DB34-T 5235-2025 电子政务外网安全监测平台接口技术规范

ICS35.020CCSL6734Specificationofinterfacetechnologyfore-governmentextranetDB34/T5235—2025I前言 12规范性引用文件 13术语和定义 14缩略语 15级联架构 26总体要求 2 7数据接口类型 3 附录A 附录B（资料性）接口示例 DB34/T5235—2025本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由安徽省大数据中心提出。本文件由安徽省数据资源管理局归口。本文件起草单位：安徽省大数据中心、安徽省数据资源管理局、安徽省数字江淮中心、阜阳市数据资源管理局、六安市数据资源管理局、马鞍山市大数据中心、安徽省电子产品监督检验所（安徽省信息安全测评中心）。本文件主要起草人：朱典、王理冬、陈钢、陈先才、陶峰、闫飞、李步伟、杨阳、张浩、李珂、史金龙、白修灵、童武俊、冯玲莉。DB34/T5235—20251电子政务外网安全监测平台接口技术规范本文件规定了电子政务外网安全监测平台的级联架构、总体要求及数据接口要求。本文件适用于指导市级电子政务外网安全监测平台（以下简称“市级平台”）与省级电子政务外网安全监测平台（以下简称“省级平台”）级联对接。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069信息安全技术术语3术语和定义GB/T25069界定的以及下列术语和定义适用于本文件。3.1电子政务外网安全监测平台extranetsecuritymonitoringplatformfore-govermengt以信息安全事件为核心，通过网络流量、安全设备日志、威胁情报等数据信息进行实时采集、监测和分析，实现电子政务外网网络风险识别、威胁发现、安全事件实时告警及可视化展示的系统。3.2电子政务外网安全监测平台接口interfaceofextranetsecuritymonitoringplatformfore-govermengt在省市两级监测平台之间，由这两级监测平台的功能特性、物理互联特性、信号交换特性及其他适当特性界定的共享边界。3.3绩效指标performanceindicators为实现对地区电子政务外网网络安全绩效的客观评估，从安全管理、安全建设、安全运营和安全效果4个方面设定的一系列评价的指标。3.4安全报表securityreport由电子政务外网安全监测平台定期自动生成的对地区电子政务外网信息安全现状进行描述的数据，或者人工编制的安全监测月报、安全监测年报、安全事件报告单、案例分析等特定格式的文件。4缩略语DB34/T5235—20252下列缩略语适用于本文件。IOC：攻陷信标（IndicatorOfCompromise）IP：网络之间互连的协议（InternetProtocol）JSON：JS对象简谱（JavaScriptObjectNotation）HTTPS：以安全为目标的超文本传输通道（HypertextTransferProtocolSecure）RESTFULAPI：RESTFUL应用程序编程接口（RestfulApplicationProgrammingInterface）URL：统一资源定位符（UniformResourceLocation）5级联架构市级监测平台与省级监测平台通过数据协同对接子系统的RESTFULAPI接口进行对接，级联架构图如图1所示。图1电子政务外网安全监测平台级联架构6总体要求6.1数据传输要求数据传输应满足以下要求：a)数据协同对接子系统之间应按RESTFULAPI标准实现数据对接；b)采用公钥加密、私钥解密，按照HTTPS协议报送数据；DB34/T5235—20253c)HTTPS接口请求头部应增加Authentication:Bearerxx(xx为身份认证获取的访问令牌（access_token）)。6.2接口协议接口协议应包括：a)协议：HTTPS；b)方法：POST，GET。6.3数据格式application/json。6.4时间同步省级平台提供时间服务器，以省级时间同步服务器为准。7数据接口类型7.1级联注册接口级联注册流程见图2，接口示例参照附录B中的B.2。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.1中表A.1，返回消息字段定义参见附录A.1中表A.2。图2级联注册流程DB34/T5235—202547.2级联状态监控接口市级平台调用省级平台级联状态监控接口进行状态上报，接口示例参照附录B中的B.3。该接口无请求消息，返回消息参见附录B中的B.1通用响应内容。