GBT 31499-2026 网络安全技术 统一威胁管理产品（UTM）技术规范标准立项发展报告

网络安全技术统一威胁管理产品（UTM）技术规范StandardizationDevelopmentReport:NetworkSecurityTechnology—TechnicalSpecificationforUnifiedThreatManagement(UTM)Products摘要随着网络攻击手段日趋多样化和复杂化，传统单一功能的网络安全产品已难以有效应对新兴威胁，统一威胁管理（UnifiedThreatManagement,UTM）产品应运而生并逐步成为网络安全防护体系中的关键基础设施。然而，UTM产品在功能架构、性能指标、部署模式及安全管理等方面长期缺乏统一的国家级技术标准，导致市场产品良莠不齐、互联互通困难、安全评估缺乏依据。本标准立项旨在构建覆盖UTM产品全生命周期的技术规范体系，明确产品功能要求、安全性能指标、接口协议、管理运维及测试评价方法，为产品研发、检测认证、选型采购及安全监管提供统一依据。本标准由全国网络安全标准化技术委员会提出并归口，整合了国内外相关标准研究成果与产业实践经验，填补了我国在UTM产品领域强制性国家标准层面的空白。标准的发布实施将有力提升我国网络安全产品整体质量水平，促进网络安全产业健康有序发展。关键词：统一威胁管理；网络安全；技术规范；信息安全；入侵防御；下一代防火墙；标准化AbstractWiththeincreasingdiversityandcomplexityofcyberattackmethods,traditionalsingle-functionnetworksecurityproductshavebecomeinadequateagainstemergingthreats.UnifiedThreatManagement(UTM)productshaveconsequentlyemergedandevolvedintocriticalinfrastructurewithinnetworksecurityprotectionsystems.However,thelong-standingabsenceofunifiednationaltechnicalstandardsregardingUTMproductfunctionalarchitecture,performancemetrics,deploymentmodels,andsecuritymanagementhasresultedinunevenmarketproductquality,difficultiesininterconnectionandinteroperability,andalackofbasisforsecurityassessment.ThisstandardprojectaimstoestablishacomprehensivetechnicalspecificationsystemcoveringtheentirelifecycleofUTMproducts,definingproductfunctionalrequirements,securityperformanceindicators,interfaceprotocols,managementoperations,andtestingandevaluationmethodologies,therebyprovidingaunifiedbasisforproductdevelopment,testingandcertification,procurementselection,andsecuritysupervision.ThisstandardwasproposedandcoordinatedbytheNationalInformationSecurityStandardizationTechnicalCommittee,integratingrelevantdomesticandinternationalstandardresearchoutcomeswithindustrialpracticalexperience,fillingthegapatthenationalmandatorystandardlevelforUTMproductsinChina.ThepublicationandimplementationofthisstandardwilleffectivelyenhancetheoverallqualityofnetworksecurityproductsinChinaandpromotethehealthyandorderlydevelopmentofthenetworksecurityindustry.Keywords:UnifiedThreatManagement;NetworkSecurity;TechnicalSpecification;InformationSecurity;IntrusionPrevention;Next-GenerationFirewall;Standardization一、引言（一）研究背景当前，全球网络安全形势日趋严峻。勒索软件、高级持续性威胁（APT）、分布式拒绝服务攻击（DDoS）、0Day漏洞利用等新型攻击手段层出不穷，网络攻击的产业化、武器化趋势日益显著。根据国家互联网应急中心（CNCERT）发布的年度报告，我国每年监测到的网络攻击事件数量持续保持高位增长，关键信息基础设施面临的网络安全威胁尤为突出。在此背景下，传统依赖防火墙、入侵检测系统（IDS）、入侵防御系统（IPS）、防病毒网关等单点安全产品堆叠部署的安全防护模式，已难以满足组织对安全防护效能、运维效率和整体协同的迫切需求。统一威胁管理产品正是在这一背景下诞生并快速发展的安全产品形态。UTM产品将防火墙、入侵防御、防病毒、内容过滤、反垃圾邮件、VPN等多种安全功能集成于单一硬件平台，通过统一的安全策略管理和威胁情报联动机制，实现对网络边界多重威胁的协同防御。相较于传统多设备串联部署模式，UTM产品显著降低了安全架构的复杂度与运维成本，提高了安全策略的一致性与响应时效，尤其适用于中大型企业网络安全边界防护及分支机构安全接入等应用场景。（二）标准化需求分析尽管UTM产品已在网络安全市场中占据重要份额，但其标准化进程却明显滞后于产业发展。具体表现为：第一，缺乏统一的功能定义与技术架构基准，各厂商对UTM产品核心功能边界的理解存在较大差异；第二，性能测试指标及方法尚未统一，产品标称性能与实际防护效能之间缺乏可复现、可对比的衡量标尺；第三，安全功能自身的安全性、可靠性以及产品在极端场景下的表现缺乏权威评价依据；第四，产品与安全管理平台、威胁情报系统之间的接口规范缺失，制约了协同防御生态的形成。国际方面，虽然国际标准化组织（ISO/IECJTC1/SC27）及部分国外标准机构已发布与信息安全产品相关的标准，但专门针对UTM产品综合性能力的技术规范仍属稀缺资源。国内方面，全国网络安全标准化技术委员会（TC260）此前发布的GB/T32916系列等标准主要面向特定安全功能组件，GB/T20281-2020《信息安全技术防火墙安全技术要求和测试评价方法》侧重于防火墙功能维度，均未完整覆盖UTM产品集成化、协同化的整体能力要求。（三）标准修订目的与意义本标准旨在通过明确UTM产品的技术架构、功能要求、安全性能指标、接口协议和管理要求，建立一套覆盖产品设计、开发、测试、认证、部署和运维全生命周期的规范体系。其核心目的包括：一是为UTM产品研制企业提供统一的技术指引，引导产品功能定位和性能优化方向；二是为第三方检测机构和认证机构提供权威的评价依据，提升检测结果的一致性和可比性；三是为网络安全运营者提供产品选型和部署参考，降低用户侧的技术决策成本；四是为行业主管部门实施网络安全产品安全审查与质量监管提供标准化支撑。二、标准编制依据与原则（一）标准编制依据本标准的制定遵循国家标准化法律法规和相关政策文件的基本要求，主要依据如下：在法律层面，依据《中华人民共和国网络安全法》（2017年施行）第二十三条规定，网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。本法为网络安全产品的标准化工作提供了坚实的法律基础。同时，本标准的编制亦参考了《中华人民共和国标准化法》（2018年修订）关于强制性国家标准制定程序的相关规定。在行政法规与规范性文件层面，依据国家市场监督管理总局与国家互联网信息办公室联合发布的《关于统一发布网络安全专用产品安全管理所需安全认证和安全检测结果的通知》，以及国家互联网信息办公室等十二部门联合发布的《网络安全审查办法》中的相关指导原则。