DB31T 1561-2025車聯(lián)網(wǎng)服務平臺網(wǎng)絡安全技術要求

3131 車聯(lián)網(wǎng)服務平臺網(wǎng)絡安全技術要求2——基礎設施是車聯(lián)網(wǎng)服務平臺的基礎設施資源，由物理環(huán)境、服務器、計算環(huán)境——以風險管理為導向的動態(tài)防護。宜通過對車聯(lián)網(wǎng)服務平臺所面臨的安全威脅態(tài)勢持續(xù)監(jiān)測以及安全防護措施的動態(tài)調(diào)整，建立動態(tài)的安全保護機制，及時有效應車聯(lián)網(wǎng)服務平臺運營者應按照GB/T22239—2019網(wǎng)絡安全等級保護第三級要求，開展車聯(lián)網(wǎng)服務應根據(jù)平臺服務的類型與功能特點，制定不同等級、不同業(yè)務、不應保證同一用戶的用戶應對未授權設備進行動態(tài)發(fā)現(xiàn)及管控，只允許通過授權的設備運行。3應采取網(wǎng)絡審計措施，監(jiān)測、記錄系統(tǒng)運行狀態(tài)、日常操作、故障維護、遠程運維等，留存相關日志數(shù)據(jù)不少于6個月。8.3安全計算環(huán)境8.3.1身份鑒別應對設備、應用或服務、數(shù)據(jù)的管理用戶進行身份標識和鑒別。用戶身份標識應具有不易被冒用的特點，口令應有復雜度要求并定期更換。應對重要業(yè)務操作及重要用戶操作，建立動態(tài)的身份鑒別方式或采用多因素身份鑒別方式。應采取加密方式存儲用戶身份鑒別信息。8.3.2安全審計審計范圍應覆蓋到所有系統(tǒng)用戶。審計內(nèi)容應包括重要用戶行為、重要操作指令、業(yè)務資源使用等重要事件。審計記錄應包括事件的日期、時間、發(fā)起者信息、類型、描述和結果等，留存時間不少于6個月。應保護審計記錄，避免受到未授權的訪問、刪除、修改或覆蓋等。應支持按安全策略需求提供相關的審計信息及審計分析報告。8.3.3數(shù)據(jù)備份應建立業(yè)務連續(xù)性管理及容災備份機制，重要系統(tǒng)和數(shù)據(jù)庫實現(xiàn)異地備份。8.4安全管理中心8.4.1暴露面收斂應識別和減少互聯(lián)網(wǎng)和內(nèi)網(wǎng)資產(chǎn)的互聯(lián)網(wǎng)協(xié)議地址、端口、應用服務等暴露面，壓縮互聯(lián)網(wǎng)出口數(shù)量。應減少對外暴露組織架構、郵箱賬號、組織通信錄等內(nèi)部信息。不應在公共存儲空間(例如：代碼托管平臺、文庫、網(wǎng)盤等)存儲可能被攻擊者利用的技術文檔。8.4.2集中管控應采用密碼技術(例如：HTTPS、SSL、TLS1.2以上版本等)建立一條安全的信息傳輸路徑，對網(wǎng)絡中的安全設備或安全組件進行管理。應對分散在各個設備上的審計數(shù)據(jù)(例如：系統(tǒng)運行狀態(tài)、日常操作、故障維護、遠程運維等)進行收集匯總和集中分析，并保證審計記錄的留存時間不少于6個月。應使用自動化工具來支持系統(tǒng)賬戶、配置、漏洞、補丁、病毒庫等的集中管理。對于漏洞、補丁，應在經(jīng)過驗證后及時修補。8.4.3監(jiān)測預警應在網(wǎng)絡邊界、網(wǎng)絡出口等網(wǎng)絡關鍵節(jié)點部署攻擊監(jiān)測設備。