GA611-2006互联网信息服务系统安全保护技术措施技术要求.pdf 12页

'ICS35.020A90r中华人民共和国公共安全行业标准GA611-2006互联网信息服务系统安全保护技术措施技术要求Informationservicesystemofinternet-Securityprotectiontechnologycontrols-Technologyrequirement2006-04-27发布2006-06-01实施中华人民共和国公安部发布 GA611-2006目次前言·····，，，，，。··。，·，，，，·，·····，，，，，··。······，，，·，。。···，····，，，，，··。。。。·‘···········...IQ1范围·····，，···‘············，··················，···················，·，··················，，························⋯⋯12规范性引用文件······························································································⋯⋯13术语和定义················，··················，············································.........................14技术要求·······.......................................................................................................14.1系统安全········································。············，·，····················，··············，，···········一14.2基本信息生成··········，，······，································..................................................34.3系统管理功能··············································································，················⋯⋯34.4审计功能················，····“···············‘·····················································，·······⋯⋯44.5查询和统计功能······，，，··········，······。···········，·················，，··············，·，········⋯⋯75技术要求总表····························，·，，，·······························································⋯⋯7 GA611-2006前言本标准中4.1.2.1d),4.1.2.2,4.1.3.3,4.1.4.1.1,4.1.4.2.1,4.1.5.2b),4.1.5.3,4.2.2.3,4.2.2.4A.3.2.2.1b),4.3.3c)为推荐性条款，其他为强制性条款。GA611-2006为《互联网信息服务系统安全保护技术措施》系列标准之一，该系列标准的结构如下:—互联网信息服务系统安全保护技术措施信息代码;—互联网信息服务系统安全保护技术措施数据格式;—互联网信息服务系统安全保护技术措施技术要求;—互联网信息服务系统安全保护技术措施通讯标准。本标准由公安部公共信息网络安全监察局提出。本标准由公安部信息系统安全标准化技术委员会归口。本标准起草单位:公安部计算机信息系统安全产品质量监督检验中心。本标准主要起草人:顾健、沈亮、蔡林、林燕飞、齐昆、孔令伯、管海曼、傅明德、高鑫、娄晓晨、王国庆 GA611-2006互联网信息服务系统安全保护技术措施技术要求范围本标准规定了互联网信息服务系统中的互联网点对点文件传输服务、电子公告服务、电子商务服务、电子邮件服务、短信息服务、即时通讯服务、聊天室服务、搜索引擎服务、网站服务、游戏服务的技术要求。