信息安全技术移动互联网应用服务器安全技术要求

信息安全技术移动互联网应用服务器安全技术要求

国家标准 GB/T35281一2017 信息安全技术移动互联网 应用服务器安全技术要求 Informationseeuritytechnology一 serversinmobileinternet Seeurityteehniquereqirementsfor”applieation 2017-12-29发布 2018-07-01实施 国家质量监督检验检疫总局 发布 国家标准化管理委员会国家标准
GB/35281一2017 前 言 本标准按照GB/T1.1一2009给出的规则起草 请注意本文件的某些内容可能涉及专利 本文件的发布机构不承担识别这些专利的责任 本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口 本标准起草单位:信息通信研究院、浙江蚂蚁小微金融服务集团股份有限公司、移动通信 集团公司、电信股份有限公司广东研究院、北京邮电大学 本标准主要起草人:潘娟、宁华、陈泓汲、刘陶、翟世俊、落红卫、张滨、金华敏、徐国爱、邱勤
GB/T35281一2017 引 言 移动互联网应用服务器承载着各类移动应用业务,涉及众多有价值的敏感信息资源,因此易成为被 攻击的目标 随着移动互联网应用对在线服务的依赖程度逐渐加深,应用服务器的重要程度也与日俱 增,如果其中存在安全问题,轻则致使大量用户无法正常使用移动互联网应用提供的各类业务,重则可 能导致用户信息遭到大规模泄露等安全风险 本标准主要针对移动互联网应用服务器提出安全技术要求,通过规范应用服务器安全实现和运维， 强化服务器端技术和管理安全水平,完善整个移动互联网的安全架构,确保用户权益不受损害,维护产 业有序健康发展
GB/35281一2017 信息安全技术移动互联网 应用服务器安全技术要求 范围 本标准规定了移动互联网应用服务器的安全技术要求,包括数据安全、业务安全、系统安全、设备安 全、协议安全和运维安全等 本标准适用于支持承载各类移动互联网应用业务的计算机系统,可用于指导移动互联网应用服务 器开发,部署,管理运维和测试评估,也适用于相关产品的测试和服务等 规范性引用文件 下列文件对于本文件的应用是必不可少的 凡是注日期的引用文件,仅注日期的版本适用于本文 件 凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件 GB/T20271一2006信息安全技术信息系统通用安全技术要求 GB/T20272一2006信息安全技术操作系统安全技术要求 GB/T210282007信息安全技术服务器安全技术要求 GB/T250692010信息安全技术术语 GB/T311682014信息安全技术云计算服务安全能力要求 JR/T0095一2012金融移动支付应用安全规范 术语和定义、缩略语 3.1术语和定义 GB/T25069-2010界定的以及下列术语和定义适用于本文件 3.1.1 移动互联网mobileinternet 用户使用移动终端(包括手机、上网本、平板电脑、智能本等)通过移动网络获取移动通信网络服务 和互联网服务的开放式基础电信网络 3.1.2 移动互联网应用服务器mobileinternetappliceationservers 为移动终端提供移动互联网服务的计算机系统,由支撑系统(如硬件,操作系统、中间件、数据库管 理系统、wEB服务等)和业务应用系统组成 3.1.3 移动智能终端mobilesmartterminat 能够接人移动通信网,具有能够提供应用程序开发接口的开放操作系统,并能够安装和运行应用软 件的移动终端 3.2缩略语 下列缩略语适用于本文件
