GA 611-2006 互联网信息服务系统 安全保护技术措施 技术要求

ICS35.020

A90

r

中华人民共和国公共安全行业标准

GA611-2006

互联网信息服务系统

安全保护技术措施技术要求

Informationservicesystemofinternet-

Securityprotectiontechnologycontrols-Technologyrequirement

2006-04-27发布2006-06-01实施

中华人民共和国公安部发布

GA611-2006

目次

前言·····，，，，，。··。，·，，，，·，·····，，，，，··。·······，，，·，。。···，····，，，，，··。。。。·‘···········...IQ

1范围·····，，···‘············，··················，···················，·，··················，，························……1

2规范性引用文件······························································································……1

3术语和定义················，··················，············································1

4技术要求·······1

4.1系统安全········································。············，·，····················，··············，，··········一·1

4.2基本信息生成··········，，······，································3

4.3系统管理功能··············································································，················……3

4.4审计功能················，····“···············‘·····················································，·······……4

4.5查询和统计功能······，，，··········，······。···········，·················，，··············，·，········……7

5技术要求总表····························，·，，，·······························································……7

GA611-2006

前言

本标准中4.1.2.1d),4.1.2.2,4.1.3.3,4.1.4.1.1,4.1.4.2.1,4.1.5.2b),4.1.5.3,4.2.2.3,

4.2.2.4A.3.2.2.1b),4.3.3c)为推荐性条款，其他为强制性条款。

GA611-2006为互《联网信息服务系统安全保护技术措施》系列标准之一，该系列标准的结构

如下:

—互联网信息服务系统安全保护技术措施信息代码;

—互联网信息服务系统安全保护技术措施数据格式;

—互联网信息服务系统安全保护技术措施技术要求;

—互联网信息服务系统安全保护技术措施通讯标准。

本标准由公安部公共信息网络安全监察局提出。

本标准由公安部信息系统安全标准化技术委员会归口。

本标准起草单位:公安部计算机信息系统安全产品质量监督检验中心。

本标准主要起草人:顾健、沈亮、蔡林、林燕飞、齐昆、孔令伯、管海曼、傅明德、高鑫、娄晓晨、王国庆

GA611-2006

互联网信息服务系统

安全保护技术措施技术要求

范围

本标准规定了互联网信息服务系统中的互联网点对点文件传输服务、电子公告服务、电子商务服

务、电子邮件服务、短信息服务、即时通讯服务、聊天室服务、搜索引擎服务、网站服务、游戏服务的技术

要求。

本标准适用于互联网信息服务系统，其他提供互联网信息服务的系统类型可参照本标准执行。

2规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有

的修改单(不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究

是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

GB/T226。中华人民共和国行政区划代码

GB2312-198。信息交换用汉字编码字符集基本集

GB18030-200。信息技术信息交换用汉字编码字符集基本集的扩充

GA609-2006互联网信息服务系统安全保护技术措施信息代码

GA610-2006互联网信息服务系统安全保护技术措施数据格式

GA/Z02-2005公安业务基础数据元素代码集

3术语和定义

GA609-2006确立的以及下列术语和定义适用于本标准。

3.1

即时通讯公共讨论组instantmessagegroup

基于即时通讯软件为用户提供多方信息交流的功能形式。

3.2

双因子认证dual-factorauthentication

信息系统中，对用户的身份认证手段仅通过一个条件的符合来证明一个人的身份称之为单因子认

证，例如:传统的用“户+口令”。通过组合两种不同条件来证明一个人的身份，称之为双因子认证，例

如:除采取传统“用户+口令”外，还采用基于硬件的U盘，使用PIN口令保护用户信息等。

4技术要求

4.1系统安全

4.1.1管理权限鉴别

a)系统应提供管理员的管理功能，包括查询、增加、修改、删除管理员;

b)系统应提供身份鉴别的功能，对授权管理员进行身份鉴别。鉴别以口令的方式进行，并在每

次用户登录系统时进行鉴别。口令是不可见的，并在存储时有安全保护;

c)系统应有且只有授权管理员能够进行系统安全管理;

d)系统应设定单独的审计管理员角色，有且只有此角色的管理员能够设置审计策略事件库、查

GA611-2006

询审计事件等操作;

e)系统应能够提供措施对鉴别进行会话控制，防止会话结束后遗留的信息被后一次会话加以

利用

4.1.2自身安全

4.1.2.1基本功能要求

a)系统应对管理员操作进行审计，包括以下内容:登录、注销、审计管理、查询统计、系统管理;

b)系统应保证安全保护技术措施正常有效运行;

c)系统应防范计算机病毒、网络人侵等对服务系统的攻击;

d)系统宜使用固定网络地址。

4.1.2.2网站信息发布服务系统功能要求

系统宜防范网页篡改和采取网页自动恢复措施

4.1.3数据安全

4.1.3.1基本功能要求

a)系统应保证用户信息、审计数据储存的保密性和完整性。

—应对用户信息、审计数据中的敏感信息加以保护;

—应防止非授权用户对用户信息、审计数据信息的访问;

—应用相应手段保证用户注册信息不被非授权修改(用户信息不能被删除，只能被注销);

应用相应手段保证登录日志不被修改或删除。

系统应采取防止用户在互联网公共信息服务中传输有害数据的技术措施。

4.1.3.2点对点服务系统功能要求

点对点服务系统应拦截垃圾信息的传播。

4.1.3.3电子邮件服务系统功能要求

系统宜提供对携带计算机病毒电子邮件的识别。可以使用内嵌的病毒模块，也可以使用第三方的

杀毒引擎。能够定时自动更新病毒库。必要时系统可以支持同时使用多个外部的杀毒服务器。

4.1.4服务安全管理

4.1.4.1电子邮件服务系统功能要求

4.1.4.1.1电子邮件服务系统群发限制功能

a)宜限制来自相同客户端网络地址的并发连接数;

b)宜限制来自相同客户端网络地址在指定的时间内发起连接的次数;

c)宜限制一次发信过程中收信人的个数;

d)宜限制相同内容的电子邮件发送的次数;

e)宜限制来自相同客户端网络地址在指定的时间内错误次数的功能。

4.1.4.1.2虚假电子邮件判别与屏蔽功能

a)应对电子邮件信头中的路由信息进行一般性的真伪判别，并能对含有虚假路由信息的电子邮

件进行屏蔽;

b)应对电子邮件的发信人信箱与电子邮件的发送账号一致性进行查检，并能对不一致的电子邮

件进行屏蔽;

c)应对非法或不存在的电子邮件域的发件人进行屏蔽;

d)用户应经过鉴别后才能发送电子邮件，能对未鉴别或未通过鉴别的用户进行屏蔽。

4.1.4.2短信息服务系统功能要求

4.1.4.2.