ICS35.240.01

CCSL67

!7,



DB32/T4617.2—2023

電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)

技術(shù)規(guī)范第2部分：5G平面安全要求

E?governmentnetwork—Technicalspecificationsof5Gplane

andIPv6networkplatform—Part2：5Gplanesecurity

requirement

2023?12?13發(fā)布2024?01?13實(shí)施

江蘇省市場(chǎng)監(jiān)督管理局發(fā)布

中國(guó)標(biāo)準(zhǔn)出版社出版

DB32/T4617.2—2023

目次

前言……………………………Ⅲ

引言………………4

1范圍…………………………1

2規(guī)范性引用文件……………1

3術(shù)語(yǔ)和定義…………………1

4縮略語(yǔ)………………………1

5基本要求……………………2

6安全技術(shù)框架………………2

7終端安全……………………3

8邊界安全……………………3

9監(jiān)測(cè)管理……………………3

9.1安全監(jiān)測(cè)………………3

9.2管理審計(jì)………………3

Ⅰ

DB32/T4617.2—2023

前言

本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定

起草。

本文件是DB32/T4617《電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范》的第2部分。DB32/T4617已

經(jīng)發(fā)布了以下部分：

——第1部分：5G平面網(wǎng)絡(luò)建設(shè)；

——第2部分：5G平面安全要求；

——第3部分：IPv6部署要求；

——第4部分：IPv6地址及路由規(guī)劃。

請(qǐng)注意本文件的某些內(nèi)容可能涉及專(zhuān)利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專(zhuān)利的責(zé)任。

本文件由江蘇省政務(wù)服務(wù)管理辦公室提出并歸口。

本文件起草單位：江蘇省大數(shù)據(jù)管理中心。

本文件主要起草人：吳中東、忻超、付勍、夏國(guó)光、曹銀美、王子文、陸雨韜、黃敏、王光鑫、吳欣、汪忠瑞、

劉曉紅、盧冬冬、張培勇、張泊遠(yuǎn)、趙靖雯。

Ⅲ

DB32/T4617.2—2023

引言

電子政務(wù)外網(wǎng)是數(shù)字政府建設(shè)的重要基礎(chǔ)底座，是政府?dāng)?shù)字化轉(zhuǎn)型的重要基礎(chǔ)支撐。開(kāi)展電子政務(wù)

外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)建設(shè)能夠強(qiáng)化提升電子政務(wù)外網(wǎng)高效、泛在、安全的承載能力和業(yè)務(wù)保障能

力，推動(dòng)各類(lèi)政務(wù)應(yīng)用創(chuàng)新發(fā)展，提高政務(wù)數(shù)字化、智能化水平。DB32/T4617《電子政務(wù)外網(wǎng)5G平面

和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范》是指導(dǎo)江蘇省電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)建設(shè)的基礎(chǔ)性、通用性標(biāo)準(zhǔn)，由

四個(gè)部分構(gòu)成。

——第1部分：5G平面網(wǎng)絡(luò)建設(shè)。目的在于規(guī)范和指導(dǎo)江蘇省電子政務(wù)外網(wǎng)5G平面網(wǎng)絡(luò)建設(shè)；

——第2部分：5G平面安全要求。目的在于規(guī)范和指導(dǎo)江蘇省電子政務(wù)外網(wǎng)5G平面安全建設(shè)；

——第3部分：IPv6部署要求。目的在于規(guī)范和指導(dǎo)江蘇省電子政務(wù)外網(wǎng)IPv6部署；

——第4部分：IPv6地址及路由規(guī)劃。目的在于規(guī)范江蘇省電子政務(wù)外網(wǎng)IPv6地址及路由規(guī)劃。

Ⅳ

DB32/T4617.2—2023

電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)

技術(shù)規(guī)范第2部分：5G平面安全要求

1范圍

本文件規(guī)定了電子政務(wù)外網(wǎng)（以下簡(jiǎn)稱(chēng)“政務(wù)外網(wǎng)”）5G平面的基本要求、安全技術(shù)框架、終端安全、

邊界安全、監(jiān)測(cè)管理要求。

本文件適用于政務(wù)外網(wǎng)管理機(jī)構(gòu)、接入部門(mén)、設(shè)計(jì)單位對(duì)5G平面安全進(jìn)行規(guī)劃、建設(shè)和管理。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文

