GBT 44886.4-2026 网络安全技术 网络安全产品互联互通 第4部分：威胁信息格式标准立项发展报告

网络安全技术网络安全产品互联互通第4部分：威胁信息格式标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology—InterconnectionandInteroperabilityofCybersecurityProducts—Part4:ThreatInformationFormat摘要随着网络攻击手段的持续升级与高级持续性威胁（APT）的日益泛滥，单一网络安全产品的防御能力已难以应对复杂多变的网络空间安全挑战。网络安全产品之间的协同联动与情报共享成为提升整体防护水平的关键路径，而威胁信息格式的不统一，已成为阻碍产品互联互通、制约安全生态高效协同的主要瓶颈。本报告基于对GB/T44886.4-2026《网络安全技术网络安全产品互联互通第4部分：威胁信息格式》标准的全面分析，系统阐述了该标准的立项背景、编制必要性、主要技术内容及其预期应用价值。报告梳理了当前国内外威胁信息共享领域的技术标准现状与行业实践需求，剖析了我国网络安全产品在互联互通方面面临的格式壁垒与数据孤岛问题，详细介绍了标准中威胁信息的数据结构、分类体系、字段定义、编码规则及扩展机制等核心技术要素。该标准作为GB/T44886系列标准的重要组成部分，旨在建立统一的威胁信息描述与交换格式，支撑各类网络安全产品（如防火墙、入侵检测系统、安全管理平台等）之间威胁情报的规范化共享与自动化流通。标准的发布实施将有效填补我国网络安全产品互联互通领域威胁信息格式标准的空白，为构建协同联动的网络安全防护体系、提升国家关键信息基础设施的整体安全防护能力提供技术支撑。关键词：网络安全；互联互通；威胁信息格式；标准化；情报共享AbstractWiththecontinuousescalationofcyberattackmethodsandtheincreasingprevalenceofAdvancedPersistentThreats(APT),thedefensecapabilityofasinglecybersecurityproducthasbecomeinsufficienttoaddressthecomplexandever-changingcybersecuritychallenges.Collaborativelinkageandintelligencesharingamongcybersecurityproductshaveemergedaskeypathwaystoenhanceoverallprotectionlevels.However,theinconsistencyinthreatinformationformatshasbecomeamajorbottleneckhinderingproductinterconnectionandimpedingefficientcollaborationwithinthesecurityecosystem.BasedonacomprehensiveanalysisofthenationalstandardGB/T44886.4-2026,thisreportsystematicallyelaboratesontheprojectbackground,necessityofdevelopment,maintechnicalcontent,andexpectedapplicationvalueofthisstandard.Thereportreviewsthecurrentstateoftechnicalstandardsandindustrypracticedemandsinthefieldofdomesticandinternationalthreatinformationsharing,analyzestheformatbarriersanddatasiloproblemsfacedbyChina’scybersecurityproductsintermsofinterconnection,andprovidesadetailedintroductiontothecoretechnicalelementsofthestandard,includingthreatinformationdatastructures,classificationsystems,fielddefinitions,encodingrules,andextensionmechanisms.AsanimportantcomponentoftheGB/T44886series,thisstandardaimstoestablishaunifiedthreatinformationdescriptionandexchangeformat,supportingstandardizedsharingandautomatedcirculationofthreatintelligenceamongvariouscybersecurityproducts.ThereleaseandimplementationofthisstandardwilleffectivelyfillthegapinthreatinformationformatstandardsinthefieldofcybersecurityproductinterconnectioninChina,providingtechnicalsupportforbuildingacollaborativecybersecurityprotectionsystemandenhancingtheoverallsecurityprotectioncapabilityofnationalcriticalinformationinfrastructure.Keywords:Cybersecurity;Interconnection;ThreatInformationFormat;Standardization;IntelligenceSharing一、引言（一）立项背景当前，全球网络安全形势日趋严峻，勒索软件攻击、供应链攻击、定向钓鱼攻击等新型威胁不断涌现，网络攻击的规模化、组织化和产业化特征日益显著。