GB/T35281一2017 Unit) CPU;中央处理单元(CentralPrc rocessing CVV;卡片验证码(CardVerifieationValue) HTTPS:安全超文本传输协议(HypertextTransferProtocolSecure) 1/O输人/输出(nput/Outpu) ID:身份(Identifieation) MEI;国际移动设备识别码(InternationalMobileEquipmentldentity IMsI;国际移动用户识别码(InternationalMobileSubscriberIdentity P;网际协议(InternetProtocol MAC;媒体访问控制(Media AccessControl sNMP简单网络管理协议(SimpleNetworkManagementProtocol sQL;结构化查询语言(StrueturedQueryLanguage) SSH:安全外壳协议(SecureShelI TILS;传输层安全(TransportlayerSecurity VPN;虚拟专用网(VirtualPrivateNetwork wL.AN;无线局域网(GB/35281一2017 wLAN接人点位置信息、,IP归属地信息等 d 支付信息:与用户的支付活动有关的信息,如借记卡和信用卡账号、信用卡CVV码、有效 期等 设备信息;可区分和识别移动终端设备的标识信息,如IMEI号、,IMSI号,无线网卡MAC地 址等 安全框架 为达到保护移动互联网应用服务器安全目标,结合资产分类和安全风险分析(参见附录A),移动应 用服务器的安全框架应包括数据安全、业务安全、系统安全、设备安全、协议安全、运维安全,如图1 所示 用户数据资产-数据安全 特殊业务安全 业务资产-业务安全 协 -般业务安全 议 " 系统资产-系统安全 设备资产-设备安全 图1安全框架 数据安全 6.1数据自身安全 移动互联网应用服务器的数据自身安全要求包括但不限于 应对存储的用户数据进行完整性保护 应根据对用户数据完整性保护要求进行完整性检测和 a 完整性恢复 b)应对存储的用户数据进行保密性保护 应根据不同数据类型的不同保密性要求,进行不同程 度的保密性保护,确保除具有访问权限的合法用户外,其余任何用户不能访问该数据 应在使用完毕后及时删除或匿名化处理用户相关个人信息数据,对留存期限有明确规定的.按 相关规定执行 6.2数据防护安全 移动互联网应用服务器的数据防护安全要求包括但不限于 应支持数据访问鉴别,只有鉴别成功的用户或者系统可以访问相应数据 a b 应支持通过包括但不限于数据备份,异地容灾等手段保证数据的安全 应定期地或按某种条件实施数据备份,备份方式包括并不限于如下方式:人工数据备份,增量 数据备份、局部数据备份和全系统备份 备份要求应符合GB/T20271一2006中4.2.6的
GB/T35281一2017 要求 d 应依据不同备份方式支持相应恢复能力 业务安全 7.1业务安全构成 移动互联网应用服务器业务安全要求包括两个部分;一般业务安全要求和特定业务安全要求 前 者适用于所有业务类型的应用服务器,而后者则对提供某些特定业务的应用服务器提出附加要求 7.2 一般业务安全 移动互联网应用服务器的一般业务安全要求包括但不限于 在处理用户登录请求时,若短时间内连续出现多次登录失败的情况,则应要求用户输人验证 a 码,并且限制一定时间内重试登录的次数 b 在存储用户登录凭证时,不应直接存储口令原文,而应保存口令添加盐值后的散列值,其中散 列算法应选用尚未发现存在安全缺陷的成熟算法,并且盐值的取值空间应足够大 后台管理人口以及管理账户口令应加密后保存在客户端代码中 c d 不得向客户端推送未加说明或未经客户允许的代码 e 在处理移动应用客户端发来的数据时,应对数据的有效性进行验证,过滤其中可能导致安全问 题的内容,以防范诸如sQL注人及XSS等形式的网络攻击 应保障与应用软件之间的会话不可被窃听、篡改、伪造、重放等 7.3特定业务安全 7.3.1支付业务 移动互联网应用服务器的支付业务安全要求包括但不限于 应符合JR/T00952012中第6章的要求 a b 在提供支付业务时,应符合JR/T0095一2012中第7章中对加密算法和密钥的相关规定,确保 支付信息在网络传输过程中的安全 在处理支付业务时,除支付网关外,不应向任何其他服务器传输用户提交的支付信息 d 在处理支付业务时,不应以任何持久性的方式存储用户提交的支付信息,包括但不限于数据 库、数据文件和调试记录 在完成支付业务、不再需要使用用户提交的支付信息时,应使用“0”字节、“1”字节或随机字节 对内存中保存相关信息的数据结构进行填充处理 7.3.2推送业务 移动互联网应用服务器的推送业务安全要求包括但不限于:在提供推送业务时,应对推送内容的安 全性进行审核,避免推送可将用户定向到包括但不限于恶意应用安装包下载地址、含有攻击代码的网站 以及钓鱼网站的内容 7.3.3广告业务 移动互联网应用服务器的广告业务安全要求包括但不限于 在提供广告业务时,应对其投放内容直接指向的网络链接的安全性进行审核,避免投放可将用 a 户定向到恶意应用安装包下载地址、含有攻击代码的网站以及钓鱼网站的广告内容
