GB T 37027-2018 中文版 信息安全技术 网络攻击定义及描述规范

GBT37027-2018中文版信息安全技术网络攻击定义及描述规范前言：随着网络攻击向着组织化、链条化、产业化、常态化深度演进，勒索攻击、APT定向渗透、内网横向入侵、数据窃取、业务破坏等攻击手段持续迭代，政企单位、关键信息基础设施运营者面临的网络安全威胁日趋复杂。长期以来，网络安全行业普遍存在网络攻击定义模糊、类型划分混乱、描述口径不统一、攻击要素记录不规范的痛点问题。不同安全设备、研判平台、运维团队、测评机构对同一攻击行为的命名、界定、特征描述差异较大，导致攻击事件溯源不清、态势统计失真、应急处置标准不一、情报共享壁垒严重，极大制约全网安全态势感知、协同防御与闭环治理能力。GB/T37027-2018《信息安全技术网络攻击定义及描述规范》作为国内网络攻击标准化定义与结构化描述的核心基础性国标，2018年12月28日发布、2019年7月1日正式实施。该标准首次统一了国内各类网络攻击的权威定义、分类边界、核心要素与标准化描述范式，彻底终结了行业网络攻击判定随意、描述零散、口径混乱的粗放式治理局面，为网络攻击识别、研判、溯源、通报、处置、归档提供权威统一的技术依据。本文结合国标官方条文、多年攻防研判、安全运维、态势感知建设、应急响应实战经验，完成深度落地解读，摒弃空泛理论，聚焦实战应用，完整对齐系列国标手册专业调性，打造适配行业攻击治理、事件复盘、合规建设、人员培训的实操手册。一、标准核心定位与国标体系联动价值GB/T37027-2018是我国网络安全威胁治理领域的通用性、基础性、规范性核心标准，由全国信息安全标准化技术委员会归口制定，全面适用于党政机关、关键信息基础设施、金融、能源、工业、医疗、交通、互联网企业等全行业网络安全运营场景，覆盖安全厂商设备研发、态势感知平台建设、网络安全事件研判、应急处置通报、攻防演练复盘、安全测评审计、威胁情报共享等全业务场景，适配传统网络架构、虚拟化架构、云平台架构、工控架构下的全类型网络攻击治理工作。本标准核心定位为全网网络攻击判定与结构化描述的统一权威标尺，核心解决四大行业核心痛点：一是解决网络攻击无统一官方定义的问题，明确各类攻击行为的权威界定边界，杜绝模糊判定；二是解决攻击类型分类混乱、交叉重叠、命名随意的问题，建立层级化、排他性的攻击分类体系；三是解决攻击事件描述碎片化、要素缺失、无固定范式的问题，规范标准化描述结构与核心要素；四是解决跨单位、跨设备、跨平台攻击数据无法互通、态势无法汇总的问题，支撑全网协同防御与态势研判。在国标体系联动层面，本标准是网络安全态势感知、威胁信息格式规范、安全事件处置、漏洞治理、等级保护等标准的底层支撑规范，与GB/T36643威胁信息格式、GB/T33561漏洞分类、GB/T30279漏洞分级形成完整的“威胁识别—攻击判定—漏洞定级—事件处置”治理闭环。相较于国外攻击分类体系，本标准深度贴合国内网络安全监管要求、运维实战场景与事件通报机制，具备本土化适配性强、落地门槛低、合规匹配度高的显著优势，是国内网络攻击标准化治理的核心基石。二、标准底层核心规范原则GB/T37027-2018整套攻击定义、分类体系、描述范式均依托四大核心原则构建，贯穿攻击识别、归类、描述、复盘、归档全流程，是一线攻防研判、事件治理、平台建设的底层准则，保障所有攻击判定客观、分类清晰、描述完整、口径统一。