敗處理功能，如采取結(jié)束會(huì)

16

GB/T××××—××××

話、限制非法登錄次數(shù)和自動(dòng)退出等措施；

5）詢問并現(xiàn)網(wǎng)驗(yàn)證當(dāng)對(duì)各類CDN主機(jī)進(jìn)行遠(yuǎn)程管理時(shí)，CDN系統(tǒng)是否采取必要措施（如

使用加密協(xié)議）防止鑒別信息在傳輸過程中被竊聽；

6）詢問并現(xiàn)網(wǎng)測(cè)試驗(yàn)證CDN系統(tǒng)是否啟用了訪問控制機(jī)制或策略，是否可以依據(jù)安全策

略控制操作維護(hù)人員對(duì)資源的訪問；

7）詢問并現(xiàn)網(wǎng)驗(yàn)證CDN運(yùn)營(yíng)企業(yè)是否及時(shí)刪除系統(tǒng)多余的、過期的帳戶，避免共享帳戶

的存在；

8）詢問CDN系統(tǒng)中操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的關(guān)系，現(xiàn)網(wǎng)驗(yàn)證CDN運(yùn)營(yíng)企業(yè)是否

實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；

9）詢問CDN系統(tǒng)的賬戶管理機(jī)制，現(xiàn)網(wǎng)驗(yàn)證CDN運(yùn)營(yíng)企業(yè)是否限制默認(rèn)帳戶的訪問權(quán)限，

修改這些賬戶的默認(rèn)口令，設(shè)備功能配置可更改情況下是否重命名默認(rèn)賬戶。

預(yù)期結(jié)果：

1）CDN系統(tǒng)應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；

2）CDN系統(tǒng)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯

一性；

3）操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，相關(guān)用戶口令長(zhǎng)度

應(yīng)不小于8位，口令應(yīng)有復(fù)雜度要求（使用大寫字母、小寫字母、數(shù)字、標(biāo)點(diǎn)及特殊字符四

種字符中至少二種的組合，且與用戶名或ID無(wú)相關(guān)性）并定期更換（更新周期不大于90

天）；

4）CDN系統(tǒng)應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等

措施；

5）當(dāng)對(duì)各類主機(jī)進(jìn)行遠(yuǎn)程管理時(shí)，CDN系統(tǒng)應(yīng)采取措施（如使用加密協(xié)議）防止鑒別信息

在傳輸過程中被竊聽；

6）CDN系統(tǒng)應(yīng)啟用訪問控制機(jī)制或策略，依據(jù)安全策略控制操作維護(hù)人員對(duì)資源的訪問；

7）CDN運(yùn)營(yíng)企業(yè)應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在；

8）CDN運(yùn)營(yíng)企業(yè)應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；

9）CDN運(yùn)營(yíng)企業(yè)應(yīng)限制默認(rèn)帳戶的訪問權(quán)限，修改這些賬戶的默認(rèn)口令，設(shè)備功能配置可

更改的情況下，應(yīng)重命名默認(rèn)賬戶。

判定原則：

達(dá)到以上預(yù)期結(jié)果，則通過，否則不通過。

7.2.3.2安全審計(jì)

測(cè)試編號(hào)：CDN-第2級(jí)-基礎(chǔ)設(shè)施安全-主機(jī)安全-安全審計(jì)01