DB32-T 4617.2-2023 電子政務(wù)外網(wǎng) 5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范 第2部分：5G平面安全要求

ICS

..CCS

L

DB

.

電子政務(wù)外網(wǎng)

G

IPV

G

E?GOVERNMENT

NETWORK

G

AND

IPV

NETWORK

PART

G

REQUIREMENT??

發(fā)

布 ??

實(shí)

施江蘇省市場監(jiān)督管理局 發(fā)布DB

.目次前言

……………………………Ⅲ引言………………41

范圍

…………………………12

規(guī)范性引用文件

……………13

術(shù)語和定義

…………………14

縮略語

………………………15

基本要求

……………………26

安全技術(shù)框架

………………27

終端安全

……………………38

邊界安全

……………………39

監(jiān)測管理

……………………3

安全監(jiān)測

………………3

管理審計(jì)

………………3DB

.本文件按照

GB/T

—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第

1

部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)規(guī)定起草。本文件是

DB32/T

4617《電子政務(wù)外網(wǎng)5G

平面和

IPV6

2

部分。DB32/T

4617

已經(jīng)發(fā)布了以下部分：——第

1

部分：5G

平面網(wǎng)絡(luò)建設(shè)；——第

2

部分：5G

平面安全要求；——第

3

部分：IPV6

部署要求；——第

4

部分：IPV6

地址及路由規(guī)劃。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由江蘇省政務(wù)服務(wù)管理辦公室提出并歸口。本文件起草單位：江蘇省大數(shù)據(jù)管理中心。本文件主要起草人：吳中東、忻超、付勍、夏國光、曹銀美、王子文、陸雨韜、黃敏、王光鑫、吳欣、汪忠瑞、劉曉紅、盧冬冬、張培勇、張泊遠(yuǎn)、趙靖雯。DB

. 電子政務(wù)外網(wǎng)是數(shù)字政府建設(shè)的重要基礎(chǔ)底座，是政府?dāng)?shù)字化轉(zhuǎn)型的重要基礎(chǔ)支撐。開展電子政務(wù)外網(wǎng)

5G

平面和

IPV6

網(wǎng)絡(luò)建設(shè)能夠強(qiáng)化提升電子政務(wù)外網(wǎng)高效、泛在、安全的承載能力和業(yè)務(wù)保障能力，推動各類政務(wù)應(yīng)用創(chuàng)新發(fā)展，提高政務(wù)數(shù)字化、智能化水平。DB32/T

4617子政務(wù)外網(wǎng)5G

平面和

IPV6

網(wǎng)絡(luò)技術(shù)規(guī)指導(dǎo)江蘇省電子政務(wù)外網(wǎng)

5G

平面和

IPV6

網(wǎng)絡(luò)建設(shè)的基礎(chǔ)性、通用性標(biāo)準(zhǔn)，由四個部分構(gòu)成。——第

1

部分：5G

平面網(wǎng)絡(luò)建設(shè)。目的在于規(guī)范和指導(dǎo)江蘇省電子政務(wù)外網(wǎng)

5G

平面網(wǎng)絡(luò)建設(shè)；——第

2

部分：5G

平面安全要求。目的在于規(guī)范和指導(dǎo)江蘇省電子政務(wù)外網(wǎng)

5G

平面安全建設(shè)；——第

3

部分：IPV6

部署要求。目的在于規(guī)范和指導(dǎo)江蘇省電子政務(wù)外網(wǎng)

IPV6

部署；——第

4

部分：IPV6

地址及路由規(guī)劃。目的在于規(guī)范江蘇省電子政務(wù)外網(wǎng)

IPV6

地址及路由規(guī)劃。DB

.