第一，权威性界定原则。所有网络攻击行为均采用标准化、官方化定义，以攻击技术本质、行为特征、危害机理为核心判定依据，不以设备告警名称、表面现象、主观经验随意界定，确保判定结果权威统一。第二，排他性分类原则。构建层级化攻击分类体系，各类别边界清晰、无交叉、无重叠、无遗漏，同一攻击行为仅可归入唯一核心类别，杜绝重复归类、模糊归类问题，保障态势统计精准可控。第三，完整性描述原则。明确网络攻击事件必备核心要素，要求描述内容覆盖攻击主体、攻击路径、攻击手段、受害资产、行为过程、危害结果、时间维度等关键信息，杜绝要素缺失、描述片面，支撑深度溯源复盘。第四，实战适配原则。贴合国内政企运维、应急通报、态势统计、攻防复盘实战场景，兼顾人工研判与机器自动化识别需求，适配传统IT与新型云、工控、容器架构，通用性与落地性极强。三、网络攻击核心权威定义与本质解读GB/T37027-2018首次在国家级标准层面明确了网络攻击的通用权威定义，统一了行业对网络攻击的底层认知，彻底纠正了行业长期存在的概念混淆问题。标准明确，网络攻击是指攻击者利用网络、系统、设备、应用的脆弱性或管理缺陷，通过各类技术手段发起的，以非法访问、信息窃取、数据篡改、系统控制、业务破坏、资源占用、权限越权等为目的的各类恶意行为总和。该定义核心区分了网络攻击与普通网络异常、故障、误操作的本质区别，明确网络攻击具备主动性、恶意性、目的性、技术性、危害性五大核心特征。普通网络卡顿、访问异常、系统报错属于设备故障与运维问题，无主观恶意与攻击目的，不属于网络攻击范畴；而所有主动发起、利用技术缺陷、具备明确恶意目的、造成安全危害的网络行为，均属于标准化定义下的网络攻击，必须纳入攻击事件台账治理与复盘管控。同时标准细化了网络攻击的适用边界，覆盖外网公网攻击、内网横向攻击、本地权限攻击、供应链间接攻击、社工结合技术攻击等全场景，打破了传统认知中“仅外网入侵为攻击”的片面思维，实现全场景恶意网络行为的全覆盖界定。四、标准层级化网络攻击分类体系实战拆解GB/T37027-2018构建了一级大类+二级细分的层级化、全覆盖、排他性网络攻击分类体系，基于攻击技术原理、行为特征、攻击目的进行标准化归类，覆盖全网所有主流网络攻击类型，是攻击识别、台账规整、态势统计、事件通报的核心依据。（一）非法访问类攻击该类攻击以突破权限、非法进入目标系统为核心目的，是最基础、最普遍的网络攻击类型，核心违背访问控制与身份鉴别安全机制。细分包含暴力破解、弱口令探测、未授权访问、越权访问、身份伪造、会话劫持、旁路登录等攻击行为。此类攻击门槛低、自动化程度高，攻击者通过批量扫描、字典爆破、漏洞绕过等方式突破系统防护，非法获取系统登录权限与访问权限，为后续横向渗透、数据窃取、权限提升奠定基础，是绝大多数入侵事件的初始入口。（二）信息窃取类攻击该类攻击核心目的为非法获取、窃取、窥探目标敏感数据与信息，不直接破坏系统与业务，以数据牟利、信息溯源、隐私窥探为核心诉求。细分包含目录遍历、敏感文件读取、数据包嗅探、数据爬取、后台信息探测、配置文件泄露利用、源码泄露利用等攻击行为。此类攻击隐蔽性极强，无明显业务破坏特征，极易被运维人员忽略，是数据泄露、隐私侵害、商业信息外泄的核心诱因，也是黑产非法牟利的主要攻击手段。（三）数据篡改类攻击该类攻击以非法修改、伪造、替换系统数据与业务内容为核心目的，破坏数据完整性与真实性。