GB/35281一2017 b)在提供广告业务时,在未向用户明确提示并获授权的情况下,不应从用户设备中收集个人信 息,包括但不限于通信信息、位置信息和设备信息 在提供广告业务时,只有当其移动应用客户端在前台运行时,方可向移动智能终端投放更新的 广告内容 7.3.4即时通信业务 移动互联网应用服务器的即时通信业务安全要求包括但不限于 在提供即时通信业务时,应确保即时消息在网络传输过程中的安全 a 在提供即时通信业务时,应对文字消息中包含的网络链接的安全性进行审核 若发现其指向 b 恶意应用安装包下载地址、含有攻击代码的网站以及钓鱼网站,则应提醒信息接收者潜在的安 全风险 在提供即时通信业务时,应对用户传输的文件进行安全扫描 若发现文件中可能存在恶意代 码,则应在文件接收时提供安全警示 系统安全 8.1操作系统安全 移动互联网应用服务器的操作系统安全要求包括但不限于 a 应符合GB/T20272一2006中4.1.1.1的要求 b 应加强对操作系统用户账户的管理,禁用或删除所有对于业务应用正常运行所非必须的账户， 并且启用的账户应防止使用空口令或弱口令 运行的操作系统应关闭所有对于业务应用正常运行所非必须的、外部可访问的端口、共享和 服务 应配置操作系统的访问控制策略,如文件系统权限、进程沙箱等,将中间件可访问的系统资源 限制在最少够用的范围内,并且在不同的中间件进程之间实现隔离 应使用正版软件,通过升级操作系统版本或安装安全更新等方式及时修复操作系统中存在的 安全漏洞 对于因软件版本依赖等特殊原因无法升级系统或安装更新的情况,应采取特定措 施避免相关安全漏洞被恶意利用 8.2中间件安全 移动互联网应用服务器的中间件安全要求包括但不限于 应加强对中间件用户账户的管理,禁用或删除所有对于业务应用正常运行所非必须的账户,并 且启用的账户应防止使用空口令或弱口 运行的中间件应关闭所有对于业务应用正常运行所非必须的、外部可访问的端口和服务 b 应配置中间件的访问控制策略,将在线应用支持软件可访问的系统资源限制在最少够用的范 围内,并且在不同的在线应用支持软件(如果存在多个)之间实现隔离 应通过升级软件版本或安装安全更新等方式及时修复中间件中存在的安全漏洞 对于因软件 版本依赖等特殊原因无法升级系统或安装更新的情况,应采取适当措施避免相关安全漏洞被 恶意利用 应删除中间件软件默认安装的、对于业务应用正常运行所非必须的组件和数据,包括但不限于 工具软件,用户文档、,测试文件和示例数据 应修改中间件的默认配置,从中间件向网络返回的信息(如banner信息和错误信息)中移除有 关中间件软件版本,配置选项和运行状态的内容
GB/T35281一2017 8.3数据库安全 移动互联网应用服务器的数据库管理系统安全应符合GB/T21028一2007中5.1.1.3的要求 g 设备安全 移动互联网应用服务器的设备安全要求包括但不限于 硬件设备,如CPU、内存,硬盘等,应提供可靠的运行支持,并通过容错和故障恢复等措施,支 a 持信息系统实现不间断运行 硬件设备,如CPU内存、硬盘等,应采用冗余备份的方式确保服务器设备的可靠性 b 虚拟机设备,如CPU资源,内存资源、I/0资源等,应符合GB/T31168一2014相关要求 c 10 协议安全 10.1标准协议安全 移动互联网应用服务器的标准协议安全要求包括但不限于 应使用业界标准的网络安全协议(如TLS)与移动应用客户端进行通信,以实现客户端对服务 a 器的身份认证和通信数据的加密传输 使用标准协议与移动应用客户端进行通信时,应使用相应协议最新的修订版本,禁用存在已知 b 安全缺陷的协议版本 10.2私有协议安全 移动互联网应用服务器的私有协议安全要求包括但不限于 