YD/T 3641.3-2020 标准解读

一、标准适用范围与执行边界

• 适用主体：持有《增值电信业务经营许可证》且实际运营IDC机房的单位，包括基础电信企业、第三方IDC服务商及混合云平台中承担物理/虚拟资源托管职责的运营方；不适用于仅提供SaaS应用服务、无服务器托管行为的纯软件服务商。
• 适用场景：IDC内所有对外提供互联网接入服务的出口节点（含BGP线路、多线接入汇聚点）、虚拟化宿主机（含KVM/Xen/Hyper-V管理节点）、容器编排控制面（如Kubernetes API Server所在节点）产生的用户访问日志；覆盖HTTP/HTTPS、FTP、SMTP、POP3、IMAP等明文或TLS加密协议的七层会话起始行为记录。
• 排除条件：IDC内部管理网络流量（如Zabbix监控、Ansible下发、带外管理IPMI通信）；跨IDC骨干网传输的非终端用户直连流量（如CDN回源、异地灾备同步）；经由IDC转发但源/目的均不在本IDC租户资产内的透传流量（需提供NetFlow/IPFIX原始流数据佐证）。

二、核心实操技术要求

1. 日志字段强制项：必须包含客户端IP（IPv4/IPv6双栈）、服务端IP、源端口、目的端口、协议类型（TCP/UDP/ICMP）、首包时间戳（精度≤1秒）、HTTP Host头（或TLS SNI字段）、HTTP状态码（非2xx/3xx需标记）、用户代理字符串（UA）、Referer（若存在）。缺失任一字段视为不合格。
2. 留存周期与存储：原始日志本地存储≥6个月，采用WORM（Write Once Read Many）模式写入；备份日志异地容灾存储≥12个月，两地三中心架构下须确保RPO≤5分钟、RTO≤30分钟；日志文件命名须含ISO8601时间戳+设备唯一标识（如SNMP sysOID哈希值）。
3. 采集方式合规性：不得依赖应用层日志（如Nginx access_log），须通过镜像端口（SPAN/RSPAN）或TAP分光器获取链路层原始报文；HTTPS流量需在SSL卸载节点（如WAF、负载均衡器）采集解密后日志，禁止在终端侧部署探针。
4. 安全审计接口：须提供符合GB/T 28181-2016格式的RESTful API，支持按时间范围、IP段、协议类型组合查询，单次响应延迟≤2秒，QPS≥1000；接口调用记录自身须纳入日志留存范围。

三、典型业务场景应用案例

四、实操难点与解决方案

• IPv6地址聚合导致客户端失真：运营商CGNAT环境下IPv6前缀频繁变更。对策：强制启用IPv6 Extension Header解析，提取Original Destination Address（ODA）字段；在日志中并行记录/64前缀与完整128位地址。
• 高并发下日志丢包：单节点日志吞吐＞50万EPS时ring buffer溢出。对策：采用DPDK用户态驱动替代内核netfilter，采集进程绑定专用CPU core；启用日志分级采样（HTTP 200响应默认1:10采样，4xx/5xx全量）。
• 容器动态IP难以追溯租户：Pod IP生命周期短于日志留存期。对策：在采集器部署Kubernetes Admission Webhook，为每个Pod注入immutable annotation（含tenant_id、project_id）；日志中tenant_id字段与K8s API Server实时校验同步。
• 加密协议元数据缺失：QUIC v1流量无法提取Host/SNI。对策：在QUIC握手阶段强制降级至HTTP/2 over TLS 1.3，并在日志中增加quic_version字段标记；禁用0-RTT重放请求以保障时间戳可靠性。