YD/T 4697-2024 标准解读

一、标准适用场景与实施阶段

• 本标准适用于5G移动通信网中采用网络功能虚拟化（NFV）架构的管理和编排（MANO）系统，涵盖虚拟化基础设施层（VIM）、虚拟网络功能（VNF）、NFVO、VNFM等核心组件的安全防护建设与验收。
• 适配业务类型包括但不限于：eMBB增强移动宽带、uRLLC超高可靠低时延通信、mMTC海量机器类通信场景下的MANO系统部署与运维。
• 实施环节覆盖MANO系统设计、部署、集成、运行及变更管理全过程，重点聚焦于虚拟化资源调度、跨域接口安全、生命周期管理操作的安全控制。
• 验收阶段划分为分项功能安全测试、系统集成安全验证、现场运行环境合规性核查三个阶段，须在商用上线前完成全部核验。

二、现场实操合规规范

1. 操作工艺要求：
   • 所有MANO组件部署须基于可信镜像源，镜像哈希值需经SHA-256校验并记录于安全日志。
   • VNF实例化前必须通过安全策略模板自动注入，策略包含最小权限访问控制、端口白名单、进程行为监控规则。
   • NFVO与VNFM间通信须启用TLS 1.3及以上版本加密，证书有效期不得少于365天且由企业级CA签发。
2. 参数阈值设定：
   • 用户会话超时阈值≤15分钟，连续失败登录尝试≥5次即触发账户锁定机制，持续时间≥30分钟。
   • API调用速率限制为单租户每秒不超过200次请求，突发容量≤500次/秒。
   • 审计日志保留周期≥180天，关键操作日志（如VNF删除、策略修改）需同步至独立SIEM系统。
3. 执行流程规范：
   1. 启动前完成安全基线配置核查，依据YD/T 4697-2024附录A逐项确认。
   2. 执行虚拟化资源创建/销毁操作时，须双人复核工单指令，操作过程全程录像存档≥90天。
   3. 每次版本升级或补丁安装后，须在隔离测试环境中完成渗透测试与漏洞扫描，CVE评分≥7.0的漏洞不得上线。
4. 现场质量管控：
   • 部署区域物理访问实行门禁+生物识别双重认证，访问记录实时上传至安全管理中心。
   • 所有操作终端须安装统一终端管理系统（EDR），禁止使用未注册设备接入MANO管理平面。
   • 每周执行一次自动化合规检查脚本，输出不符合项清单并纳入整改闭环管理。

三、成果验收核验标准

整体验收流程：由第三方检测机构出具安全评估报告 → 建设单位组织专家评审会 → 现场抽检不少于30%的核验项 → 形成验收结论并签字归档。全部核验项合格视为通过，任一项不合格须限期整改后重新提交验收。

四、实操常见问题与质控方案

• 高频违规问题：
  1. 未关闭MANO组件默认账户或使用弱口令，占比达现场检查问题总量42%。
  2. API接口缺少输入参数合法性校验，导致存在SQL注入风险。
  3. 跨厂商VNFM对接时未统一日志格式，造成审计信息缺失。
  4. 虚拟机快照文件未加密存储，存在敏感数据泄露隐患。
• 质量隐患识别：
  • 资源调度算法未考虑安全域边界，可能导致高密级VNF被部署至低安全等级宿主机。
  • 自动化编排流程绕过人工审批节点，违反变更管理最小权限原则。
  • 补丁更新后未重新进行安全配置加固，出现基线漂移现象。
• 标准化质控与整改落地方案：
  1. 建立MANO安全配置基线库，纳入CMDB统一管理，每次变更自动比对差异。
  2. 部署API网关实施统一鉴权、限流、参数清洗，拦截非法请求并生成阻断日志。
  3. 强制要求所有厂商遵循ETSI NFV-SOL002日志规范，字段映射准确率须达100%。
  4. 对虚拟机镜像与快照实施静态加密，密钥由硬件安全模块（HSM）托管，轮换周期≤90天。
  5. 设立变更回滚机制，任何安全策略失效可在3分钟内恢复至上一稳定状态。