G

IPV

G

范圍）本文件規(guī)定了電子政務(wù)外下簡稱“政務(wù)外網(wǎng)”

5G

平面的基本要求、安全技術(shù)框架、終端安全、）邊界安全、監(jiān)測管理要求。本文件適用于政務(wù)外網(wǎng)管理機(jī)構(gòu)、接入部門、設(shè)計(jì)單位對

5G

平面安全進(jìn)行規(guī)劃、建設(shè)和管理。

規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版括所有的修改用于本文件。GB/T

22239信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求GB/T

25070信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計(jì)技術(shù)要求YD/T

36285G

移動通信網(wǎng)安全技術(shù)要求DB32/T

3514.1電子政務(wù)外網(wǎng)建設(shè)規(guī)范第

1

部分：網(wǎng)絡(luò)平臺DB32/T

4617.1電子政務(wù)外網(wǎng)5G

平面和

IPV6

網(wǎng)絡(luò)技術(shù)規(guī)范第

1

部分：5G

平面網(wǎng)絡(luò)建設(shè)

術(shù)語和定義DB32/T

3514.1、DB32/T

4617.1

界定的術(shù)語和定義適用于本文件。

縮略語下列縮略語適用于本文件。DNN：數(shù)據(jù)網(wǎng)絡(luò)名稱（DATA

NETWORK

NAME）IMSI：國際移動用戶識別碼（

MOBILE

）IMEI：國際移動設(shè)備標(biāo)識（

MOBILE

EQUIPMENT

）ISDN：綜合業(yè)務(wù)數(shù)字網(wǎng)（

NETWORK）MAC：媒體接入控制（MEDIA

ACCESS

）MSISDN：移動臺國際

ISDN

號碼（MOBILE

ISDN

NUMBER）SIM：用戶身份模塊（

MODULE）SRV6：基于

IPV6

的段路由（SEGMENT

ROUTING

IPV6）TLS：安全傳輸層協(xié)議（

LAYER

）UPF：用戶面功能（USER

）VPN：虛擬專用網(wǎng)絡(luò)（

NETWORK）5G：第五代移動通信技術(shù)（

）DB

.

基本要求.

政務(wù)外網(wǎng)

5G

平面應(yīng)符合

GB/T

22239、GB/T

25070

中網(wǎng)絡(luò)安全等級保護(hù)第三級相關(guān)要求。.

政務(wù)外網(wǎng)

5G

平面應(yīng)具備抵御各類安全風(fēng)險的能力，包括但不限于：）

防止惡意攻擊；B）

及時發(fā)現(xiàn)、檢測攻擊行為，并進(jìn)行處置；）

發(fā)現(xiàn)重要的安全漏洞，并進(jìn)行修復(fù)；D）

自身遭到損害時能夠迅速恢復(fù)核心能力。.

政務(wù)外網(wǎng)

5G

平面應(yīng)通過部署不同網(wǎng)絡(luò)切片、政務(wù)專用

UPF

等方式，確保政務(wù)

5G

終端訪問政務(wù)外網(wǎng)與運(yùn)營商互聯(lián)網(wǎng)隔離。.

政務(wù)專用

UPF

設(shè)備、邊界安全防護(hù)設(shè)備、5G

專用接入設(shè)備和通信線路應(yīng)具備冗余能力，避免單點(diǎn)故障，保證系統(tǒng)的可用性。.

運(yùn)營商

5G

網(wǎng)絡(luò)的安全架構(gòu)、安全功能以及相關(guān)安全流程等應(yīng)符合

YD/T

3628

的要求。.

政務(wù)外網(wǎng)

5G

平面建設(shè)應(yīng)符合自主可控相關(guān)要求。

安全技術(shù)框架政務(wù)外網(wǎng)

5G

平面和固網(wǎng)平面一體化融合，5G

平面安全防護(hù)體系如圖

1

所示，包括：）

終端安全：對接入政務(wù)外網(wǎng)5G平面的各類終端進(jìn)行加固，實(shí)現(xiàn)機(jī)卡綁定和固定IP地址分配；B）

邊界安全：對固移邊界進(jìn)行安全隔離，配置最小化安全策略，實(shí)現(xiàn)對

5G終端接入流量的訪問控制、入侵防護(hù)和病毒防護(hù)等；）

監(jiān)測管理：對政務(wù)外網(wǎng)5G平面所有接入流量進(jìn)行實(shí)時監(jiān)測、安全審計(jì)，實(shí)現(xiàn)對政務(wù)外網(wǎng)5G平面安全的統(tǒng)一管理。圖政務(wù)外網(wǎng)G平面安全防護(hù)體系DB

.