件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T22239信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

GB/T25070信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求

YD/T36285G移動(dòng)通信網(wǎng)安全技術(shù)要求

DB32/T3514.1電子政務(wù)外網(wǎng)建設(shè)規(guī)范第1部分：網(wǎng)絡(luò)平臺(tái)

DB32/T4617.1電子政務(wù)外網(wǎng)5G平面和IPv6網(wǎng)絡(luò)技術(shù)規(guī)范第1部分：5G平面網(wǎng)絡(luò)建設(shè)

3術(shù)語(yǔ)和定義

DB32/T3514.1、DB32/T4617.1界定的術(shù)語(yǔ)和定義適用于本文件。

4縮略語(yǔ)

下列縮略語(yǔ)適用于本文件。

DNN：數(shù)據(jù)網(wǎng)絡(luò)名稱(chēng)（DataNetworkName）

IMSI：國(guó)際移動(dòng)用戶識(shí)別碼（InternationalMobileSubscriberIdentity）

IMEI：國(guó)際移動(dòng)設(shè)備標(biāo)識(shí)（InternationalMobileEquipmentIdentity）

ISDN：綜合業(yè)務(wù)數(shù)字網(wǎng)（IntegratedServicesDigitalNetwork）

MAC：媒體接入控制（MediaAccessControl）

MSISDN：移動(dòng)臺(tái)國(guó)際ISDN號(hào)碼（MobileSubscriberISDNNumber）

SIM：用戶身份模塊（SubscriberIdentityModule）

SRv6：基于IPv6的段路由（SegmentRoutingoverIPv6）

TLS：安全傳輸層協(xié)議（TransportLayerSecurity）

UPF：用戶面功能（UserPlaneFunction）

VPN：虛擬專(zhuān)用網(wǎng)絡(luò)（VirtualPrivateNetwork）

5G：第五代移動(dòng)通信技術(shù)（5thGeneration）

1

DB32/T4617.2—2023

5基本要求

5.1政務(wù)外網(wǎng)5G平面應(yīng)符合GB/T22239、GB/T25070中網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)相關(guān)要求。

5.2政務(wù)外網(wǎng)5G平面應(yīng)具備抵御各類(lèi)安全風(fēng)險(xiǎn)的能力，包括但不限于：

a）防止惡意攻擊；

b）及時(shí)發(fā)現(xiàn)、檢測(cè)攻擊行為，并進(jìn)行處置；

c）發(fā)現(xiàn)重要的安全漏洞，并進(jìn)行修復(fù)；

d）自身遭到損害時(shí)能夠迅速恢復(fù)核心能力。

5.3政務(wù)外網(wǎng)5G平面應(yīng)通過(guò)部署不同網(wǎng)絡(luò)切片、政務(wù)專(zhuān)用UPF等方式，確保政務(wù)5G終端訪問(wèn)政務(wù)外

網(wǎng)與運(yùn)營(yíng)商互聯(lián)網(wǎng)隔離。

5.4政務(wù)專(zhuān)用UPF設(shè)備、邊界安全防護(hù)設(shè)備、5G專(zhuān)用接入設(shè)備和通信線路應(yīng)具備冗余能力，避免單點(diǎn)

故障，保證系統(tǒng)的可用性。

5.5運(yùn)營(yíng)商5G網(wǎng)絡(luò)的安全架構(gòu)、安全功能以及相關(guān)安全流程等應(yīng)符合YD/T3628的要求。

5.6政務(wù)外網(wǎng)5G平面建設(shè)應(yīng)符合自主可控相關(guān)要求。

6安全技術(shù)框架

政務(wù)外網(wǎng)5G平面和固網(wǎng)平面一體化融合，5G平面安全防護(hù)體系如圖1所示，包括：

a）終端安全：對(duì)接入政務(wù)外網(wǎng)5G平面的各類(lèi)終端進(jìn)行加固，實(shí)現(xiàn)機(jī)卡綁定和固定IP地址分配；

b）邊界安全：對(duì)固移邊界進(jìn)行安全隔離，配置最小化安全策略，實(shí)現(xiàn)對(duì)5G終端接入流量的訪問(wèn)控

制、入侵防護(hù)和病毒防護(hù)等；

c）監(jiān)測(cè)管理：對(duì)政務(wù)外網(wǎng)5G平面所有接入流量進(jìn)行實(shí)時(shí)監(jiān)測(cè)、安全審計(jì)，實(shí)現(xiàn)對(duì)政務(wù)外網(wǎng)5G平面

