YD/T 3642-2020 标准解读

一、标准适用场景与实施阶段

• 适用业务类型：面向基础电信企业、互联网域名注册服务机构、域名解析服务提供商等持证主体，开展DNS递归/权威解析服务的信息安全管理系统（ISMS）建设、升级、改造及等保测评支撑工作；
• 实施环节：覆盖系统规划、部署实施、策略配置、日志接入、威胁情报对接、审计功能启用等全生命周期环节；
• 验收阶段：限定于系统上线后30日内完成的初验，以及等保二级及以上定级系统在等保测评前15日完成的专项合规性终验。

二、现场实操合规规范

1. 日志采集完整性：须通过Syslog（RFC 5424）或HTTP POST方式实时采集DNS查询日志，采样率≥99.99%，单条日志字段应包含query_name、query_type、client_ip、resolver_ip、response_code、timestamp（精度≤1s），缺失字段数＞0即判定采集失效；
2. 威胁情报对接：必须接入至少2个国家级域名安全威胁情报源（如CNNIC CN-DBI、CNCERT DNS威胁库），更新频率≤15分钟，本地缓存时效≥72小时，接口响应延迟＜200ms；
3. 异常行为检测规则：强制启用YD/T 3642-2020附录A中全部12类基线规则（含NXDOMAIN风暴、子域枚举、TTL异常、EDNS0滥用等），检测引擎误报率≤0.05%，漏报率≤0.3%（基于GB/T 28448-2019测试用例集验证）；
4. 审计留存周期：原始日志本地存储≥180天，压缩归档日志离线保存≥3年，存储介质写入IOPS≥5000，校验哈希算法为SHA-256，每24小时执行一次完整性校验；
5. 权限管控：系统管理员、审计员、操作员三权分立，角色权限最小化配置，登录失败5次锁定账户300秒，会话超时时间≤15分钟。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：日志字段缺失（尤其resolver_ip与response_code）——质控方案：部署日志Schema校验中间件，对每批次日志执行JSON Schema v7验证，缺失字段自动触发告警并暂停入库，整改时限≤2小时；
• 问题2：威胁情报源单点依赖导致同步中断超阈值——质控方案：强制配置双活情报通道，主通道失败后30秒内切换至备用源，切换日志须写入独立审计表，每月执行故障注入演练（FI）1次；
• 问题3：规则引擎CPU持续＞85%引发检测延迟——质控方案：启用动态规则分级加载机制，将高开销规则（如正则匹配型）迁移至专用GPU加速节点，负载均衡策略要求单节点CPU均值≤65%；
• 问题4：审计日志离线归档校验失败率＞0.1%——质控方案：采用纠删码（RS(10,4)）替代单纯SHA-256，归档前执行冗余块写入，校验失败时自动从冗余块恢复并记录恢复耗时（≤120秒）；
• 问题5：三权分立账号混用或权限越界——质控方案：每日02:00自动扫描IAM策略JSON，比对YD/T 3642-2020表3权限矩阵，发现越权配置立即禁用账号并邮件通知安全负责人。