ICS 35.240.30 CCS M 07 YD 中华人民共和国通信行业标准 YD/TXXXX--202X 网络空间安全仿真互联网域名系统根 服务风险仿真技术要求 Cybersecurityemulation-Technicalrequirementsforroot servicerisk simulationofInternetdomainname system 业标准信息服务平台 (报批稿) 202x-XX-XX发布 202x-XX-XX实施 中华人民共和国工业和信息化部 发布
YD/TXXXX-202X 目次 前 1范围. 2规范性引用文件 3术语和定义, 5实施原则.. 5.1过程可控性原则. 5.2最小影响性原则. 6根服务风险仿真环境构建要求 6.1总体要求.. 6.2仿真网络搭建要求. 6.3网络拓扑编排要求. 6.4路由系统配置要求. 6.5DNS业务流量仿真要求, 6.6DNS系统管理数据仿真要求 6.7与现网对接要求. 7根服务风险仿真要求 7.1孤立式风险仿真要求 7.2致盲式风险仿真要求. 7.3消失式风险仿真要求 7.4劫持式风险仿真要求 参考文.. 行业标准信息服务平台
YD/TXXXX-202X 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分:标准化文件的结构和起草规则》的规定 起草.
请注意本文件的某些内容可能涉及专利.
本文件的发布机构不承担识别专利的责任.
本文件由中国通信标准化协会提出并归口, 本文件牵头起草单位:广州大学网络空间先进技术研究院、鹏城实验室、哈尔滨工业大学.
本文件参与起草单位:北京奇虎科技有限公司、北京邮电大学、中山大学、中国信息通信研究院、 中国科学院计算机网络信息中心、互联网域名系统北京市工程研究中心有限公司、中国电子集团第六研 究所、中国联合网络通信集团有限公司、中国电信集团有限公司、中国移动通信集团有限公司、国家计 算机网络应急技术处理协调中心、湖南合天智汇信息技术有限公司.
本文件主要起草人:姜誉、田志宏、张字、张伟哲、胡宁、仇品、苏申、孙彦斌、李树栋、余翔 湛、金舒原、濮灿、元峰、张宾、谢家贵、齐超、尚清涛、马迪、加雄伟、刘式颖、赵玉震、王晓 宇、贾召鹏、王东滨、陈松、李广措、崔宇.
行业标准信息服务平台
YD/TXXXX-202X 网络空间安全仿真互联网域名系统根服务风险仿真技术要求 1范围 本文件规定了互联网域名系统根服务仿真技术要求,包括根服务风险仿真环境构建要求、根服务风 险仿真要求.
本文件适用于互联网域名系统根服务结构性风险分析,指定管理域的域名服务安全风险评估,以及 根服务规划、设计、建设等工作.
2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款.
其中,注日期的引用文件, 仅该日期对应的版本适用于本文件:不注日期的引用文件,其最新版本(包括的修改单)适用于本 文件.
YD/T 2135-2010 域名系统运行总体技术要求 YD/T XXXX-202X 互联网域名系统根服务风险评估技术要求 3术语和定义 YD/T2135-2010、YD/TXXXX-202X界定的术语和定义适用于本文件.
4缩略语 下面缩略语适用于本文件.
AS 自治系统 Autonomous System BGP 边界网关协议 Border Gateway Protocol ccTLD 国家代码项级域 country code Top-Level Domain DNS 域名系统 Domain Name System EBGP 外部边界网关协议 Extermal Border Gateway Protocol gTLD 通用项级域 general Top-Level Domain HTTP 超文本传输协议 Hyper Text Transfer Protocol IANA 互联网数字分配机构 The Intermet Assigned Numbers Authority IP 网际互连协议 Intemet Protocol MED 多出口鉴别器 Multi-Exi-DISC NS 名称服务器 Name Server OSPF 开放最短路径优先路由协议 Open Shortest Path Firsi RR 资源记录 Resource Record TCP 传输控制协议 Transmission Control Protocol TLD 顶级域 Top-Level Domain TTL 生存时间 Time-To-Live
YD/TXXXX202X 5实施原则 5.1过程可控性原则 仿真人员应按照项目管理要求,建立项目组长负责制,制定具体的仿真方案,达到仿真过程的可控.
5.2最小影响性原则 在接入现网DNS系统时,应采用最小影响原则,即首要保障DNS系统的稳定运行,不对现网正常 运行产生影响,必要时采用避开业务的高峰时间的方式进行解析请求测试.
6根服务风险仿真环境构建要求 6.1总体要求 域名系统的根服务风险来自于根服务的中心式管理,在某国家或地区根服务风险触发的前提下,该 区域内现有域名系统无法正常工作.
为了对根服务风险进行仿真,应进行仿真网络搭建、网络拓扑编排、 路由系统配置等,并应在其中部署域名系统的业务数据、模拟DNS请求流量.
为了对根服务风险仿真进行全面的内容覆盖,在无需模拟权威域名解析时,仿真系统应接入现网, 触发的DNS业务流量直接从现网获取解析结果.
6.2仿真网络搭建要求 为了支撑对DNS根服务风险的仿真,应构建虚拟靶场网络,靶场网络应提供协议、设备、规模、业 务等层面的支撑能力,仿真网络搭建要求包括: a)协议层面:靶场网络应实现对主流网络协议的仿真,包括TCP/IP协议族,DNS、HTTP等应用层 协议,BGP、OSPF等路由协议,以支撑DNS业务及关联业务在仿真网络中的正常运行和接入现网的能 力; b)设备层面:靶场网络应支持对网卡、路由器、虚拟机的定制化配置,并支持对端系统包括根域 名服务器、权威域名服务器、递归服务器、解析客户端等DNS应用端的模拟,设备的系统安装配置可导 入,并应在靶场虚拟运行过程中实时接入控制: c)规模层面:靶场网络应支持仿真网络模拟不少于5个国家或地区,每个国家或地区支持不少于一 个自治系统的模拟,支持一定规模的仿真网络搭建(建议结点数不小于1000个,子网数不小于100个).
d)业务层面:DNS业务的模拟应覆盖根域名解析、权威域名解析、递归解析.
6.3网络拓扑编排要求 仿真网络拓扑结构的编排包括AS级拓扑编排和IP级拓扑编排,对应要求包括: a)AS级拓扑编排应明确仿真网络各AS间的拓扑连接关系,拓扑连接关系可由开源BGP路由数据获 得.
IP级拓扑编应排明确仿真网络各AS的骨干网结构,每个骨干网路由器通过二层交换机接一个C类地 址规模的子网,用于仿真接入网,并加载DNS业务服务器.
b)IP级拓扑依据开源测量获得.
每个AS模拟应不少于10个骨干网路由器,当测量数据所测网络规 模过大,则抽取所测拓扑结点个数为N的最大连通子图(这里N为应仿真的AS规模) 地址配置方面,为确保仿真业务接入现网时不存在地址冲突,仿真网络中的IP地址配置应采用私网 地址.
为简化路由配置,每个AS集中分配地址块(例如每个AS分配一个B类地址规模的网络),并在AS 内部进一步细分子网.