在技术标准层面，本标准编制过程中充分参考和引用了以下已发布标准的技术内容：GB17859-1999《计算机信息系统安全保护等级划分准则》、GB/T20281-2020《信息安全技术防火墙安全技术要求和测试评价方法》、GB/T32916.1-2017《信息安全技术网络安全监测预警体系框架》、GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》、GB/T28448-2019《信息安全技术网络安全等级保护测评要求》等国家标准，以及YD/T1132-2001等通信行业相关标准中关于防火墙设备安全技术要求的内容。同时，参考了ISO/IEC15408（CC标准）中关于安全评估的通用框架。（二）标准编制原则本标准的编制严格遵循以下基本原则：1.科学性原则。标准的技术内容建立在充分的产业调研、技术研究和实践验证基础之上，确保每一项技术指标和测试方法均具有坚实的科学依据和可行性验证。2.协调性原则。注重与现行网络安全国家标准体系的衔接与协调，确保标准间无冲突、无重复，共同构成有机统一的整体。3.实用性原则。标准相关内容充分考虑到我国网络安全产业的技术水平和发展现状，既对标国际先进水平，又不脱离国内产业实际承载能力，确保标准发布后能够得到有效实施。4.前瞻性原则。在功能要求与性能指标设置上适度超前，引导产业在UTM产品智能化、协同化、服务化方向持续演进。5.规范性原则。标准编写遵循GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定，保证标准文本的规范性、准确性和可读性。（三）标准适用范围与定位本标准适用于统一威胁管理产品的设计、开发、测试、评估和采购。标准中的UTM产品定义为在同一硬件平台或系统中集成防火墙、入侵防御、防恶意代码（防病毒）、应用识别与控制、虚拟专用网络（VPN）等两种及以上核心安全功能，并通过统一管理界面和策略引擎进行集中管理、协同联动的网络安全专用产品。标准的定位是为UTM产品研制、检测认证及使用环节提供基础性、通用性的技术规范。三、标准主要内容说明本标准的主要技术内容包括范围、规范性引用文件、术语和定义、缩略语、产品分类、产品架构、安全功能要求、自身安全要求、安全保障要求、性能要求、接口要求、管理要求以及测试评价方法等章节。以下对各核心部分进行概要说明：（一）产品分类根据UTM产品的应用场景和部署位置，将其划分为三种类型：网络边界型UTM产品，适用于园区网、企业网及数据中心的南北向边界安全防护，侧重高吞吐量与多维度深度检测的协同工作；分支机构型UTM产品，适用于中小型分支机构或远程办公场所的轻量化安全接入，侧重功能集成度与部署简便性；分布式UTM产品，由集中管理平台和多节点分布式部署的UTM设备协同组成，适用于多区域、多云环境的统⼀安全策略管理。（二）安全功能要求本标准将UTM产品的安全功能划分为基础安全功能与扩展安全功能两大类。基础安全功能包括：-防火墙功能：应支持基于状态检测的包过滤、网络地址转换（NAT）、应用层协议识别及基于安全域的访问控制策略。-入侵防御功能：应具备基于特征库的已知攻击检测与实时阻断能力，支持自定义签名规则及异常流量检测机制。-防恶意代码功能：应对HTTP、FTP、SMTP、POP3、IMAP等主流协议承载的文件进行病毒、木马、蠕虫、间谍软件等恶意代码的检测与清除。-VPN功能：应支持IPSecVPN和SSLVPN两种主流远程安全接入方式，确保通信数据的机密性与完整性。扩展安全功能包括：应用识别与控制、Web内容过滤、反垃圾邮件、带宽管理与QoS、用户行为审计、威胁情报联动、沙箱检测等。扩展功能的实现不得对基础安全功能的健壮性与性能造成非预期不利影响。（三）自身安全要求UTM产品作为一种安全设备，其自身的安全性构成产品安全可信的基础。因此，本标准对产品的自身安全提出了全面的硬性要求，主要包括：-身份标识与鉴别：应对管理员用户实施唯一身份标识，采用不低于口令鉴别、数字证书鉴别或双因子鉴别强度的身份鉴别机制。-访问控制：应基于最小权限原则实施细粒度的管理权限划分，严格限制超级管理员权限的使用范围。