安全的統(tǒng)一管理。

圖1政務(wù)外網(wǎng)5G平面安全防護(hù)體系

2

DB32/T4617.2—2023

7終端安全

7.1應(yīng)采用政務(wù)外網(wǎng)專(zhuān)用SIM卡，滿足關(guān)閉語(yǔ)音、關(guān)閉短信、關(guān)閉互聯(lián)網(wǎng)訪問(wèn)、定向短信、定向數(shù)據(jù)訪問(wèn)

等安全要求。運(yùn)營(yíng)商應(yīng)對(duì)入網(wǎng)的專(zhuān)用SIM卡進(jìn)行一次認(rèn)證，并使用專(zhuān)用DNN承載。

7.2終端IP地址應(yīng)固定分配，不應(yīng)配置地址轉(zhuǎn)換。地址分配記錄應(yīng)至少保存6個(gè)月。

7.35G接入網(wǎng)關(guān)應(yīng)能夠?qū)ο侣?lián)設(shè)備進(jìn)行接入認(rèn)證，包括Portal認(rèn)證、MAC認(rèn)證、802.1x認(rèn)證、VPN撥

號(hào)認(rèn)證等。

7.4對(duì)于敏感的業(yè)務(wù)數(shù)據(jù)訪問(wèn)，應(yīng)采用沙箱等技術(shù)實(shí)現(xiàn)終端數(shù)據(jù)隔離，防止終端數(shù)據(jù)泄露。

8邊界安全

8.1應(yīng)部署認(rèn)證服務(wù)平臺(tái)對(duì)終端進(jìn)行二次認(rèn)證，認(rèn)證內(nèi)容包括DNN，SIM卡信息（IMSI、MSISDN），設(shè)

備信息（IMEI）等。

8.2應(yīng)基于角色、SIM卡信息（IMSI、MSISDN）或者設(shè)備信息（IMEI）進(jìn)行訪問(wèn)控制，授予最小訪問(wèn)權(quán)

限，并對(duì)終端環(huán)境進(jìn)行持續(xù)檢測(cè)和評(píng)估，根據(jù)評(píng)估情況動(dòng)態(tài)調(diào)整其訪問(wèn)權(quán)限。

8.3應(yīng)對(duì)非授權(quán)終端接入政務(wù)外網(wǎng)進(jìn)行檢查、限制。

8.4邊界安全設(shè)備應(yīng)支持對(duì)SRv6、網(wǎng)絡(luò)切片報(bào)文的安全解析，宜支持SRv6三層轉(zhuǎn)發(fā)。

8.5應(yīng)檢測(cè)、防止和限制從運(yùn)營(yíng)商網(wǎng)絡(luò)發(fā)起的網(wǎng)絡(luò)攻擊行為。當(dāng)檢測(cè)到攻擊行為時(shí)，應(yīng)記錄攻擊源IP、

攻擊類(lèi)型、攻擊目標(biāo)、攻擊時(shí)間。在發(fā)生嚴(yán)重入侵事件時(shí)，應(yīng)及時(shí)告警。

8.6應(yīng)對(duì)惡意代碼進(jìn)行檢測(cè)和清除，并定期進(jìn)行惡意代碼庫(kù)的升級(jí)與更新。

8.7應(yīng)支持對(duì)TLS等常用協(xié)議加密流量進(jìn)行檢測(cè)，滿足網(wǎng)絡(luò)對(duì)加密流量的防護(hù)需求。

9監(jiān)測(cè)管理

9.1安全監(jiān)測(cè)

安全監(jiān)測(cè)具體要求如下：

a）應(yīng)對(duì)通過(guò)5G平面接入政務(wù)外網(wǎng)的業(yè)務(wù)流量進(jìn)行動(dòng)態(tài)監(jiān)測(cè)，實(shí)現(xiàn)安全態(tài)勢(shì)感知和安全趨勢(shì)分析；

b）應(yīng)對(duì)5G終端訪問(wèn)行為進(jìn)行持續(xù)監(jiān)測(cè)，分析異常情況并動(dòng)態(tài)調(diào)整其訪問(wèn)權(quán)限；

c