本标准适用于互联网信息服务系统，其他提供互联网信息服务的系统类型可参照本标准执行。2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB/T226。中华人民共和国行政区划代码GB2312-198。信息交换用汉字编码字符集基本集GB18030-200。信息技术信息交换用汉字编码字符集基本集的扩充GA609-2006互联网信息服务系统安全保护技术措施信息代码GA610-2006互联网信息服务系统安全保护技术措施数据格式GA/Z02-2005公安业务基础数据元素代码集3术语和定义GA609-2006确立的以及下列术语和定义适用于本标准。3.1即时通讯公共讨论组instantmessagegroup基于即时通讯软件为用户提供多方信息交流的功能形式。3.2双因子认证dual-factorauthentication信息系统中，对用户的身份认证手段仅通过一个条件的符合来证明一个人的身份称之为单因子认证，例如:传统的“用户+口令”。通过组合两种不同条件来证明一个人的身份，称之为双因子认证，例如:除采取传统“用户+口令”外，还采用基于硬件的U盘，使用PIN口令保护用户信息等。4技术要求4.1系统安全4.1.1管理权限鉴别a)系统应提供管理员的管理功能，包括查询、增加、修改、删除管理员;b)系统应提供身份鉴别的功能，对授权管理员进行身份鉴别。鉴别以口令的方式进行，并在每次用户登录系统时进行鉴别。口令是不可见的，并在存储时有安全保护;c)系统应有且只有授权管理员能够进行系统安全管理;d)系统应设定单独的审计管理员角色，有且只有此角色的管理员能够设置审计策略事件库、查 GA611-2006询审计事件等操作;e)系统应能够提供措施对鉴别进行会话控制，防止会话结束后遗留的信息被后一次会话加以利用4.1.2自身安全4.1.2.1基本功能要求a)系统应对管理员操作进行审计，包括以下内容:登录、注销、审计管理、查询统计、系统管理;b)系统应保证安全保护技术措施正常有效运行;c)系统应防范计算机病毒、网络人侵等对服务系统的攻击;d)系统宜使用固定网络地址。4.1.2.2网站信息发布服务系统功能要求系统宜防范网页篡改和采取网页自动恢复措施4.1.3数据安全4.1.3.1基本功能要求a)系统应保证用户信息、审计数据储存的保密性和完整性。—应对用户信息、审计数据中的敏感信息加以保护;—应防止非授权用户对用户信息、审计数据信息的访问;—应用相应手段保证用户注册信息不被非授权修改(用户信息不能被删除，只能被注销);应用相应手段保证登录日志不被修改或删除。系统应采取防止用户在互联网公共信息服务中传输有害数据的技术措施。4.1.3.2点对点服务系统功能要求点对点服务系统应拦截垃圾信息的传播。4.1.3.3电子邮件服务系统功能要求系统宜提供对携带计算机病毒电子邮件的识别。可以使用内嵌的病毒模块，也可以使用第三方的杀毒引擎。能够定时自动更新病毒库。必要时系统可以支持同时使用多个外部的杀毒服务器。4.1.4服务安全管理4.1.4.1电子邮件服务系统功能要求4.1.4.1.1电子邮件服务系统群发限制功能a)宜限制来自相同客户端网络地址的并发连接数;b)宜限制来自相同客户端网络地址在指定的时间内发起连接的次数;c)宜限制一次发信过程中收信人的个数;d)宜限制相同内容的电子邮件发送的次数;e)宜限制来自相同客户端网络地址在指定的时间内错误次数的功能。4.1.4.1.2虚假电子邮件判别与屏蔽功能a)应对电子邮件信头中的路由信息进行一般性的真伪判别，并能对含有虚假路由信息的电子邮件进行屏蔽;b)应对电子邮件的发信人信箱与电子邮件的发送账号一致性进行查检，并能对不一致的电子邮件进行屏蔽;c)应对非法或不存在的电子邮件域的发件人进行屏蔽;d)用户应经过鉴别后才能发送电子邮件，能对未鉴别或未通过鉴别的用户进行屏蔽。4.1.4.2短信息服务系统功能要求4.1.4.2.1短信息群发限制功能a)宜限制来自相同客户端网络地址的并发连接数;b)宜限制来自相同客户端网络地址在指定的时间内发起连接的次数; GA611-2006c)宜限制来自相同客户端网络地址在指定的时间内发送短信息的数量;d)宜限制一条短信息中包括的目的手机号码的个数;e)宜限制相同内容的短信息发送的次数4.1.4.2.2虚假源号码的判别功能应对短信息的源号码与短信息的发送账号一致性进行查检，并能对不一致的短信息进行屏蔽。4.1.4.3即时通讯服务系统功能要求4.1.4.3.1公共讨论组要求a)应具有限制即时通讯公共讨论组最大组内用户数和讨论组名称的功能。