YD/T 1912-2009 标准解读

一、标准适用场景与实施阶段

• 本标准适用于基于软交换架构的媒体服务器设备在电信级语音、视频媒体处理业务中的部署，涵盖VoIP中继网关、会议桥接、语音信箱、IVR交互平台、TTS/ASR语音合成与识别等核心媒体处理功能。
• 实施阶段限定于设备入网前的工程验收环节，须在完成系统联调、功能测试、性能压测后，进入安全合规性专项验收阶段。
• 验收阶段为运营商网络正式割接前的最终安全准入评审，必须在设备接入核心软交换平台前完成全部安全项检测，未通过者禁止上线。

二、现场实操合规规范

1. 媒体流加密必须启用SRTP（Secure Real-time Transport Protocol），密钥协商采用SRTP-SDES或ZRTP，禁用明文RTP传输；现场检测需使用Wireshark抓包验证媒体流载荷为加密状态，密钥交换报文必须包含合法密钥参数。
2. 媒体服务器与软交换控制节点间信令通道须强制使用TLS 1.2以上版本，证书链必须由运营商根CA签发，现场验证证书有效期、CN域名匹配性、证书吊销状态（CRL/OCSP），证书有效期不得低于12个月。
3. 媒体处理资源池的并发会话数不得超过设备标称最大值的85%，实测峰值负载下CPU利用率≤80%、内存占用≤85%，丢包率≤0.1%，抖动≤20ms，延迟≤150ms。
4. 所有媒体处理接口（SIP、H.323、MGCP）必须关闭非必要端口，仅开放标准端口：SIP 5060/5061（TLS）、RTP 16384-32767，其余端口需经安全策略白名单审批后方可开放。
5. 日志审计功能必须启用，记录所有媒体会话建立/释放、认证失败、非法信令请求、资源超限事件，日志存储周期不少于180天，日志格式符合RFC 5424，支持Syslog over TLS传输。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：媒体流未强制启用SRTP，部分会话仍使用RTP明文传输。质控方案：部署前必须配置媒体策略模板，强制绑定SRTP参数，验收前由安全工具自动扫描全量会话，发现异常立即阻断并回退配置。
• 问题2：TLS证书使用自签名或过期证书。质控方案：建立证书生命周期管理系统，所有证书由统一PKI平台签发，验收时强制校验证书链与OCSP响应状态，未通过者拒绝验收。
• 问题3：端口开放清单与实际开放端口不一致。质控方案：采用自动化配置比对工具，每日比对设备配置文件与安全基线库，验收前输出端口合规报告，差异项必须提供书面审批记录。
• 问题4：日志未加密传输或存储缺失。质控方案：强制要求日志服务器启用Syslog over TLS，日志文件权限设置为600，验收时验证日志服务器接收日志数量与设备上报数量一致性，误差率不得超过0.5%。
• 问题5：拒绝服务防护未达标，设备在攻击下出现服务重启。质控方案：在验收前进行三次独立攻击测试，每次攻击后需重启设备并重新通过功能测试，累计失败两次则判定为不合格，需更换设备或升级固件。