YD/T 3846.3-2021 标准解读

一、标准适用场景与实施阶段

• 适用业务类型：面向国家域名系统（DNS）根镜像节点、顶级域权威解析服务节点、国家级互联网基础资源支撑平台中承担域名权威解析功能的系统，包括但不限于CN域名、.中国域名及经ICANN授权的其他gTLD权威解析服务节点。
• 实施环节：适用于系统集成部署、接口联调测试、等保三级及以上安全加固完成后的正式上线前阶段；不适用于递归解析服务、缓存解析服务或非权威DNS服务场景。
• 验收阶段：属于专项接口验收环节，须在系统完成全量域名区文件加载、SOA序列号同步机制验证通过、TSIG密钥对配置完毕后启动，且须在等保测评报告出具前完成。

二、现场实操合规规范

1. 接口协议强制要求：必须采用HTTPS+RESTful架构，HTTP状态码仅允许200/400/401/403/404/500六类；请求头必须包含X-Auth-Token（JWT格式，有效期≤3600s）、X-Request-ID（UUIDv4）、Content-Type: application/json;charset=UTF-8；响应体JSON Schema须严格符合附录B定义，字段缺失率≤0%。
2. 参数阈值控制：
   • SOA刷新间隔（refresh）：≤3600s，且不得小于最小TTL值；
   • 区域传输（AXFR/IXFR）超时：≤60s，重试次数≤2次；
   • 单次API请求最大域名记录数：≤500条（含NS、SOA、A、AAAA、CNAME、TXT、DS、DNSKEY等全部RR类型）；
   • TSIG签名算法：仅支持hmac-sha256，密钥长度≥32字节，密钥轮换周期≤90天。
3. 执行流程：
   1. 步骤1：使用RFC 8499定义的域名语法校验器对输入FQDN进行预检，拒绝含空格、控制字符、非ASCII码点未Punycode编码的域名；
   2. 步骤2：按YD/T 3846.3-2021表4执行SOA序列号一致性比对，差值绝对值＞1即触发告警并中止操作；
   3. 步骤3：对返回的DNSSEC资源记录集执行RFC 4035第5.3节验证流程，DS链完整性验证失败率须为0%。
4. 现场质量管控：每批次接口调用须留存完整日志（含原始请求报文、响应报文、时间戳、源IP、目标IP），日志保留期≥180天；所有密钥材料须通过国密SM4加密存储于HSM设备，密钥导出日志须实时同步至安全审计平台。

三、成果验收核验标准

四、实操常见问题与质控方案

• 高频违规问题：
  • 问题1：使用HTTP明文传输TSIG密钥参数，违反第5.2.3条；
  • 问题2：SOA refresh值设为86400s，超出标准上限3600s；
  • 问题3：响应体中返回内部IP地址或调试堆栈信息，违反第6.4.1条安全输出要求；
  • 问题4：IXFR增量更新未校验base serial，导致区数据不一致。
• 质控与整改方案：
  1. 部署API网关层强制HTTPS重定向与请求头过滤，拦截含X-Auth-Token明文传输的HTTP请求；
  2. 在配置管理数据库（CMDB）中固化SOA参数模板，refresh字段绑定校验规则（≤3600），部署时自动触发合规检查；
  3. 在响应体序列化逻辑前插入脱敏中间件，屏蔽所有10.0.0.0/8、172.16.0.0/12、192.168.0.0/16网段IP及Java/Python堆栈关键字；
  4. IXFR处理模块增加base serial比对断言，若soa_serial_in_request ≠ current_soa_serial_on_server，立即返回HTTP 409并记录事件ID至SIEM平台。