对传播有害信息的用户具有屏蔽账号和处置的功能;b)应具有限制来自相同客户端即时通讯号的申请建立讨论组数不超过最大限制值的功能;c)应能对即时通讯公共讨论组中传播有害数据的用户登录、发布信息权限进行限制。4.1.5用户安全管理4.1.5.1基本功能要求a)系统管理应能够定位至正确的用户，进行正确的管理。应能确定用户的网络地址;b)系统应提供对特定用户帐号的屏蔽、解除屏蔽、注销等状态维护功能。4.1.5.2网上交易服务系统功能要求a)系统应记录网上交易服务系统中用户挂卖商品和用户间交易信息;b)系统宜对用户提供双因子鉴别功能。4.1.5.3游戏服务系统功能要求系统宜记录游戏装备、虚拟物品用户间转移的时间和网络地址等信息。4.2基本信息生成4.2.1产生用户注册信息除互联网搜索引擎服务系统外，其他服务系统应提供以下功能:a)提供用户信息注册功能，提供的录人数据最小集合应符合GA610-2006的用户注册信息中要求的相关内容;b)系统应具有用户名审核功能，防止出现违反国家有关法律法规规定的信息;c)系统宜具有提示用户使用长用户名和复杂密码的功能。4.2.2产生日志记录4.2.2.1基本功能要求除互联网搜索引擎服务系统外，其他服务系统应根据GA610-2006的用户注册信息和用户活动信息中相关要求，产生注册和登录日志。4.2.2.2电子公告服务系统功能要求电子公告服务提供者应记录在电子公告服务中用户发布信息内容及其发布时间等用户信息。4.2.2.3聊天室服务系统功能要求聊天室服务提供者宜记录除基本功能要求以外的日志记录，包括用户的位置、属性、联系列表等。4.2.2.4游戏服务系统功能要求互联网游戏服务提供者宜记录除基本功能要求以外的日志记录，包括用户的位置、属性、联系列表等。4.2.3投诉举报记录系统应提供用户举报、投诉有害信息的功能。如提供电子公告栏、电子邮箱、电话，对举报、投诉者的登录起止时间、网络地址进行记录。4.3系统管理功能4.3.1数据输出要求a)系统应能按照GA610-2006中的数据格式，将内容以XML文件格式输出数据; GA611-2006b)系统应提供安全保护技术措施联网接口输出数据项的定制功能，按需输出数据;c)系统应提供审计数据的实时输出功能。4.3.2记录留存功能4.3.2.1用户注册日志系统应记录用户在申请互联网服务系统服务时填写的注册资料，以及由系统记录的用户注册信息，并将数据存储于掉电非遗失性存储介质中，长期保留直至用户注销后60日以上。4.3.2.2其他日志4.3.2.2.1基本功能要求a)系统应该记录用户登录的起止时间、网络地址，并将数据存储于掉电非遗失性存储介质中，保留60天以上;b)系统宜根据GA610-2006中相关要求，记录相关的用户位置、用户属性、用户联系列表等日志，并将数据存储于掉电非遗失性存储介质中，保留15天以上。4.3.2.2.2网上交易服务系统功能要求系统应该记录网上交易服务系统中挂卖商品和交易信息，并将数据存储于掉电非遗失性存储介质中，保留15天以上。4.3.2.2.3电子邮件服务系统功能要求a)系统应该记录特定垃圾电子邮件相关信息，包括垃圾电子邮件的发现时间、客户端网络地址、收件人、发件人、电子邮件主题、电子邮件的原文等等，并将数据存储于掉电非遗失性存储介质中，保留15天以上;b)系统宜记录携带计算机病毒电子邮件相关信息，包括病毒电子邮件的发现时间、客户端网络地址、收件人、发件人、电子邮件主题、病毒的名称等等，并将数据存储于掉电非遗失性存储介质中，保留15天以上。4.3.2.2.4短信息服务系统功能要求系统应该记录特定垃圾短信息相关信息，包括垃圾短信息的发现时间、客户端网络地址、源号码、目的号码、短信息的内容等等，并将数据存储于掉电非遗失性存储介质中，保留巧天以上。4.3.3备份数据保存与恢复a)系统应提供进行数据备份的功能，应将备份数据存储于掉电非遗失性存储介质中，建立备份日志，时间段可控;b)系统应提供从备份介质进行数据恢复的功能;c)系统宜对用户基本注册信息、用户登录的起止时间和网络地址等信息进行备份4.3.4发布审核功能4.3.4.1电子公告服务系统功能要求系统应为电子公告服务系统提供信息发布审核功能，待发布信息有且只有经授权管理员同意后才能成为正式发布信息。4.3.4.2网站信息发布服务系统功能要求系统应为网站信息发布服务系统提供信息发布审核功能，待发布信息有且只有经授权管理员同意后才能成为正式发布信息。