GBT 47744-2026 网络安全技术 互联网恶意软件定义与描述格式标准立项发展报告

网络安全技术互联网恶意软件定义与描述格式标准立项发展报告StandardizationDevelopmentReport:CybersecurityTechnology—DefinitionandDescriptionFormatforInternetMalware摘要随着互联网技术的飞速发展，恶意软件已成为威胁网络安全的主要载体，其变种数量呈指数级增长，攻击手法日趋复杂隐蔽。然而，由于缺乏统一的恶意软件定义与描述标准，不同安全厂商、研究机构及监管主体之间长期存在信息孤岛、数据格式异构、语义理解不一致等问题，严重制约了威胁情报的共享效率与协同防御能力。本报告围绕国家标准GB/T47744-2026《网络安全技术互联网恶意软件定义与描述格式》的立项背景、编制过程与技术内容展开系统论述。该标准由中国国家标准化管理委员会发布，计划于2027年2月1日正式实施，旨在构建统一的恶意软件描述框架，规范恶意软件的分类体系、属性定义、行为特征描述及数据交换格式，为威胁情报共享、应急响应协同及安全产品互联互通提供标准化支撑。报告详细阐述了标准的编制原则、总体框架、核心技术内容及预期应用成效，并介绍了主要参与单位的概况及其在标准研制中的贡献。该标准的发布实施将有效填补我国在恶意软件描述领域国家标准的空白，对提升国家网络安全防护能力、促进网络安全产业发展具有深远意义。关键词：网络安全；恶意软件；威胁情报；标准定义；描述格式；数据交换；协同防御Keywords:Cybersecurity;Malware;ThreatIntelligence;StandardDefinition;DescriptionFormat;DataExchange;CollaborativeDefense一、引言1.1研究背景近年来，全球网络安全形势日益严峻。勒索软件攻击、高级持续性威胁（APT）、僵尸网络活动等恶意软件相关事件频发，给全球经济造成巨额损失。据相关统计数据显示，2025年全球新增恶意软件样本数量已突破十亿量级，平均每天新增恶意软件变种数十万个。在此背景下，如何快速、准确地识别、描述和共享恶意软件信息，已成为网络安全防御体系建设的核心课题。然而，当前业界在恶意软件描述方面面临的突出困境在于：各安全厂商采用私有化的数据格式和命名规则，导致同一恶意软件在不同平台上的描述存在显著差异；威胁情报共享缺乏统一的语义标准，自动化分析工具的互操作性不足；监管部门、行业用户和安全服务提供商之间难以建立高效的协同响应机制。这些问题迫切需要通过标准化手段加以解决。1.2标准立项意义国家标准GB/T47744-2026《网络安全技术互联网恶意软件定义与描述格式》正是在这一背景下立项并编制的。该标准的制定具有以下重要意义：第一，填补标准空白。目前，我国在网络安全管理类标准方面已有一定基础，但在恶意软件定义与描述格式方面尚缺乏统一的国家标准。该标准的出台将填补这一领域的技术标准空白。第二，促进互联互通。通过建立统一的描述格式，可实现不同安全产品之间、不同组织机构之间的恶意软件信息互认与互通，消除数据孤岛。第三，支撑国家网络安全管理。标准可为网络安全监管机构提供统一的技术抓手，有助于提升国家层面的威胁监测预警与应急响应能力。第四，引领国际对话。该标准的制定也为我国参与国际网络安全标准化工作提供了重要支点。二、编制依据与原则2.1编制依据本标准的编制严格遵循《中华人民共和国标准化法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律法规的要求，同时参照了GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定，确保标准文本的规范性、协调性和适用性。