終端安全.

應(yīng)采用政務(wù)外網(wǎng)專用

SIM

卡，滿足關(guān)閉語音、關(guān)閉短信、關(guān)閉互聯(lián)網(wǎng)訪問、定向短信、定向數(shù)據(jù)訪問等安全要求。運(yùn)營商應(yīng)對入網(wǎng)的專用

SIM

卡進(jìn)行一次認(rèn)證，并使用專用

DNN

承載。.

終端

IP

地址應(yīng)固定分配，不應(yīng)配置地址轉(zhuǎn)換。地址分配記錄應(yīng)至少保存

6

個月。. 5G

接

入

網(wǎng)

關(guān)

應(yīng)

能

夠

對

下

聯(lián)

設(shè)

備

進(jìn)

行

接

入

認(rèn)

證

，包

括

認(rèn)

證、MAC

認(rèn)

證、802.1X

認(rèn)

證、VPN

撥號認(rèn)證等。.

對于敏感的業(yè)務(wù)數(shù)據(jù)訪問，應(yīng)采用沙箱等技術(shù)實(shí)現(xiàn)終端數(shù)據(jù)隔離，防止終端數(shù)據(jù)泄露。

邊界安全.

應(yīng)部署認(rèn)證服務(wù)平臺對終端進(jìn)行二次認(rèn)證，認(rèn)證內(nèi)容包括

DNN，SIM

卡信息（IMSI、MSISDN），設(shè)備信息（IMEI）等。. 應(yīng)基于角色、SIM

卡信IMSI、MSISDN者設(shè)備信IMEI行訪問控制，授予最小訪問權(quán)限，并對終端環(huán)境進(jìn)行持續(xù)檢測和評估，根據(jù)評估情況動態(tài)調(diào)整其訪問權(quán)限。.

應(yīng)對非授權(quán)終端接入政務(wù)外網(wǎng)進(jìn)行檢查、限制。.

邊界安全設(shè)備應(yīng)支持對

SRV6、網(wǎng)絡(luò)切片報文的安全解析，宜支持

SRV6

三層轉(zhuǎn)發(fā)。.

應(yīng)檢測、防止和限制從運(yùn)營商網(wǎng)絡(luò)發(fā)起的網(wǎng)絡(luò)攻擊行為。當(dāng)檢測到攻擊行為時，應(yīng)記錄攻擊源

IP、攻擊類型、攻擊目標(biāo)、攻擊時間。在發(fā)生嚴(yán)重入侵事件時，應(yīng)及時告警。.

應(yīng)對惡意代碼進(jìn)行檢測和清除，并定期進(jìn)行惡意代碼庫的升級與更新。.

應(yīng)支持對

TLS

等常用協(xié)議加密流量進(jìn)行檢測，滿足網(wǎng)絡(luò)對加密流量的防護(hù)需求。

監(jiān)測管理.

安全監(jiān)測安全監(jiān)測具體要求如下：）

應(yīng)對通過5G平面接入政務(wù)外網(wǎng)的業(yè)務(wù)流量進(jìn)行動態(tài)監(jiān)測，實(shí)現(xiàn)安全態(tài)勢感知和安全趨勢分析；B）

應(yīng)對5G終端訪問行為進(jìn)行持續(xù)監(jiān)測，分析異常情況并動態(tài)調(diào)整其訪問權(quán)限；）

應(yīng)對監(jiān)測結(jié)果按照重要程度、影響范圍等進(jìn)行分級別預(yù)警，并提供預(yù)警涉及的終端、SIM

卡、安全風(fēng)險等內(nèi)容；D）

應(yīng)在網(wǎng)絡(luò)邊界對監(jiān)測發(fā)現(xiàn)的威脅進(jìn)行處置，實(shí)現(xiàn)近源阻斷，避免威脅擴(kuò)散；）

運(yùn)營商應(yīng)實(shí)時向政務(wù)外網(wǎng)運(yùn)行管理機(jī)構(gòu)同步政務(wù)外網(wǎng)5G平面的安全態(tài)勢情況；F）

監(jiān)測數(shù)據(jù)應(yīng)至少保存6個月。