细分包含页面篡改、业务数据篡改、请求参数伪造、报文篡改、重放攻击、恶意留言注入、内容伪造等攻击行为。此类攻击直接危害业务数据可信性，可导致业务逻辑错乱、公示信息虚假、交易数据异常、系统内容被恶意替换，极易引发舆情风险、业务纠纷与合规风险。（四）恶意代码类攻击该类攻击依托恶意程序载体实现入侵与破坏，是产业化攻击的核心手段。细分包含木马植入、病毒感染、勒索软件攻击、后门植入、蠕虫传播、恶意脚本上传执行等攻击行为。此类攻击具备自我传播、持久化控制、批量入侵、深度破坏的特征，可实现系统全权控制、数据加密锁死、内网横向扩散、长期潜伏窃密，是政企重大安全事件的主要诱因，危害程度极高。（五）拒绝服务类攻击该类攻击核心目的为占用系统与网络资源、瘫痪业务服务，破坏系统可用性。细分包含DOS单机拒绝服务、DDOS分布式拒绝服务、流量攻击、资源耗尽攻击、连接耗尽攻击等攻击行为。此类攻击通过海量恶意请求、异常流量、无效连接占用服务器带宽、CPU、内存资源，导致合法用户无法访问业务、系统卡顿宕机、服务中断，直接影响业务连续性。（六）漏洞利用类攻击该类攻击基于系统、组件、代码原生漏洞缺陷发起精准入侵，属于高阶技术性攻击。细分包含SQL注入、XSS跨站脚本、命令注入、文件上传漏洞利用、远程代码执行、缓冲区溢出、组件漏洞利用等攻击行为。此类攻击依托公开EXP、POC工具实施，攻击精准度高、成功率强，可直接实现权限提升、远程控制、数据读取，是APT定向攻击、重点目标渗透的核心手段。（七）欺骗伪造类攻击该类攻击通过伪造网络身份、链路、设备信息实施欺骗入侵，利用网络协议缺陷与用户信任漏洞达成攻击目的。细分包含ARP欺骗、DNS欺骗、钓鱼页面伪造、虚假服务伪造、身份冒充、邮件伪造等攻击行为。此类攻击隐蔽性强、迷惑性高，可诱导用户泄露账号密码、敏感信息，实现内网监听、流量劫持、中间人攻击，常用于内网渗透与精准钓鱼诈骗场景。（八）内网渗透类攻击该类攻击为外网突破后的深度链式攻击，聚焦内网横向扩散与全域控制。细分包含权限提升、内网端口扫描、横向移动、内网漫游、域控渗透、内网中继攻击、凭证窃取复用等攻击行为。此类攻击是高级持续性威胁的核心环节，攻击者在外网突破单点资产后，通过内网渗透逐步控制全网资产，实现全域沦陷与核心数据窃取，危害覆盖面极广。五、标准化网络攻击描述规范核心要求GB/T37027-2018最大的落地价值在于统一了网络攻击事件结构化描述范式，明确了攻击事件记录、上报、复盘、归档的必备核心要素，彻底解决行业攻击描述杂乱、要素缺失、无统一规范的问题，让所有攻击事件可量化、可追溯、可汇总、可复盘。标准明确，完整合规的网络攻击事件描述必须包含八大核心要素，缺一不可。一是时间要素，精准记录攻击发起时间、持续时长、告警发现时间、处置结束时间；二是主体要素，明确攻击IP、攻击设备特征、攻击团伙属性、攻击来源区域；三是载体要素，明确受害资产类型、系统版本、业务属性、资产等级；四是路径要素，清晰描述攻击入口、传播链路、渗透路径、触发方式；五是手段要素，精准界定攻击类型、技术方法、利用漏洞、攻击工具；六是过程要素，完整记录攻击行为步骤、触发过程、异常现象；七是危害要素，明确数据影响、业务影响、资产影响、安全风险等级；八是处置要素，记录应急处置动作、加固措施、整改结果、留存台账。同时标准规范了描述语言要求，禁止模糊化、口语化、碎片化描述，要求语言客观、精准、简洁、专业，贴合技术本质，杜绝主观臆断、夸大或弱化攻击危害，保障所有攻击事件报告、通报材料、复盘文档口径统一、规范合规。