4.4审计功能4.4.1审计策略4.4.1.1基本功能要求应保证最新审计策略集能及时更新4.4.1.2点对点服务系统功能要求a)点对点服务系统应能根据审计策略集对传输的公共信息进行审计;a GA611-2006b)应能进行基于信息发布、搜索、消息广播和文件共享服务中有害点对点服务数据的审计.4.4.1.3电子公告服务系统功能要求a)系统应能根据审计策略集对发布信息进行审计;b)应能够通过设定关键字对电子公告服务用户发出的信息进行实时自动审计。4.4.1.4电子邮件服务系统功能要求a)应能对主题、发件人、收件人、抄送人、信头、信体、全文、附件文件名、附件内容及收件人或抄送人等字段包含垃圾电子邮件特征的电子邮件按照预先的设定进行相应的处置。其中，关键字的描述应包括两种方式:连续字符串、正则表达式;b)应能对全文大小在指定范围、信头大小在指定范围、信体大小在指定范围及附件总体大小在指定范围的电子邮件按照预先的设定进行相应的处置;c)应能对发送端网络地址为指定值或在指定范围内电子邮件按照预先的设定进行相应的处置4.4.1.5短信息服务系统功能要求a)应能对源号码、目的号码、短信息内容等字段包含垃圾短信息特征的垃圾短信息按照预先的设定进行相应的处置，其中对关键字的描述应该包括两种方式:连续字符串、正则表达式;b)应能对目的号码个数在指定范围的短信息按照预先的设定进行相应的处置;c)应能对发送端网络地址为指定值或在指定范围内短信息按照预先的设定进行相应的处置。4.4.1.6即时通讯服务系统功能要求a)系统应能对指定公共讨论组设置标识，并对设定标识的公共讨论组进行广播式有害信息的发现和审计;b)系统应能通过审计关键词，对群发即时通讯信息进行审计;c)系统应能对下列即时通讯信息采取审计措施:—个人用户公开的注册资料(如:用户注册名)、在公共讨论组内的资料、社区上公开的资料等;—公众信息服务中的即时通讯消息:向公众发布的广播式消息。如公共讨论组内消息和社区中发布的消息。4.4.1.7搜索引攀服务系统功能要求搜索引擎服务应具有基于关键词或语义分类的有害数据审计功能。4.4.2审计措施4.4.2.1基本功能要求a)系统应保证授权管理员能够在审计策略集中定义审计措施;b)系统如果采取信息删除的审计行动，应提供保存被删除信息的功能;c)审计措施应在系统设置规则后即时生效;d)审计措施宜规定有效时间。4.4.2.2点对点服务系统功能要求应对点对点信息传输中相关信息采取审计行动。审计措施包括:事件报警、停止传输、信息删除、账号屏蔽等。4.4.2.3电子公告服务系统功能要求应对电子公告服务系统信息采取审计行动。审计措施包括:事件报警、停止传输、信息删除、警告用户、账号屏蔽等4.4.2.4网上交易服务系统功能要求应对网上交易服务系统信息采取审计行动。审计措施包括:事件报警、停止传输、信息删除、账号屏蔽等。 GA611-20064.4.2.5电子邮件服务系统功能要求a)电子邮件审计措施应是以下六种方式的一种或多种进行组合:丢弃信息:即直接丢弃电子邮件;弹回、拒绝:丢弃短信息并通知短信息发送者发送失败原因;—对象放行:正常投递电子邮件;—延时处理:延时处理电子邮件;—转发:转发电子邮件;—信息留存，信息留存宜使用排重功能。b)应能对来自特定网络地址或地址段的发送人进行屏蔽;c)应能对特定的发信账号进行屏蔽;d)应能对来自特定网络地址或网络地址段的发送人进行无条件放行;e)应能对特定的发信账号进行无条件的放行。4.4.2.6短信息服务系统功能要求a)短信息审计措施应是以下六种措施的一种或多种进行组合:—丢弃信息:即直接丢弃短信息;—弹回、拒绝:丢弃短信息并通知短信息发送者发送失败原因;—对象放行:继续发送给原收信人;—延时处理:等待一段时间再对短信息进行处理;—转发:转发指定的收信人;—信息留存，信息留存宜使用排重功能b)应能对来自特定网络地址或网络地址段的短信息进行屏蔽;c)应能对来自特定的账号的短信息进行屏蔽;d)应能对具有特定源手机号码的短信息进行屏蔽;e)应能对来自特定网络地址或网络地址段的短信息进行无条件放行;约应能对特定的账号的短信息进行无条件的放行;9)应能对具有特定的源手机号码的短信息进行无条件的放行。4.4.2.7即时通讯服务系统功能要求a)应具备对大量群发、连发同样特征的有害即时通讯消息进行发现、审计的功能;b)对即时通讯服务系统信息应采取的审计措施包括:事件报警、停止传输、信息删除和账号屏蔽等。4.4.2.8聊天室服务系统功能要求a)应对聊天室服务系统信息采取审计行动。审计措施包括:事件报警、停止传输、警告用户、账号屏蔽等;b)聊天室服务系统应能采取信息留存的审计措施，并提供留存完整特定语音、视频内容的功能。4.4.2.9搜索引堆服务系统功能要求应对搜索引擎服务系统信息采取审计行动。