YD/T 3740-2020 标准解读

一、标准适用场景与实施阶段

• 适用业务类型：面向公众提供计算资源、存储资源、网络资源租用及弹性调度服务的互联网资源协作平台，包括但不限于IaaS/PaaS类云服务、边缘计算节点聚合平台、分布式算力调度平台，不包含SaaS应用层服务及纯内容分发网络（CDN）服务。
• 实施环节：覆盖业务上线前安全评估、重大功能迭代（含API接口变更、权限模型重构、多租户隔离机制升级）、基础设施迁移（跨可用区/跨云环境迁移）、第三方组件集成（如Kubernetes版本≥1.22、OpenStack版本≥Wallaby）等四类强制评估触发场景。
• 验收阶段：限定于安全评估报告出具后30个自然日内完成现场实操验证，且须在业务正式对外提供服务前完成全部核验项闭环，逾期未闭环则视为评估失效，须重新启动评估流程。

二、现场实操合规规范

1. 租户隔离验证：采用容器级namespace隔离时，须执行nsenter -t [PID] -n ip a命令验证网络命名空间隔离有效性；虚拟机级隔离须通过VLAN ID比对（virsh dumpxml [VM]提取<vlan>字段）确认VLAN ID唯一性，同一物理宿主机内VLAN ID重复率≤0%。
2. 身份认证强度：OAuth 2.0授权码模式下，必须启用PKCE扩展（code_challenge_method=S256），且code_verifier长度≥43字符；密码策略须满足NIST SP 800-63B要求，明文密码存储检测须覆盖全部数据库表（含备份库），哈希算法仅限Argon2id、PBKDF2-HMAC-SHA256（迭代次数≥600,000）。
3. 日志审计完整性：操作日志采集须覆盖API调用（含请求体脱敏后JSON结构）、控制台操作、CLI指令三类行为，日志保留周期≥180天，时间戳精度≤100ms，日志完整性校验采用HMAC-SHA256，密钥轮换周期≤90天。
4. 敏感数据识别：使用正则表达式匹配身份证号（d{17}[dXx]）、银行卡号（bd{16,19}b）等12类敏感字段，扫描覆盖率须达全部存储介质（含对象存储桶、关系型数据库、NoSQL集群）的100%，漏报率≤0.5%，误报率≤2.0%（基于GB/T 35273-2020附录B测试集验证）。

三、成果验收核验标准

四、实操常见问题与质控方案

• 问题1：容器运行时未启用seccomp-bpf策略 质控方案：执行docker info | grep "Security Options"确认输出含seccomp；整改动作：在daemon.json中配置"default-runtime": "runc"及"runtimes": {"runc": {"path": "/usr/bin/runc", "runtimeArgs": ["--seccomp-default"]}}，重启docker daemon后复验。
• 问题2：对象存储桶策略未禁用HTTP明文访问 质控方案：调用aws s3api get-bucket-policy --bucket [name]解析Statement中Condition.StringNotEquals.aws:SecureTransport字段；整改动作：添加Bucket Policy语句，显式拒绝"Effect": "Deny"且"Condition": {"Bool": {"aws:SecureTransport": "false"}}。
• 问题3：审计日志未覆盖Kubernetes控制平面组件 质控方案：检查kube-apiserver启动参数含--audit-log-path=/var/log/kubernetes/audit.log及--audit-policy-file=/etc/kubernetes/audit-policy.yaml；整改动作：更新audit-policy.yaml，确保包含level: RequestResponse级别规则，覆盖core/v1/pods、rbac.authorization.k8s.io/v1/clusterroles等17个核心资源组。