六、标准核心实战应用场景结合多年行业落地经验，GB/T37027-2018是网络安全日常运营与合规工作的刚需基础性标准，全方位支撑政企安全治理八大高频实战场景。第一，安全告警标准化研判。统一各类安全设备告警的攻击判定口径，纠正设备误判、错判、命名混乱问题，实现告警信息精准归类、有效研判。第二，网络安全事件归档复盘。依托标准化描述范式，规整攻击事件台账，实现事件完整记录、闭环复盘、问题溯源，沉淀安全运维经验。第三，全网安全态势统计分析。统一攻击类型统计口径，精准分析高频攻击类型、攻击趋势、风险薄弱点，支撑安全策略优化。第四，威胁情报共享与通报。标准化攻击描述格式，保障跨单位、跨行业、监管与企业之间的情报精准互通，提升协同防御能力。第五，攻防演练与渗透测试复盘。规范攻防行为定义与事件描述，让演练结果、渗透报告标准化、专业化、合规化。第六，等级保护与合规测评。作为等保测评、安全审计、风险评估中攻击事件治理的权威依据，支撑合规迎检。第七，应急响应与事件上报。规范重大网络安全事件的上报描述格式与要素，保障上报材料规范完整、符合监管要求。第八，安全产品与平台适配迭代。指导态势感知、安全审计、威胁预警平台优化攻击分类与描述模块，实现设备能力标准化升级。七、行业高频落地误区与精准整改方案误区一：攻击与故障概念混淆，将系统卡顿、访问报错、设备故障等运维问题判定为网络攻击，造成告警冗余、态势统计失真。整改：对标标准核心定义，区分恶意主动攻击与被动设备故障，精准筛选有效攻击事件。误区二：攻击类型归类混乱重叠，多类型链式攻击随意归类、重复统计，无排他性判定逻辑，导致台账杂乱、风险统计虚高。整改：依据标准层级分类体系，以核心攻击手段与最终目的为唯一归类依据，一类攻击归唯一类别。误区三：攻击事件描述要素缺失，仅记录攻击现象，缺失攻击路径、危害、处置等核心要素，无法支撑溯源复盘。整改：严格落实八大核心要素，结构化完整记录每一起攻击事件。误区四：依赖设备默认命名判定，完全照搬设备告警名称定义攻击类型，不结合技术本质核验，导致大量错判误判。整改：以国标分类规则为核心基准，人工复核设备告警，修正命名与归类误差。误区五：忽视内网攻击与隐性攻击，仅关注外网入侵攻击，忽略内网渗透、欺骗伪造、数据窃取等隐性攻击，造成风险遗漏。整改：全覆盖对标国标八大攻击类型，纳入内网隐性攻击常态化监测治理。误区六：描述语言口语化、不规范，事件记录口语化、模糊化，无专业标准范式，无法用于合规上报与态势分析。整改：统一国标结构化描述范式，规范专业表述，保障文档合规可用。八、标准合规价值与行业实战意义GB/T37027-2018的落地实施，彻底补齐了我国网络安全领域网络攻击无权威定义、无统一分类、无标准化描述范式的产业空白，终结了行业攻击判定混乱、事件记录无序、态势统计失真、情报共享困难的粗放式治理乱象，构建起本土化、实战化、合规化的网络攻击标准化治理体系。对政企运维单位而言，本标准为网络攻击识别、告警研判、事件归档、复盘整改、态势分析、合规上报提供统一权威的底层标尺，有效解决攻击错判、漏判、台账混乱、复盘无据等问题，大幅提升网络安全事件闭环治理能力与风险防控水平。对安全厂商与测评机构而言，本标准统一了安全设备告警分类、平台研判规则、测评报告描述口径，为产品迭代、技术适配、测评交付提供权威依据，推动行业安全产品与服务规范化升级。对