单个网络安全产品的孤立防御已无法有效应对系统性安全风险，构建以协同联动为核心理念的主动防御体系成为行业发展共识。在此背景下，网络安全产品之间的互联互通能力变得至关重要。然而，由于不同厂商、不同类型安全产品在数据描述方式、信息交换协议和接口规范等方面长期缺乏统一标准，导致安全产品间的威胁情报共享效率低下，安全运营中心的全局研判能力受限。业界亟需一套统一的威胁信息格式标准，以解决异构环境下的数据互认、互操作与自动化流通问题。威胁信息作为安全产品协同联动的核心要素，其格式的标准化是网络安全产品互联互通的基础性工程。通过确立统一的威胁信息模型和格式规范，能够使不同安全产品对同一威胁事件形成一致的理解与描述，为威胁情报的生产、消费和流转提供共同语言。（二）编制必要性1.响应国家网络安全政策法规的迫切需求2.解决行业痛点的现实要求当前安全行业普遍存在的问题包括：各厂商私有威胁情报格式互不兼容，威胁指标（IoC）难以在不同平台间自动化流转，安全信息和事件管理（SIEM）系统与威胁情报平台（TIP）对接需大量定制化开发等。这种碎片化生态严重制约了威胁情报的价值释放，降低了安全运营效率。统一威胁信息格式将有效破解这一困局。3.对标国际发展趋势国际上，结构化威胁信息表达式（STIX）、可信自动化信息交换指标（TAXII）等标准已在全球范围内得到广泛应用，成为威胁情报共享的事实标准。我国需要在借鉴国际先进经验的基础上，结合国内网络安全产业实际和技术特征，研制自主可控的威胁信息格式国家标准，以利于国家网络安全防护体系的自主建设和产业生态的国际化衔接。二、国内外相关标准情况分析（一）国际标准现状在国际层面，威胁信息格式标准化工作主要由美国MITRE公司及OASIS国际标准组织主导推进。STIX2.x版本作为当前国际主流的威胁情报描述规范，采用JSON数据格式语言，定义了SDO（STIXDomainObjects）和SRO（STIXRelationshipObjects）两大对象体系，涵盖威胁行为者、攻击模式、恶意软件、入侵指标、攻击工具、漏洞利用等十余种领域对象（SCO，Cyber-observableObjects为网络可观测对象），并支持对象间关系的语义化表达。TAXII协议配合STIX提供威胁情报的传输机制，定义了情报集合与数据通道等核心概念。此外，IETF发布的IODEF（IncidentObjectDescriptionExchangeFormat）主要用于计算机安全事件响应团队（CSIRT）之间的事件信息交换，MITRE的MAEC（MalwareAttributeEnumerationandCharacterization）则专注于恶意软件特征的结构化描述。这些标准为全球威胁信息共享奠定了技术基础，但也存在一定的适配性问题，如STIX体系结构偏重复杂、实施门槛较高，与国内安全产品形态的匹配度不足等。（二）国内标准现状在国内，全国网络安全标准化技术委员会（TC260）自2018年起逐步布局网络安全产品互联互通标准体系建设工作。先后发布的GB/T32923《信息安全技术网络安全产品互联互通框架》等基础性标准从宏观层面给出了互联互通的总体架构、功能组件和接口要求。在威胁信息领域，此前尚缺少统一的国家级格式标准，各安全厂商多参考STIX或自建私有格式，导致数据互通成本居高不下。GB/T44886《网络安全技术网络安全产品互联互通》系列标准正是在这一背景下规划编制。该系列标准拟从总体架构、数据接口、互联互通功能和威胁信息格式等维度进行系统化设计。本部分（第4部分）聚焦威胁信息的格式规范，是整个标准体系中的核心数据标准。三、标准主要技术内容（一）标准定位与适用范围GB/T44886.4-2026规定了网络安全产品互联互通场景下威胁信息的统一格式要求。标准适用于网络安全产品（包括但不限于防火墙、入侵检测与防御系统、统一威胁管理设备、安全管理平台、威胁情报平台、终端检测与响应产品等）在威胁信息共享与交换活动中的数据格式设计、数据接口开发和系统集成。（二）核心术语与概念标准中明确定义了以下核心概念：-威胁信息：描述已知或潜在网络安全威胁特征、行为及影响的结构化数据集合；-威胁指标（IndicatorofCompromise，IoC）：用于识别恶意活动或入侵行为的可观察技术特征；-威胁情报：经分析处理后可用于指导安全决策的威胁相关信息；-威胁信息格式：对威胁信息内容进行组织、编码和表示的统一规范。（三）威胁信息分类体系标准建立了多维度威胁信息分类框架，主要包括：1.威胁指标类：文件哈希（MD5、SHA-1、SHA-256）、IP地址、域名、URL、电子邮件地址、注册表键值、服务端口、证书指纹等可机读的失陷指标。2.恶意行为描述类：对攻击活动的行为特征描述，如恶意代码特征行为、漏洞利用手法、命令与控制（C2）通道行为等。