审计措施包括:事件报警、停止传输、信息删除等。应对境内外含有有害数据的网站、网页采取审计措施。4.4.2.10网站信息发布服务系统功能要求a)系统应对网站信息采取审计行动。审计措施包括:事件报警、信息删除等;b)系统应能根据审计措施定义对符合条件的审计事件采取正确的审计行动。4.4.2.11游戏服务系统功能要求应对游戏信息采取审计行动。审计措施包括:事件报警、停止传输、账号屏蔽、用户锁定等。6 GA611-20064.5查询和统计功能4.5.1日志事件查询统计4.5.1.1基本功能要求a)系统应能根据互联网服务系统数据格式部分中的所有数据项进行组合或模糊查询;b)系统应能根据互联网服务系统数据格式部分中的所有数据项进行统计;c)系统应提供自定义关联模板，进行对日志事件的自定义关联分析;d)系统应提供结果的屏幕显示功能和打印功能。4.5.1.2电子邮件服务系统功能要求系统应能根据互联网电子邮件服务系统格式中的所有数据项进行统计，应能提供:a)按天为单位统计正常电子邮件的流量。流量指电子邮件的封数;b)按天为单位统计有害电子邮件的流量。流量指电子邮件的封数;c)按天为单位统计病毒电子邮件的流量。流量指电子邮件的封数4.5.1.3短信息服务系统功能要求系统应能根据互联网服务系统数据格式部分中的所有数据项进行统计，应能提供:a)按天为单位统计正常短信息的流量;b)按天为单位统计有害短信息的流量;c)按天为单位统计垃圾短信息的流量。4.5.2审计事件查询统计4.5.2.1基本功能要求a)系统应能针对审计事件进行查询;b)系统应能根据互联网服务系统数据格式部分中的所有数据项进行组合或模糊查询;c)系统应提供自定义关联模板，进行对审计事件的自定义关联分析4.5.2.2网上交易服务系统功能要求网上交易服务系统应能根据用户ID、注册网名、昵称、证件号码、绑定手机号码、电子邮件地址等关键信息进行关联，提供相关关联信息记录。4.5.2.3短信息服务系统功能要求矩信息服务系统应能根据用户ID、注册网名、昵称、证件号码、绑定手机号码、电子邮件地址等关键信息进行关联，提供相关关联信息记录4.5.3备份数据查询统计a)系统应提供对备份数据进行查询的功能;b)系统应提供结果的屏幕显示功能和打印功能。5技术要求总表(见表1)表1技术要求总表服务系统技术要求P2PBBSEBAEMAILSMSIMCHATSEARCH从EBGAME4.1.1JJJJ了JJJJJ4.14.1.2.1JJJJJ,/JJJJ4.1.24.1.2.2J GA611-2006表1(续)服务系统技术要求P2PBBSEBAEMAIISMSIMCHATSEARCH、VEBGAME4.1.3.1JJJ了JJJJJ丫4.1.34.1.3.2J4.1.3.3J4.1.4.1J4.14.1.44.1.4.2丫4.1.4.3J4.1.5.1J丫JJ丫JJJ,/了4.1.54.1.5.2丫4.1.5.3J4.2.1JJ丫JJ了丫丫,/4.2.2.1J丫J召J了JJ了4.24.2.2.2J4.2.24.2.2.3丫4.2.2.4召4.3.1JJJJJ了JJJJ4.3.2.1JJ了JJJJJJJ4.3.2.2.1JJJJJ了守JJJ4.3.24.3.2.2.2J4.3.2.24.34.3.2.2.3丫4.3.2.2.4J4.3.3JJJJJJ丫丫丫J4.3.4.1J4.3.44.3.4.2丫4.4.1.1JJ,/JJ,/J丫JJ4.4.1.2J4.4.1.3丫4.4.14.4.1.4J4.4.1.5J4.44.4.1.6丫4.4.1.7J4.4.2.1JJJJ丫了了JJJ4.4.2.2J4.4.24.4.2.3J4.4.2.4丫 GA611-2006表1(续)服务系统技术要求P2PBBSEBAEMAILSMSIMCHATSEARCHWEBGAME4.4.2.5J4.4.2.6了4.4.2.7J4.44.4.24.4.2.8J4.4.2.9J4.4.2.10丫4.4.2.11J4.5.1.1J召J,/JJJJ,/J4.5.14.5.1.2J4.5.1.3了4.54.5.2.1了J了了JJJJ了J4.5.24.5.2.2,/4.5.2.3,/4.5.3JJJJJJJJJJ注:“丫”表示技术要求对某种服务系统提出了要求。服务系统缩写如下:P2P互联网点对点文件传输服务BBS互联网电子公告服务EBA互联网网上交易服务EMAIL互联网电子邮件服务SMS互联网短信息服务IM互联网即时通讯服务CHAT互联网聊天室服务SEARCH互联网搜索引擎服务WEB互联网网站服务GAME互联网游戏服务'