7.3威胁情报接口7.3.1威胁情报下发接口数据下发对接流程见图3，接口示例参照附录B中的B.4.1。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.2中表A.4，返回消息字段定义参见附录A中表A.3。图3数据下发对接流程7.3.2威胁情报上报接口数据上报对接流程见图4，接口示例参照附录B中的B.4.2。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.2中表A.3，返回消息参见附录B中的B.1通用响应内容。DB34/T5235—20255图4数据上报对接流程7.4预警信息接口7.4.1预警信息下发接口数据下发对接流程见图3，接口示例参照附录B中的B.5.1。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.3中表A.5，返回消息参见附录B中的B.1通用响应内容。7.4.2预警信息上报接口数据上报对接流程见图4，接口示例参照附录B中的B.5.2。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.3中表A.6，返回消息参见附录B中的B.1通用响应内容。7.5统计数据接口数据上报对接流程见图4，接口示例参照附录B中的B.6。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.4中表A.7，返回消息参见附录B中的B.1通用响应内容。7.6绩效指标接口数据上报对接流程见图4，接口示例参照附录B中的B.7。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.5中表A.9，返回消息参见附录B中的B.1通用响应内容。7.7安全报表接口DB34/T5235—20256数据上报对接流程见图4，接口示例参照附录B中的B.8。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.6中表A.10，返回消息参见附录B中的B.1通用响应内容。7.8安全事件接口7.8.1安全事件下发接口数据下发对接流程见图3，接口示例参照附录B中的B.9.1。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.7中表A.11，返回消息参见附录B中的B.1通用响应内容。7.8.2安全事件上报接口数据上报对接流程见图4，接口示例参照附录B中的B.9.2。接口消息包括请求消息和返回消息，请求消息字段定义参见附录A.7中表A.11，返回消息参见附录B中的B.1通用响应内容。7.9文件接口7.9.1文件下发接口数据下发对接流程见图3，接口示例参照附录B中的B.10.1。7.9.2文件上报接口数据上报对接流程见图4，接口示例参照附录B中的B.10.2。DB34/T5235—20257（资料性）数据格式A.1级联注册级联注册请求字段定义参见表A.1，级联注册返回字段参见表A.2。表A.1级联注册请求字段定义表是是是是是是是是是是是否表A.2级联注册返回字段定义表是是A.2威胁情报威胁情报字段定义参见表A.3，威胁情报获取字段定义参见表A.4。表A.3威胁情报字段定义表是是是DB34/T5235—20258是是否是是是是是是是否否是是是是是表A.4威胁情报获取字段定义表是是是是A.3预警信息预警信息下发字段定义见表A.5，预警信息上报字段定义见表A.6。DB34/T5235—20259表A.5预警信息下发字段定义表是是是是是否是是是是是是否是是是是否否是是是DB34/T5235—2025表A.6预警信息上报字段定义表是否否是否A.4数据定义及数据格式A.4.1基本数据格式各类数据按照指定的分类统计上报，统计数据字段定义参见表A.7。表A.7统计数据字段定义表是是是是是是是是是是是是是是是是是是是是是DB34/T5235—2025是是是是是是是是是是是是是是是是是是是是是A.4.2关键数据字段定义A.4.2.1资产资产涵盖各类软硬件设备，包括但不限于服务器、中间件、数据库、业务系统、安全设备等。A.4.2.2安全告警告警类型分为：网络攻击告警、恶意程序告警、数据安全告警、其他告警四大类。a)网络攻击告警：主要包括网络扫描探测、漏洞利用、后门利用、后门植入、凭据攻击、信号干扰、拒绝服务、网页篡改、暗链植入、域名劫持、流量劫持、APT等；b)恶意程序告警：主要包括计算机病毒、网络蠕虫、特洛伊木马、僵尸网络、混合攻击程序、恶意代码内嵌网页、恶意代码宿主站点、勒索软件、挖矿病毒等；c)数据安全告警：主要包括数据篡改、数据假冒、数据泄漏、数据窃取、数据拦截、数据丢失、数据错误等；d)其他告警：不属于以上三类的其他告警。