在技术参考层面，标准编制过程中充分研究了国际先进经验，参考了结构化威胁信息表达（STIX）、可信自动化情报交换（TAXII）等国际主流威胁情报标准，以及美国国家标准与技术研究院（NIST）发布的相关技术文件，力求在立足国内实际的同时实现与国际主流技术框架的兼容对接。2.2编制原则标准编制工作坚持以下原则：科学性。恶意软件的定义与分类体系的建立，建立在对恶意软件技术特征和演化规律的深入研究基础之上，确保分类逻辑合理、术语定义准确。实用性。标准的制定始终以实际应用需求为导向，充分调研了安全厂商、检测机构、行业用户在恶意软件描述方面的真实需求，确保标准落地可行。兼容性。技术方案在设计上兼顾与国际主流标准的兼容性，在格式设计上支持多种应用场景，充分考虑不同规模组织的实施能力。可扩展性。鉴于恶意软件技术不断发展变化，标准设计预留了充分的扩展空间，支持后续根据技术演进和新型威胁特征进行修订和补充。三、标准主要内容3.1范围界定本标准规定了互联网恶意软件的定义、分类体系、属性描述要素及描述格式，适用于恶意软件的检测分析、威胁情报共享、应急响应及安全管理等相关活动。标准的适用范围涵盖但不限于以下场景：-安全厂商恶意软件分析与情报生产；-国家网络安全监管机构的威胁监测与通报；-关键信息基础设施运营者的安全防护与应急响应；-网络安全服务机构的威胁检测与评估；-高校及科研机构的恶意软件研究工作。3.2术语与定义标准对核心术语进行了统一界定。其中，"恶意软件"指被设计用于未经授权侵入、破坏、干扰计算机系统、网络或数据的软件程序或代码片段。此定义涵盖计算机病毒、蠕虫、木马、勒索软件、间谍软件、广告软件、僵尸程序等多种类型，同时对"恶意代码""恶意程序"等相关术语做了关联性定义，避免概念交叉混淆。3.3恶意软件分类体系标准建立了多维度的恶意软件分类框架。在功能维度上，将恶意软件划分为病毒、蠕虫、木马、勒索软件、间谍软件、挖矿程序、僵尸程序、流氓推广软件、远控木马、加载器/下载器等类型。在传播方式维度上，区分了主动传播与被动诱导等不同传播机制。在攻击目标维度上，覆盖了桌面操作系统、移动终端、服务器、物联网设备及工业控制系统等多种对象。每个分类维度均设有明细分类条目，以提高分类的可操作性。3.4恶意软件特征描述要素标准规定了对恶意软件进行全面描述所需的特征要素集合，具体包括：基本标识信息：恶意软件名称、别名、家族归属、全球恶意软件样本标识、变种编号、发现时间、报告来源等基础识别信息。技术特征：文件哈希值（MD5、SHA-1、SHA-256等）、文件类型与大小、加壳/混淆方式、编译语言与编译器特征、数字签名信息等技术属性。行为特征：恶意行为描述，包括持久化机制、权限提升手段、网络通信行为、文件系统操作、注册表修改、进程注入方式、横向移动行为等。攻击指标：与恶意软件相关联的IP地址、域名、URL、邮件地址等网络攻击指标。上述特征要素的确定，兼顾了全面性与可操作性，既保证描述信息的充分性，又避免过度冗余。3.5描述格式规范这是本标准最核心的技术内容。标准规定了一种结构化的恶意软件描述格式，采用可扩展标记语言（XML）或JavaScript对象简谱（JSON）进行数据表达，以适应不同场景下的应用需求。描述格式规定了统一的数据结构框架、字段命名规则和数据类型定义，支持恶意软件基础信息、技术特征描述、行为分析结果和关联攻击指标等模块化信息的组合封装。该格式具备必要的扩展机制，允许使用方在遵循标准框架的前提下根据特定需求进行扩展，同时支持对历史版本数据的逆向兼容。3.6数据交换与共享要求为保证不同平台之间的数据互通性，标准对恶意软件描述信息的交换与共享进行了规范。在交换模型方面，描述了基于文件的数据交换模式和基于接口的实时数据交换服务模式两种实现方式。标准对数据交换过程中的最小信息集作了规定，明确在任何交换场景下必须包含恶意软件标识、分类信息和基础技术特征等核心内容。在安全和隐私保护方面，标准要求对涉及敏感信息的描述数据进行脱敏处理，并支持对数据完整性和来源可信性的验证机制。