YD/T 1613-2007 标准解读

一、标准适用场景与实施阶段

• 本标准适用于公共互联网接入服务提供商（ISP）在建设、扩容或改造公众IP网络时的网络安全架构部署，涵盖城域网边缘节点、接入汇聚层、用户侧网关设备及IP地址分配系统。
• 实施阶段限定于网络工程初验前的系统部署阶段与初验后的试运行阶段，不适用于核心骨干网或跨域互联链路。
• 验收阶段为工程初验阶段，必须在完成全部安全控制点部署、日志采集系统上线、访问控制策略固化后方可启动验收流程。

二、现场实操合规规范

1. IP地址分配须采用DHCPv4/v6静态绑定机制，绑定记录需包含MAC地址、IP地址、端口编号、用户ID四要素，绑定表更新频率不得超过每小时一次，记录保留周期不少于180天。
2. 边界防火墙必须启用状态检测功能，允许策略仅限于TCP/UDP协议的已建立连接，禁止ICMP Echo Request穿越边界，入站流量默认拒绝策略命中率须达100%。
3. 用户侧网关设备需部署ACL规则，限制源IP地址范围仅限于分配给该用户的静态IP或DHCP租约池，禁止端口扫描行为，端口扫描检测阈值为每分钟5次以上非授权端口连接尝试。
4. 日志采集系统必须支持Syslog over TLS传输，采集粒度包括：认证失败事件（含次数、源IP、时间戳）、异常流量（流量阈值>100Mbps持续5分钟）、策略变更记录，日志存储加密采用AES-256，保留周期不少于365天。
5. 网络设备SNMP协议仅允许V3版本，认证方式强制使用SHA-256+AES-128，社区字符串禁用，默认管理接口关闭，远程管理仅允许通过SSHv2（密钥认证）访问。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：DHCP绑定表未同步至日志系统，导致用户溯源失效。质控方案：部署绑定表自动同步脚本，每15分钟比对设备与日志系统数据，差异自动告警并触发重同步。
• 问题2：防火墙策略存在通配符（0.0.0.0/0）允许规则。质控方案：采用策略分析工具扫描所有ACL，禁止任何/0规则，违规规则自动阻断并通知管理员。
• 问题3：SNMP使用默认community或V1/V2c协议。质控方案：网络设备上线前强制执行配置基线检查，不符合V3加密要求的设备禁止入网。
• 问题4：日志存储未加密或保留周期不足。质控方案：验收前强制执行存储介质加密检测，日志文件哈希值与保留周期日志双校验，缺失任一条件视为不合格。
• 问题5：用户侧网关未启用端口扫描防护。质控方案：部署流量行为分析模块，对单IP在5分钟内扫描超过10个端口的行为自动触发临时封禁，记录事件并生成整改工单。

所有验收数据必须由第三方检测机构出具，原始日志与配置文件需封存至少三年，供后续审计调阅。