3.威胁事件类：安全告警/事件的上下文信息描述，包括事件发生时间、影响资产、危害程度、处置建议等。4.威胁主体类：对威胁行为者（攻击组织/个人）信息的描述，包括其身份标识、攻击意图、攻击能力水平等。5.漏洞信息类：与漏洞相关的结构化描述信息，包括漏洞编号（CVE）、CVSS评分、受影响组件、修复措施等。6.攻击模式类：对攻击技术、战术和过程的模式化描述（参照ATT&CK框架）。（四）威胁信息数据结构与字段定义为满足不同安全产品间信息交换的需求，标准规定威胁信息采用统一的数据结构进行组织，包括以下几个核心层级：1.数据包结构：规定每次威胁信息交换的顶层数据框架，包括数据包标识、数据包类型、创建时间、来源标识、目标标识及数据域等基本字段。2.威胁对象结构：在数据包内承载具体的威胁信息实体，包含信息类型标识（如恶意软件、漏洞信息、威胁指标等）、信息内容字段、置信度评分、威胁等级、时间标记等。为了兼容不同产品的格式习惯，标准提供了必选字段与可选字段的设置方案。其中，必选字段保证了系统互认互通的最低要求，可选字段则为不同产品提供丰富的扩展空间。3.关系描述与关联结构：标准定义若干常见的对象间关系类型（如"源于""利用""关联"等），允许安全产品或安全运营平台构造威胁实体间的关联关系。所有字段的名称、数据类型、取值范围与约束条件均在标准中以表格形式逐一给出。数据交换推荐采用JSON（JavaScriptObjectNotation）等通用、轻量的数据格式，同时兼容XML（ExtensibleMarkupLanguage）格式，在实现上保证数据包的可读性和可解析性。（五）威胁信息编码规则标准规定威胁信息数据包统一采用UTF-8字符编码，时间信息采用ISO8601标准格式并要求标注时区信息，以保证跨地域、跨平台的数据一致性。该编码规则既支持安全域内高速交换，又可满足跨机构共享的可理解性需求，同时兼顾了各产品的标准化接入能力。（六）扩展机制标准设计了兼顾完整性与灵活性的可扩展机制：-自定义对象与自定义字段机制：允许厂商在遵循标准框架的前提下扩展私有属性和行业特定字段；-版本管理机制：规定了数据格式版本标识，支持未来能力演进和版本回溯，有效解决了标准的长期兼容性问题；-映射与兼容指引：为已有STIX等国际主流格式的本地化落地提供映射建议与兼容性要求，提升中国标准与国际生态的互操作性。四、主要参与单位介绍GB/T44886.4-2026标准编制过程中，多家国内网络安全领域头部企事业单位深度参与。其中，奇安信科技集团股份有限公司（以下简称"奇安信"）作为核心编制单位之一，在威胁情报技术研究和标准架构设计方面发挥了重要作用。奇安信是中国领先的网络安全企业，专注于为政府、金融、能源、运营商等关键行业提供全面的网络安全产品与服务解决方案。公司拥有国内规模领先的威胁情报中心，日均处理威胁事件数百亿条，积累了丰富的大规模安全数据分析经验和实战化威胁情报生产能力。集团旗下设有专业的标准化研究团队和网络安全研究院，长期参与国家网络安全标准制修订工作，具有丰富的标准编制经验。在GB/T44886.4-2026的标准编制过程中，奇安信主要承担了以下关键任务：1.威胁信息分类体系的设计研究：基于其威胁情报生产实践中积累的真实数据样本，为标准的分类方案和字段设计提供实际数据基础参考，确保标准能够覆盖当前主流威胁类型，满足多种安全产品对接威胁信息时的实用性要求。2.数据格式架构的规划：结合其多个安全产品线（包括新一代防火墙、终端安全管理系统、安全态势感知与运营平台、威胁情报平台等）互联互通的工程实践，为标准的格式架构设计提供了涵盖多类型产品形态的集成经验，推动格式方案在产品侧具备了可用性和普适性。3.验证测试与应用试点：依托奇安信的攻防实验室和产品研发资源，组织开展了标准草案的验证测试，模拟了防火墙、入侵检测设备、安全分析平台之间的情报共享流转，完成了标准数据包的符合性测试。4.国际标准比对工作：基于其对国际主流标准长期跟踪和产品化的落地能力，承担了该标准与STIX等国际标准的差异性分析和映射可行性论证，为标准的技术方案提供了重要参考。五、结论与展望GB/T44886.4-2026《网络安全技术网络安全产品互联互通第4部分：威胁信息格式》的制定与发布，填补了我国在网络安全产品互联互通领域威胁信息格式统一标准方面的空白。该标准的实施将为网络安全产品的互联互通提供统一的数据语言，显著降低多源安全数据的集成成本，为安全产品间的威胁情报自动化流通与信息共享提供有力支撑，对威胁情报生态的良性发展具有重要推动作用。展望未来，随着该标准的深入推广实施，配套的标准验证工具、测试用例库和一致性检测方案也将逐步完善。建议以该标准为基础，在以下方向持续发力：一是加强标准宣贯与应用推广。推动各网络安全厂商在其产品中实现对标准格式的支持，鼓励新建安全系统采用标准格式进行数据交换。同时，在关键信息基础设施保护、网络安全应急响应、政务网络安全运营等重大工程中，优先采标用标，以规模化应用牵引标准落地。通过应用成效反哺标准迭代，促进网络安全产品互联互通质量的持续提升，提升跨厂商、跨平台的安全协同能力。二是深化与国际标准的双向衔接。跟踪STIX/TAXII等国际标准的最新演进，持续完善国内标准体系与相关国际规范的映射关系，建立常态化的国际合作与互认机制，使中国标准既保持自身特色和自主可控要求，又具备与国际安全生态接轨的开放性。三是支撑体系化标准族的协同发展。结合GB/T44886系列标准各部分的编制进展，推动威胁信息、漏洞数据、告警事件等格式规范在更广泛的网络安全产品互联互通场景中协