YD/T 3744-2020 标准解读

一、标准适用场景与实施阶段

• 适用业务类型：面向电信和互联网行业开展网络安全众测服务的第三方平台运营方、众测任务委托方（含基础电信企业、持证互联网信息服务提供者）、众测执行方（白帽安全研究员及注册测试团队）；
• 实施环节：覆盖众测平台建设部署、众测任务发布与分发、漏洞提交与复现验证、报告生成与分级响应、数据归档与审计追溯等全生命周期环节；
• 验收阶段：限于平台正式上线前的功能性验收、等保三级系统定级后的专项合规验收、年度安全服务合同履约验收及重大活动保障前的专项能力验证验收。

二、现场实操合规规范

1. 平台身份认证：采用双因子认证（数字证书+动态口令），认证失败锁定阈值≤5次/15分钟，会话超时强制登出时间≤15分钟；
2. 任务分发控制：单任务并发测试人员上限按目标系统并发承载能力核定，不得高于目标系统Web应用QPS实测值的10%，且须经委托方书面确认；
3. 漏洞提交格式：须符合GB/T 30279—2020附录A结构化字段要求，包含可复现POC（HTTP请求原始报文或Python脚本，长度≤2KB）、环境版本标识（精确至补丁编号）、影响范围描述（含CWE/CVE映射）；
4. 复现验证流程：平台自动触发复现需在提交后30分钟内完成，人工复现须在2小时内出具《复现确认单》，记录测试IP、时间戳、响应头状态码及关键响应体哈希值（SHA-256）；
5. 数据脱敏执行：所有测试流量日志、截图、响应体内容须在存储前完成自动化脱敏，敏感字段（如手机号、身份证号、银行卡号）替换为固定掩码“*”，脱敏覆盖率须达100%，平台日志留存周期≥180天。

三、成果验收核验标准

四、实操常见问题与质控方案

• 高频违规问题1：测试人员绕过平台调度直接向目标系统发送非授权扫描请求（如使用Nmap全端口扫描）。

  质控方案：平台出口网关部署深度包检测（DPI）策略，阻断TCP SYN全端口扫描特征（源端口递增步长=1且目的端口数＞1000），实时告警并冻结该账号72小时；整改要求：重新签署《众测行为守则》并完成平台调度机制考核（满分100分，≥95分合格）。

• 高频违规问题2：漏洞报告缺失环境复现标识（如未注明Apache Tomcat 9.0.83而非仅写“Tomcat”）。

  质控方案：平台启用强制元数据校验规则，提交时自动调用Nmap OS指纹识别接口与目标HTTP Server头比对，不匹配则禁止提交；整改要求：退回报告并标注缺失字段，同一作者累计3次触发即暂停任务接单权限15日。

• 高频违规问题3：委托方未提供《授权测试范围确认书》即启动众测。

  质控方案：平台任务创建流程嵌入电子签章验证节点，未上传PDF签章文件（含CA证书链）则无法生成任务ID；整改要求：终止当前任务，补传文件后重新走审批流，历史测试数据全部逻辑删除并生成审计水印日志。

• 质控闭环机制：所有整改项须在T+2工作日内录入平台QC跟踪表，状态字段含“待整改/整改中/已验证/已关闭”，验证人须持CISSP或CISP资质，验证记录保存期≥5年。