A.4.2.3安全事件DB34/T5235—2025安全事件是网络安全人员对告警信息及对应的原始日志进行分析，最终认定为对网内数据、业务、网络正常运行已造成危害或存在严重安全隐患的判定信息。安全事件必须面向处置或防范，主要描述事件类型、攻击源IP、目标IP、事件级别、事件分析、影响程度和处置建议等信息。安全事件类型分为：网络攻击事件、恶意程序事件、数据安全事件、其他事件四大类。在一级分类下可划分事件二级分类，二级分类的具体内容参考附录表A.8。表A.8安全事件分类表恶意程序事件计算机病毒事件特洛伊木马事件僵尸网络事件恶意代码内嵌网页事件恶意代码宿主站点事件勒索软件事件挖矿病毒事件混合攻击程序事件其他恶意程序事件网络扫描探测事件漏洞利用事件后门利用事件后门植入事件凭据攻击事件信号干扰事件拒绝服务事件域名劫持事件域名转嫁事件DNS污染事件流量劫持事件BGP劫持攻击事件广播欺诈事件失陷主机事件供应链攻击事件其他网络攻击事件数据安全事件数据篡改事件数据假冒事件数据泄漏事件社会工程事件数据窃取事件数据拦截事件位置检测事件数据投毒事件数据滥用事件数据损失事件其他数据安全事件其他事件其他事件DB34/T5235—2025A.5绩效指标绩效指标字段定义见表A.9。表A.9绩效指标字段定义表字段名称字段类型（长度）notice是notice.total是notice.timeout是超时处置工单数（同A.4统计数据）是安全事件统计数据incident.total是安全事件总数（同A.4统计数据）是信息等级安全事件总数（同A.4统计数据）是低危等级安全事件总数（同A.4统计数据）incident.medium是中危等级安全事件总数（同A.4统计数据）incident.high是高危等级安全事件总数（同A.4统计数据）incident.critical是严重等级安全事件总数（同A.4统计数据）是漏洞信息vul.total是vul.baseline是配置风险总数vul.weakPwd是弱密码总数是asset.total是attachment否附件文件的唯一标识是考核周期-开始时间是考核周期-结束时间A.6安全报表安全报表字段定义见表A.10。表A.10安全报表字段定义表是否否是是A.7安全事件安全事件字段定义见表A.11。表A.11安全事件字段定义表否否否否是是DB34/T5235—2025是否否否是是否否否否否否否否否否否否否否否否否否否否否是是是是是是是是是是是DB34/T5235—2025是否否否否否否否否否否否否否否否否否否否否否否否否否否否否否否否否否否否DB34/T5235—2025接口示例B.1通用响应通用响应包含状态码（code）、提示信息（message）和返回数据（data返回状态码说明见表B.1。{}表B.1返回状态码说明表B.2级联注册接口B.2.1身份认证接口B.2.1.1获取国密算法的加密公钥市级平台通过调用省级平台的“获取国密算法的加密公钥”接口获取省级平台公钥，省级平台通过调用市级平台的“获取国密算法的加密公钥”接口获取市级平台公钥。DB34/T5235—2025{"SM4":"MIGfMA0GCSqGSIb3DQEBAQUAA4GN1293jakshd}}B.2.1.2获取access_token省级平台利用市级平台公钥对省级平台密钥进行加密，并使用省级平台客户端唯一凭证和加密后的密钥向市级平台请求获取access_token。市级平台利用省级平台公钥对市级平台密钥进行加密，并使用市级平台客户端唯一凭证和加密后的密钥向省级平台请求获取access_token。{}1是2是3是{}}B.2.2注册接口DB34/T5235—2025B.2.2.1服务器连接注册市级平台用省级平台颁发的唯一凭证和密钥，调用省级平台注册接口进行注册。{}请求参数说明：参见附录A.1中的表A.1。{}B.2.2.2获取token市级平台通过调用省级平台接口获取token。DB34/T5235—2025{}{}B.3级联状态监控接口市级平台调用省级电子政务外网安全监测平台级联状态监控接口进行状态上报。DB34/T5235—2025B.4威胁情报接口B.4.1威胁情报下发接口1是2是{{"codeHash":"0x411e2f3ded43****d425f1aa80c8051931692e37707b710a2e98b8a"daemonHash":"0x1fb11b6ae****a64437c19cca2866513245a9b7a04cce5a1336ae"hash":"0x66a97133f578****8efb13f22167deac54c060763b124cb470400a608f7