-安全审计：应记录并留存管理员操作日志、系统安全事件日志等功能相关的完整审计信息，日志保存时间不得少于六个月。-通信安全：管理通道应采用加密方式传输数据，管理流量与业务流量应进行逻辑隔离或物理分离。-软件与固件安全：应具备升级包完整性校验机制，确保软件和特征库更新过程的防篡改和防伪造能力。-异常自我恢复：应具备关键进程异常退出后的自动重启机制，设备异常重启后安全策略应保持不变。（四）安全性能要求性能要求为本标准核心技术内容之一。在UTM产品中，多安全功能同时开启时势必产生性能开销，需有效平衡安全能力与转发能力。标准要求：-整机吞吐量：在启用全部安全功能（诸如防火墙+入侵防御+防病毒+应用识别）的条件下，设备整机吞吐量不低于设备标称值的80%。-并发连接数：应支持不少于标称值要求的同时活跃连接数，且新建连接速率应满足标称速率。-时延：设备在安全功能全部开启状态下，转发时延相对于纯转发模式增加的幅度不应造成可感知的用户体验劣化。-IPSecVPN吞吐性能、防病毒检测性能等各项功能开启后的性能衰减应在合理阈值之内。为保障指标的可衡量性与一致性，标准同时规定了详细的性能测试环境、测试拓扑及测试方法，以增强标准执行的可操作性。（五）接口要求接口要求包括与安全管理平台的南向管理接口、威胁情报平台的威胁数据输入接口、日志上报与Syslog接口、与AAA服务器（如RADIUS、TACACS+）之间的认证接口，以及可编程API接口等。接口协议应遵循相关国家标准和行业通行的技术规范，确保产品与外部系统之间实现必要的互操作能力。（六）管理要求在产品管理运维方面，标准要求UTM产品应提供基于Web的管理界面和命令行管理接口两种管理方式。在集中管理场景下，应支持多台设备的集中配置下发、集中策略管理、集中日志采集与统一告警。支持配置导入导出及配置回滚功能，支持设备配置的本地备份及远程备份能力，保障安全配置的持久性与灾备恢复能力。（七）测试评价方法为保证标准各技术条款可验证、可实施，标准专门设立了与要求对应的测试评价方法章节。测试方法部分对测试环境搭建、测试工具选用、测试步骤描述及测试结果判定等方面进行了逐项规定。检测机构可依据该章节的内容，按照标准的各项要求对送检UTM产品开展相应的型式检验或委托检验。四、标准修订阶段与工作过程本标准的编制过程严格遵循国家标准制定程序，主要经历以下几个阶段：（一）预研与立项阶段。全国网络安全标准化技术委员会组织相关成员单位开展前期预研工作，系统梳理国内外UTM相关标准、技术资料及产业数据，形成了详细的立项可行性研究报告。2024年，经国家标准化管理委员会批准，本标准正式立项。（二）起草阶段。立项后，由牵头起草单位组织成立标准起草组，成员涵盖国内主要网络安全厂商、科研院所、检测机构及用户单位代表。起草组先后召开多次线下及线上工作会议，对标准框架草案进行了逐条审议和修改完善，形成标准征求意见稿。（三）征求意见阶段。征求意见稿通过全国网络安全标准化技术委员会渠道广泛征求社会各界意见，同时定向邀请行业主管部门、重点行业用户及领域专家进行评审。共收到反馈意见数百条，起草组对每一条意见均进行了认真研究、逐条处理，并对标准文本进行了相应的补充和修改完善，形成标准送审稿。（四）审查与报批阶段。标准送审稿经全国网络安全标准化技术委员会组织专家审查会审查通过。起草组根据审查意见完成最终修改形成报批稿，按照标准审批程序报送国家标准化管理委员会。2026年4月30日，国家市场监督管理总局（国家标准化管理委员会）正式发布本标准，标准编号为GB/T31499-2026，并确定于2026年11月1日起正式实施。五、主要起草单位简介本标准由全国网络安全标准化技术委员会（TC260）提出并归口，由多家国内网络安全领域领军企业、科研院所和检测机构共同参与起草。牵头起草单位简介本标准的主要牵头起草单位为启明星辰信息技术集团股份有限公司。启明星辰成立于1996年，2010年在深圳证券交易所上市（股票代码：002439），是国内极具综合实力的网络安全产品、可信安全管理平台及专业安全服务提供商。公司总部位于北京，在全国设有数十个分支机构，拥有员工数千名，其中研发及技术服务人员占比超过60%。启明星辰长期深耕网络安全产品研发与安全服务领域，在UTM产品方面具有深厚的技术积累和丰富的产品化经验。公司自主研发的超级边界防护网关、统一威胁管理系列产品已在政府、金融、