使用私有协议与移动应用客户端进行通信时,应支持客户端对本服务器的身份进行鉴别 a b)使用私有协议与移动应用客户端进行通信时,应使用加密方式保护本服务器与客户端之间传 输的、用于实现用户身份认证的数据,推荐在用户会话的整个过程中采用加密方式传输数据 运维安全 11.1安全配置 移动互联网应用服务器的安全配置要求包括但不限于 应配备足够强的访同控制机制对服务器的管理端口进行保护 建议将服务器配置为仅允许通 a 过控制台进行管理,或仅允许通过内网进行管理 对于提供互联网管理端口的服务器,建议使 用安全的网络协议,如sSH、HTTPS或SNMP等进行远程管理 b 应定期对服务器进行安全漏洞扫描和渗透测试,对于在检测中发现的安全问题应及时修复 未明确提示用户或未经用户许可,不得远程控制用户移动智能终端 c d 应对网络资源的使用进行限制,如设置网络带宽、服务器主机资源的最大使用限度 移动互联网服务器不得存放、处理、推送非法的文本,图片,视频、音频等信息 11.2安全监控 移动互联网应用服务器的安全监控要求包括但不限于 主机安全监控 a
GB/35281一2017 应提供服务器硬件、软件运行状态的远程监控功能 应对命令执行,进程调用,文件使用等进行实时监控,在必要时应提供监控数据分析功能 b 网络安全监控: 应在其网络接口处对进出的数据流进行实时监控 应对进出服务器的网络数据流,按既定的安全策略和规则进行检测 应支持用户自定义网络安全监控的安全策略和规则 应不依赖于服务器操作系统,且不因服务器出现非断电异常情况而不可用 应具有对网络应用行为分类监控的能力,并根据安全策略提供报警和阻断的能力 应提供集中管理接口,以便接受网络安全监控集中管理平台下发的安全策略和规则,以及 向网络安全监控集中管理平台提供审计数据源 11.3安全审计 移动互联网应用服务器的安全审计要求包括但不限于 应为移动互联网应用服务器运行及维护状况留存日志,必要时可使用专用的日志服务器保存 a 日志信息,以防止服务器遭受攻击后日志被篡改 服务器的运营者应定期对日志进行安全审 计,及时发现并调查日志中的异常事件 至少应留存三种类型的日志信息 b 操作日志操作日志用于记录服务器管理员对服务器进行管理维护时执行的相关操作,其 中至少应包括时间、登录方式、发起登录的地址和操作类型！ 系统日志;系统日志用于记录服务器操作系统及中间件运行过程中所发生的事件,其中至 少应包括产生日志的程序模块名称、严重性、时间、主机名/IP,进程名称、进程ID和正文 应用日志;应用日志用于记录应用支持软件运行过程中所发生的事件,其中至少应包括时 间,在线应用支持软件名称,事件等级和正文 11.4恶意代码防护 移动互联网应用服务器的恶意代码防护要求包括但不限于 应对进人服务器的恶意代码采取相应的防范措施,包括但不限于部署防病毒软件、防火墙、人 a 侵检测系统和人侵防御系统 恶意代码防护应符合GB/T20271一2006中4.2.7的要求 b)主机防护应和安全监控集中管理平台协调一致,及时发现和清除进人服务器内部的恶意代码 11.5备份与故障恢复 移动互联网应用服务器的备份与故障恢复要求包括但不限于 应定期地或者按要求进行备份,并在发生故障时具有相应恢复功能 a b 应提供操作系统、数据库系统和应用系统中重要数据的备份和恢复功能 应对运行关键业务的服务器采用集群结构,实现业务系统不间断运行 c
GB/T35281一2017 附 录 A 资料性附录) 安全风险分析 风险概述 A.1 移动互联网应用服务器主要面临的安全风险包括;系统风险、用户风险和管理风险 系统风险 移动互联网应用服务器的系统风险是指系统软硬件无法提供正常服务而引发的安全风险,具体 包括 自身安全:在服务器托管的机房管理不善的情况下,服务器硬件容易遭受物理损坏或篡改;另 外,由于应用服务器通常可通过互联网连接,因此也容易遭受来自外部网络的攻击,导致系统 破坏 应用瘫痪;当用户数量较大,在线应用支持软件和服务器软件难以处理大量并发连接时,会发 生无法正常提供应用支撑的情况,产生拒绝服务的风险 A.3用户风险 移动互联网应用服务器的用户风险是指由于服务器的安全性遗破坏而给移动应用的用户所带来的 连带风险,具体包括 用户依赖;在服务器遭受攻击而瘫痰的情况下,大量用户将无法正常使用移动互联网应用提供 