DB31T 1561-2025車聯(lián)網(wǎng)服務(wù)平臺(tái)網(wǎng)絡(luò)安全技術(shù)要求

3131 車聯(lián)網(wǎng)服務(wù)平臺(tái)網(wǎng)絡(luò)安全技術(shù)要求2——基礎(chǔ)設(shè)施是車聯(lián)網(wǎng)服務(wù)平臺(tái)的基礎(chǔ)設(shè)施資源，由物理環(huán)境、服務(wù)器、計(jì)算環(huán)境——以風(fēng)險(xiǎn)管理為導(dǎo)向的動(dòng)態(tài)防護(hù)。宜通過(guò)對(duì)車聯(lián)網(wǎng)服務(wù)平臺(tái)所面臨的安全威脅態(tài)勢(shì)持續(xù)監(jiān)測(cè)以及安全防護(hù)措施的動(dòng)態(tài)調(diào)整，建立動(dòng)態(tài)的安全保護(hù)機(jī)制，及時(shí)有效應(yīng)車聯(lián)網(wǎng)服務(wù)平臺(tái)運(yùn)營(yíng)者應(yīng)按照GB/T22239—2019網(wǎng)絡(luò)安全等級(jí)保護(hù)第三級(jí)要求，開展車聯(lián)網(wǎng)服務(wù)應(yīng)根據(jù)平臺(tái)服務(wù)的類型與功能特點(diǎn)，制定不同等級(jí)、不同業(yè)務(wù)、不應(yīng)保證同一用戶的用戶應(yīng)對(duì)未授權(quán)設(shè)備進(jìn)行動(dòng)態(tài)發(fā)現(xiàn)及管控，只允許通過(guò)授權(quán)的設(shè)備運(yùn)行。3應(yīng)采取網(wǎng)絡(luò)審計(jì)措施，監(jiān)測(cè)、記錄系統(tǒng)運(yùn)行狀態(tài)、日常操作、故障維護(hù)、遠(yuǎn)程運(yùn)維等，留存相關(guān)日志數(shù)據(jù)不少于6個(gè)月。8.3安全計(jì)算環(huán)境8.3.1身份鑒別應(yīng)對(duì)設(shè)備、應(yīng)用或服務(wù)、數(shù)據(jù)的管理用戶進(jìn)行身份標(biāo)識(shí)和鑒別。用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換。應(yīng)對(duì)重要業(yè)務(wù)操作及重要用戶操作，建立動(dòng)態(tài)的身份鑒別方式或采用多因素身份鑒別方式。應(yīng)采取加密方式存儲(chǔ)用戶身份鑒別信息。8.3.2安全審計(jì)審計(jì)范圍應(yīng)覆蓋到所有系統(tǒng)用戶。審計(jì)內(nèi)容應(yīng)包括重要用戶行為、重要操作指令、業(yè)務(wù)資源使用等重要事件。審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等，留存時(shí)間不少于6個(gè)月。應(yīng)保護(hù)審計(jì)記錄，避免受到未授權(quán)的訪問(wèn)、刪除、修改或覆蓋等。應(yīng)支持按安全策略需求提供相關(guān)的審計(jì)信息及審計(jì)分析報(bào)告。8.3.3數(shù)據(jù)備份應(yīng)建立業(yè)務(wù)連續(xù)性管理及容災(zāi)備份機(jī)制，重要系統(tǒng)和數(shù)據(jù)庫(kù)實(shí)現(xiàn)異地備份。8.4安全管理中心8.4.1暴露面收斂應(yīng)識(shí)別和減少互聯(lián)網(wǎng)和內(nèi)網(wǎng)資產(chǎn)的互聯(lián)網(wǎng)協(xié)議地址、端口、應(yīng)用服務(wù)等暴露面，壓縮互聯(lián)網(wǎng)出口數(shù)量。應(yīng)減少對(duì)外暴露組織架構(gòu)、郵箱賬號(hào)、組織通信錄等內(nèi)部信息。不應(yīng)在公共存儲(chǔ)空間(例如：代碼托管平臺(tái)、文庫(kù)、網(wǎng)盤等)存儲(chǔ)可能被攻擊者利用的技術(shù)文檔。8.4.2集中管控應(yīng)采用密碼技術(shù)(例如：HTTPS、SSL、TLS1.2以上版本等)建立一條安全的信息傳輸路徑，對(duì)網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管理。應(yīng)對(duì)分散在各個(gè)設(shè)備上的審計(jì)數(shù)據(jù)(例如：系統(tǒng)運(yùn)行狀態(tài)、日常操作、故障維護(hù)、遠(yuǎn)程運(yùn)維等)進(jìn)行收集匯總和集中分析，并保證審計(jì)記錄的留存時(shí)間不少于6個(gè)月。應(yīng)使用自動(dòng)化工具來(lái)支持系統(tǒng)賬戶、配置、漏洞、補(bǔ)丁、病毒庫(kù)等的集中管理。對(duì)于漏洞、補(bǔ)丁，應(yīng)在經(jīng)過(guò)驗(yàn)證后及時(shí)修補(bǔ)。8.4.3監(jiān)測(cè)預(yù)警應(yīng)在網(wǎng)絡(luò)邊界、網(wǎng)絡(luò)出口等網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)部署攻擊監(jiān)測(cè)設(shè)備。