中国移动IDCISP信息安全管理系统接口规范V

中国移动通信企业标准QB-╳╳-╳╳╳-╳╳╳╳中国移动I D C/I S P信息安全管理系统接口规范I n t e r f a c e S t a n d a r d o f I n f o r m a t i o nS e c u r i t y M a n a g e m e n t S y s t e m f o rI n t e r n e t D a t a C e n t e r/I n t e r n e tS e r v i c e P r o v i d e r版本号：0.1.0╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动通信集团公司发布目录前言 .............................................................................................................................................. I I1 范围 (1)2 规范性引用文件 (1)3 术语、定义和缩略语 (1)4 业务概述 (2)5 系统架构 (2)6 接口流程 (6)6.1 通信方式 (6)6.2管理指令处理流程 (6)6.3查询流程 (7)6.4数据上报、下发流程 (8)7 接口定义方法 (11)7.1idc_command()方法 (11)7.2idc_commandack()方法 (15)7.3file_load方法 (17)7.4SDTP方法 (19)8 数据代码表 (21)8.1登记备案属性代码表 (21)8.2接入方式代码表 (21)8.3单位属性代码表 (21)8.4证件类型代码表 (22)8.5机房性质代码表 (22)8.6代理类型代码表 (22)8.7服务内容代码表 (23)8.8监测规则及过滤规则代码表 (24)8.9违法违规情况表 (24)9 接口要求 (25)9.1控制平台与SMMS接口 (25)9.2控制平台与网站备案管理系统接口 (25)9.3网站备案管理系统与IDC运营管理平台接口 (34)9.4控制平台与省端执行系统接口 (40)9.5控制平台与上网日志留存系统接口 (51)9.6省端执行系统与上网日志留存系统接口 (54)9.7省端执行系统内部接口 (55)10 编制历史 (55)前言本标准规定了中国移动IDC/ISP信息安全管理系统的接口规范，用于指导中国移动IDC/ISP信息安全管理系统建设。

本标准包含了IDC/ISP信息安全管理系统接口协议、数据格式要求。

本标准是中国移动IDC/ISP信息安全管理系统的系列标准之一，该系列标准的结构、名称或预计的名称如下：本标准需与《中国移动IDC/ISP信息安全管理系统总体技术要求》《中国移动IDC/ISP信息安全管理系统控制平台设备规范》《中国移动IDC/ISP信息安全管理系统省端执行系统设备规范》配套使用。

本标准由中移号文件印发。

本标准由中国移动通信集团公司计划部提出，集团公司技术部归口。

本标准起草单位：中国移动通信研究院。

本标准主要起草人：1范围本标准主要包括中国移动IDC/ISP信息安全管理系统的系统架构、接口流程、接口方法、接口协议、接口数据格式等要求。

用于为中国移动IDC/ISP信息安全管理系统的开展、招标选型、工程建设及运行维护提供技术依据。

原则上在中国移动通信集团公司内部和厂商共同使用，适用于移动、铁通IDC接入等网络环境。

2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

3术语、定义和缩略语本标准中术语、定义如表3-1所示。

本标准中术语、定义如表3-2所示。

表3-2 缩略语4业务概述中国移动IDC/ISP信息安全管理系统（ISMS）的功能是对IDC/ISP进行基础数据管理、访问日志管理和信息安全管理。

ISMS的主要功能包括：上报IDC/ISP经营单位信息、机房数据、IDC/ISP用户数据等基础数据，并供SMMS查询；监测机房异常使用IP；监测IDC/ISP上行流量数据，记录和统计访问信息，形成访问日志，并供SMMS查询；发现、处置并上报违法违规网站；基于IP、域名、URL、关键词等条件监测IDC/ISP双向流量；提供基于IP、域名、URL、关键词等条件的过滤操作；上报监测日志、过滤日志信息等。

5系统架构中国移动ISMS由控制平台与IDC运营管理平台、网站备案管理系统、省端执行系统、上网日志留存系统对接组成。

控制平台接收通信管理局侧的安全监管系统（SMMS）的管理指令，根据要求向安全监管系统上报数据，控制平台与IDC运营管理平台对接实现基础数据同步；省端执行系统实现异常IP监测、违法违规网站监测、违法信息的监测发现和过滤封堵处置，上报监测和过滤日志。

中国移动IDC/ISP信息安全管理系统功能架构图如图5-1所示，网络拓扑图如图5-2-1，图5-2-2所示，逻辑架构图如图5-3-1，图5-3-2所示。

⏹控制平台：负责与安全监管系统、IDC运营管理平台、省端执行系统进行对接；接收IDC运营管理平台同步的基础数据；提供基础数据录入、添加功能；接收、保存省端执行系统上报的监测日志、过滤日志等；转发SMMS下发的违法信息监测、过滤指令、访问日志查询指令、违法信息规则库、信息安全管理指令查询指令、代码表发布指令；负责上报IDC/ISP基础数据、访问日志、监测日志、过滤日志、查询指令结果至SMMS；接收上网日志留存系统上报的IP、URL等信息并进行除重；支持将除重后的IP、URL等信息与基础数据进行比对，实现异常IP监测和违法违规网站发现；提供系统管理功能；控制平台可以通过不良信息监控系统中央平台改造实现或是由省公司自建控平台。