的各类业务,从而带来用户依赖的风险 此类风险的大小与具体业务类型紧密相关,通常来 说,即时通信和移动金融类业务往往具有较高的用户依赖风险 隐私窃取;在提供移动互联网业务的过程中,应用服务器可以获得用户账户数据、位置数据、金 融数据,环境数据、传感数据等隐私信息 对于攻击者来说,通过服务器来获取大量用户的隐 私信息是一种更加快捷和方便的途径,这就使服务器面临严重的隐私窃取风险 资费消耗;用户往往通过移动蜂窝网络来访问移动互联网服务,而服务提供商也常使用短信通 道收取增值服务费用 在这种情况下,应用服务器就有可能通过流量消耗或恶意扣费而导致 用户资费损失 远程控制;移动智能终端通过使用移动互联网服务而与应用服务器之间建立了紧密的绑定关 系,这就使服务器有可能通过网络向移动智能终端发送恶意指令,导致移动智能终端操作系统 和应用软件被远程控制 A.4管理风险 移动互联网应用服务器的管理风险是指由于移动互联网业务的多样性和灵活性而给安全管理带来 的风险,具体包括: -私有协议:出于保障通信安全、提高数据传输效率等因素的考虑,应用服务器与移动应用通信 时往往采用内部协议,并使用私有加密和压缩算法,难以进行识别和监管
GB/35281一2017 管理复杂;不同于位置固定的PC终端,移动智能终端可随时随地接人网络与应用服务器建立 通信,不易管理 溯源困难:移动智能终端总处于移动状态,位置信息和地址信息频繁改变,不利于确定位置
GB/T35281一2017 参 考 文献 [[1]GB/T18336.1一2015信息技术安全技术信息技术安全性评估准则第1部分;简介 和一般模型 [2]GB/T18336.2一2015信息技术安全技术信息技术安全性评估准则第2部分;安全 功能组件 [3]GB/T18336.3一2015信息技术安全技术信息技术安全性评估准则第3部分;安全 保障组件 GB/T202702006 信息安全技术网络基础安全技术要求 [] [时 GB/T20273一2006信息安全技术数据库管理系统安全技术要求 [a GB/T209882007 信息安全技术信息系统灾难恢复规范 [7] 信息安全技术信息系统安全等级保护基本要求 GB/T222392008 [8]GB/T25058一201o 信息安全技术信息系统安全等级保护实施指南 [9 信息安全技术信息系统等级保护安全设计技术要求 GB/T250702010 GB/T2848一2012信息安全技术信息系统安全等级保护测评要求 [10] 11]GB/T28452一2012 信息安全技术应用软件系统通用安全技术要求 0

信息安全技术移动互联网应用服务器安全技术要求GB/T35281-2017

随着移动互联网的快速发展，移动互联网应用的安全性已经成为一个重要的问题。在这样的背景下，GB/T35281-2017就诞生了，作为一项针对移动互联网应用服务器安全技术要求的标准。 首先，该标准明确了移动互联网应用服务器的基本要求，包括数据保密性、完整性和可用性等方面。其中，数据保密性要求服务器必须能够保证用户数据的机密性；完整性则要求服务器必须能够防范数据被篡改或损坏；而可用性则要求服务器必须能够保证系统24小时稳定运行。 其次，GB/T35281-2017还规定了移动互联网应用服务器的安全管理要求。具体来说，服务器应当采取多层次、分级别、分区域的安全管理措施，以保障不同级别用户信息的安全。同时，服务器应当建立完善的安全事件管理机制，并且应当及时处理安全事件和提供相关报告和统计数据。 此外，GB/T35281-2017还规定了移动互联网应用服务器的技术要求。其中，服务器应当采取安全加密传输技术，同时还应当配备防火墙、反病毒等网络安全设施。另外，服务器应当建立完善的安全检查机制，对系统、软件、人员等方面进行全面检查，确保整个系统的安全性。 综上所述，GB/T35281-2017为移动互联网应用服务器的安全提出了详尽的要求，并且对于服务器的基本要求、安全管理要求以及技术要求都有明确的规定。在实际应用过程中，必须遵循该标准，加强服务器的安全保障，防范各种安全风险，为用户提供更加安全、可靠的服务。

信息安全技术移动互联网应用服务器安全技术要求的相关资料

和信息安全技术移动互联网应用服务器安全技术要求类似的标准