四、主要参与单位介绍本标准的制定由全国网络安全标准化技术委员会（TC260）组织推进，具体起草工作由多家科研机构及网络安全龙头企业组成的标准编制组共同承担。其中，中国信息安全测评中心作为该标准的主要起草单位之一，在标准研制过程中发挥了核心支撑作用。中国信息安全测评中心是国家级信息安全专业测评认证机构，长期承担信息安全领域的技术测评、风险评估、标准研究及应急支撑等职能。中心在恶意代码分析、漏洞挖掘、网络攻击溯源等方面积累了丰富的技术经验和研究基础，建有国内领先的恶意代码分析实验室和威胁情报数据库。在标准编制过程中，该中心牵头承担了恶意软件分类体系的设计工作，组织开展了多轮恶意软件样本的实测验证，并负责标准文本中"描述格式"章节的起草与完善。除中国信息安全测评中心外，标准编制组还汇集了国内多家网络安全领域的头部企业，覆盖了从终端安全、边界防护到威胁情报服务等不同安全业务方向。这种"科研机构+骨干企业"的编制团队结构，有效保障了标准在技术前沿性和产业适用性之间的平衡。各参编单位分工明确：科研机构侧重基础理论和技术框架研究，负责分类体系的科学性和完整性论证；安全企业基于一线攻防实战经验，侧重于格式的实用性和兼容性验证，对所采集的实际恶意软件样本进行格式适配测试；行业用户代表则从应用视角出发，对标准的可操作性和易用性提出改进建议。经过多轮征求意见、技术研讨和试验验证，最终形成了科学合理、贴合实际的标准文本。五、标准实施展望5.1对产业发展的促进作用本标准正式实施后，预计将对我国网络安全产业发展产生深远的推动作用。统一描述格式将降低安全产品间的数据对接成本，提升威胁情报生态的整体运行效率；中小型安全企业无需自建庞大的恶意软件标注体系，即可基于标准快速接入主流威胁情报共享网络；标准化数据格式还有助于安全运营中心（SOC）和安全编排自动化响应（SOAR）平台实现更高程度的自动化处理。5.2对国家网络安全能力的提升从国家层面看，该标准的实施将为网络安全管理提供重要的技术基础设施。各级网络安全监管机构可以基于统一标准汇聚和分析恶意软件威胁信息，更精准地把握全国范围内的恶意软件态势；在重大网络安全事件应急处置中，统一描述格式可显著提升多方协同的效率；该标准还有望成为网络安全审查、安全产品检测认证等工作的重要参考依据。5.3未来标准演进方向随着人工智能技术在恶意软件开发与检测中的深度应用、量子计算对现有密码体系的潜在冲击以及万物互联时代恶意软件攻击面的持续扩大，该标准需要不断演进以适应新的安全形势。后续宜根据技术发展和应用反馈适时启动修订程序，适时增加针对人工智能生成恶意软件、物联网恶意软件和供应链攻击等新型威胁的描述支持，并积极推进该标准在国际标准化组织中的对接转化，提升中国在网络安全国际标准制定中的话语权和影响力。六、结论GB/T47744-2026《网络安全技术互联网恶意软件定义与描述格式》是我国网络安全标准化体系建设中的一项重要成果。该标准的制定立足我国网络安全实际需求，充分借鉴国际先进经验，构建了科学完善的恶意软件定义与描述标准化体系。标准的发布将有效解决当前恶意软件信息描述不统一、共享不通畅的突出问题，为威胁情报协同共享、安全产品互联互通和国家网络安全管理提供有力的标准化技术支撑。参考文献[1]全国网络安全标准化技术委员会.GB/T47744-2026网络安全技术互联网恶意软件定义与描述格式[S].北京:中国标准出版社,2026.[2]国家市场监督管理总局,国家标准化管理委员会.GB/T1.1-2020标准化工作导则第1部分：标准化文件的结构和起草规则[S].北京:中国标准出版社,2020.[3]全国人民代表大会常务委员会.中华人民共和国网络安全法[Z].2016-11-07.[4]全国人民代表大会常务委员会.中华人民共和国数据安全法[Z].2021-06-10.[5]OASIS.STIXVersion2.1[EB/OL]./cti/stix/v2.1/stix-v2.1.html,