內容分發網絡（CDN）安全及合規技術要求目 次1范圍 12規性用件 13術和義 14縮語 15概述 26傳安全 27訪控制 38內防改 39內合規 410絡全 411源全 5參考獻 7I內容分發網絡（CDN）安全及合規技術要求范圍（CDN）（YD/T4380-2023內容分發網絡技術要求服務總覽下列術語和定義適用于本文件。ContentDeliveryNetwork能夠實時地根據網絡流量和各節點的連接、負載狀況以及到用戶的距離和響應時間等綜合信息將Internet網內容回源ContentOrigin-PullCDNCDN縮略語下列縮略語適用于本文件。ACK：確認字符（AcknowledgeCharacter）BOT：機器人（Robot）CC：挑戰黑洞（ChallengeCollapsar）CDN：內容分發網絡（ContentDeliveryNetwork）CSRF：跨站請求偽造（CrossSiteRequestForgery）DDoS：分布式拒絕服務（DistributedDenial-of-Service）DNS：域名系統（DomainNameSystem）DV：域名校驗（DomainValidated）EV：擴展校驗（ExtendedValidated）FIN：終止（Finish）HSTS：HTTP嚴格傳輸安全性（HTTPStrictTransportSecurity）HTTPS：超文本傳輸安全協議（HypertextTransferProtocolSecure）ICMP：互聯網控制消息協議（InternetControlMessageProtocol）NTP：網絡時間協議（NetworkTimeProtocol）OCSP：在線證書狀態協議（OnlineCertificateStatusProtocol）1OV：組織校驗（OrganizationValidated）OWASP：開放式Web應用程序安全項目（OpenWebApplicationSecurityProject）QUIC：互聯網快速鏈接（QuickUDPInternetConnections）RST：復位（Reset）SSDP：簡單服務發現協議（SimpleServiceDiscoveryProtocol）SSL：安全套接層協議（SecureSocketsLayer）SYN：同步（Synchronization）TCP：傳輸控制協議（TransmissionControlProtocol）UDP：數據報協議（UserDatagramProtocol）WAF：應用程序防火墻（WebApplicationFirewall）XSS：跨站腳本（CrossSiteScripting）概述（CDN）1圖1:內容分發網絡示意圖CDNCDNHTTPSCDN應滿足以下HTTPS傳輸協議安全要求：CDNHTTPSCDNHTTPSCDNHTTPSCDNHTTPSOCSP/HSTSQUICCDN應支持加速網站的QUIC訪問，即CDN節點支持客戶端通過QUIC訪問。2CDN應滿足以下證書管理安全要求：CDNCDNDVSSLOVSSLEVSSLCDNSM2/SM3SSLCDN防盜鏈CDN支持防盜鏈要求如下：CDNRefererRefererCDNRefererCDNCDN節點進行服務IP為了有效控制加速內容的訪問來源，CDN應支持IP黑白名單訪問控制，通過對用戶請求端IP配置訪問控制策略，有效限制訪問來源，阻攔惡意IP盜刷、攻擊等問題.要求如下：IPCDNCDNIPIPIPIPv4IPv6IPCDN應支持IP訪問限頻，對單IP單節點在每一秒鐘的訪問次數進行限制，具體要求如下：CDNIPCDNIPIPIPIP單位時間內的訪問次數到達閥值時，CDN節點返回狀態碼，并產生相關告警；IPv4IPv6UACDNHTTPHeaderUser-AgentCDNUACDNUACDNCDNUAUACDNCDNCDNCDN3CDNCDNCDNCDN應滿足以下內容異常檢測要求：CDNCDNURLCDNCDNCDN應滿足以下網站列表管理要求：CDNIPCDNCDNCDN支持網站的監管，具備CDN業務訪問日志保存及查詢的能力，具體要求如下：CDNURLIPIPCDNCDNCDNCDN應具備以下快速清除緩存能力：CDNCDNCDN應該能滿足當地監管要求，具備廣東省內、港澳地區信息安全管理系統的對接能力。4CDNDDoSWAF、BOTCDNCDNDDoSDDoSUDPFloodSYNFloodTCPFlood、ICMPFlood、ACKFlood、FINFloodRSTFloodDNS/NTP/SSDPDDoSCC攻擊，支持HTTPHOSTrefererCDNWAFwebWebSQLXSSCSRFWebshellOWASPWebCDNBOTBOT爬User-AgentHTTP頭部、HTTPCDNCDN支持安全監控告警，通過告警及時發現CDN的安全狀態并進行處理，具體要求如下：CDNCDN在安全保護等級方面，CDN應滿足以下要求：CDNCDNCDNCSASTARCDN應滿足以下資源覆蓋要求：CDN90%CDN992s700KB/s（640K）2s（8M）1200KB/