⏹安全监管系统：负责提供基于IP地址、端口、域名、URL、关键词等条件的违法信息规则库；下发访问日志查询、监测、过滤指令；下发信息安全管理指令查询指令；下发代码表发布指令；接收控制平台上报监测日志、过滤日志、告警信息及查询指令结果、指令执行情况；⏹IDC运营管理平台：提供基础数据信息至网站备案管理系统；⏹网站备案管理系统：转发SMMS下发的代码表发布指令；接收IDC运营管理平台提供的基础数据信息；实现对IDC机房及用户的基础信息管理，包括对IDC经营单位、IDC 机房数据及IDC用户数据等信息的数据导入、添加、删除/修改和上报等功能；提供基础数据补录接口；上报IDC/ISP基础数据信息至控制平台；⏹省端执行系统：负责保存控制平台下发的基于IP、端口、域名、URL、关键词等条件的违法信息规则库；统一DPI设备负责对现网流量进行采集，对流量数据进行分析、识别、还原；对发现的违法信息进行记录并形成监测日志；上报监测日志至控制平台；对发现的违法信息依据过滤指令进行过滤封堵处置；输出并上报过滤日志至控制平台；统一DPI将流量日志发送至日志合成服务器，日志合成服务器生成原始XDR话单并发送至网络日志服务器进行存储；⏹上网日志留存系统：接收日志合成服务器提供的访问日志原始XDR话单，提供访问日志数据存储，提供访问日志查询接口。

图5-1 中国移动IDC/ISP信息安全管理系统功能架构图图例：图5-2-1 IDC/ISP 信息安全管理系统网络拓扑图（控制平台改造不良信息监控系统中央平台实现）图例：需新建图5-2-2 IDC/ISP 信息安全管理系统网络拓扑图（控制平台由省公司自建实现）图例：需新建图5-3-1 IDC/ISP 信息安全管理系统逻辑架构图（控制平台改造不良信息监控系统中央平台实现）图例：需新建图5-3-2 IDC/ISP 信息安全管理系统逻辑架构图（控制平台由省公司自建实现）6接口流程6.1通信方式ISMS通信接口包括命令通道和数据通道。

括号内内容为控制平台通过不良信息监控系统中央平台改造的实现方法。

a)命令通道采用Webservice方式，SMMS通过调用ISMI接口方法将管理指令等下发给ISMS，ISMI命令通道管理指令处理流程、查询流程、接口方法参见《互联网数据中心和互联网接入服务信息安全管理系统接口规范》。

ISMS系统内控制平台通过调用省端执行系统和上网日志留存系统（或控制平台调用省端执行系统、日志查询平台，日志查询平台调用网络日志服务器）接口方法将监测指令、过滤指令、查询指令、信息安全管理指令查询指令、代码表发布指令等下发给省端执行系统，指令处理流程见6.2，查询流程见6.3，接口方法见7.1、7.2；b)数据通道采用FTP或SDTP方式，ISMS使用FTP协议将数据文件上报给SMMS，ISMI数据通道数据上报流程参见《互联网数据中心和互联网接入服务信息安全管理系统接口规范》。

ISMS系统内控制平台、信息安全管理模块、IDC运营管理平台、网站备案管理系统、网络日志服务器、日志合成服务器（或控制平台、信息安全管理模块、IDC运营管理平台、网站备案管理系统、日志查询平台、网络日志服务器、日志合成服务器）通过使用FTP 协议将基础数据、违法信息规则库、代码表、访问日志、查询结果、监测日志、过滤日志、指令查询结果、指令执行情况、状态信息等进行上报和下发。

统一DPI通过使用SDTP 协议将XDR话单数据进行上报。

数据上报、下发流程见6.4，接口方法见7.3、7.4。

6.2管理指令处理流程管理指令包含控制平台对省端执行系统中信息安全管理模块下发的监测指令、过滤指令，过滤指令的优先级高于监测指令。

控制平台通过管理指令完成对基础数据监测功能的开启或关闭，控制平台通过管理指令对省端执行系统的信息安全管理功能进行管理。

控制平台将管理指令发送到省端执行系统后，等待接收省端执行系统反馈的指令生效信息，具体流程如下：a)控制平台调用idc_command()方法，将指令下发至省端执行系统。

指令以XML文件的格式封装。

b)省端执行系统接收控制平台下发指令，进行认证和信息校验，完成信息校验后保存指令，并在同一连接内及时反馈指令接收是否成功的信息；如果省端执行系统没有成功收到下发命令，控制平台则需要重新下发指令。

c)省端执行系统在指令约定时间内执行指令，将指令生效的结果信息通过调用idc_commandack()方法返回给控制平台，返回的内容是以XML文件的格式封装的结果。

d)控制平台接收省端执行系统的指令生效结果信息，完成信息校验后进行保存，并在同一连接内及时反馈接收情况；如控制平台没有成功收到指令生效信息，省端执行系统需要重新上报指令生效结果信息。