GB/T 44886.4-2026 网络安全技术 网络安全产品互联互通 第4部分：威胁信息格式

ICS35030

CCSL.80

中华人民共和国国家标准

GB/T448864—2026

.

代替GB/T36643—2018

网络安全技术网络安全产品互联互通

第4部分威胁信息格式

:

Cybersecuritytechnology—Cybersecurityproductinterconnectivity—

Part4Threatinformationformat

:

2026-07-02发布2027-02-01实施

国家市场监督管理总局发布

国家标准化管理委员会

GB/T448864—2026

.

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………1

缩略语

4……………………2

概述

5………………………2

组件的结构及公共属性

6…………………5

组件

7………………………7

关系组件

8…………………24

附录规范性字段类型描述

A()………………………26

附录规范性模式语言的描述

B()………………………28

附录规范性可观测数据子组件

C()…………………37

附录规范性词汇表

D()…………………52

附录资料性威胁信息封装和解析方式

E()…………68

附录资料性威胁信息组件示例的表示

F()JSON……………………69

附录资料性组件关系汇总

G()………………………78

附录资料性部分攻击场景下威胁信息描述示例

H()…………………80

附录资料性表达式计算示例

I()………………………92

参考文献

……………………94

Ⅰ

GB/T448864—2026

.

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规

GB/T1.1—2020《1:》

定起草

。

本文件是网络安全技术网络安全产品互联互通的第部分已经

GB/T44886《》4。GB/T44886

发布了以下部分

:

第部分框架

———1:;

第部分资产信息格式

———2:;

第部分告警信息格式

———3:;

第部分威胁信息格式

———4:;

第部分行为信息格式

———5:。

本文件代替信息安全技术网络安全威胁信息格式规范与

GB/T36643—2018《》,GB/T36643—

相比除结构调整和编辑性改动外主要技术变化如下

2018,,:

增加了网络安全威胁信息互联互通典型应用场景见

a)(5.1);

更改了网络安全威胁信息描述模型见的第章

b)(5.2,GB/T36643—20185);

增加了组件结构及公共属性内容见第章

c)“”(6);

删除了安全事件组件见的

d)“”(GB/T36643—20186.4);

更改了攻击方法组件描述将其拆分为攻击模式基础设施恶意软件三个组件进行独

e)“”,“”“”“”

立描述见的

(7.2.1、7.2.2、7.2.5,GB/T36643—20186.6);

增加了漏洞组件实现对攻击目标的描述见

f)“”(7.2.4);

更改了可观测数据组件描述和内容见和附录的

g)(7.3.1C,GB/T36643—20186.2);

增加了工具恶意软件分析结果攻击活动集地理位置报告和观点个组件见

h)“”“”“”“”“”“”6(

7.2.3、7.2.6、7.3.4、7.4.1、7.4.2、7.4.3)。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件由全国网络安全标准化技术委员会提出并归口

(SAC/TC260)。

本文件起草单位中国电子技术标准化研究院国家计算机网络应急技术处理协调中心北京天际

:、、

友盟信息技术有限公司北京神州绿盟科技有限公司华为技术有限公司天翼安全科技有限公司中国

、、、、

科学院信息工程研究所国家信息技术安全研究中心中国信息安全测评中心国家信息中心中国交通

、、、、

通信信息中心公安部第一研究所北京航空航天大学西安电子科技大学中国科学院计算机网络信息

、、、、

中心中国人民大学安徽科技工程大学杭州安恒信息技术股份有限公司北京源堡科技有限公司奇

、、、、、

安信科技集团股份有限公司北京天融信网络安全技术有限公司启明星辰信息技术集团股份有限公

、、

司北京微步在线科技有限公司长扬科技北京股份有限公司北京长亭科技有限公司上海斗象信息

、、()、、

科技有限公司远江盛邦安全科技集团股份有限公司用友网络科技股份有限公司中广核智能科技

、、、

深圳有限责任公司中移动信息技术有限公司

()、。

本文件主要起草人王惠莅张东举廖剑李琳蔡磊崔牧凡翟湛鹏张宇娜李强梁伟姚叶鹏

:、、、、、、、、、、、

秋阳姚佳明贺铮易锦韩一剑耿同成杜渐伍前红马文平习宁肖彪秦波曹浩涂小毅

、、、、、、、、、、、、、、

梁露露白敏晋钢胡月张宽白燕妮杨大路赵华陈联鉴曾裕智权晓文季晟宇姜政伟封荣

、、、、、、、、、、、、、、

陈伟雄冀文白雪

、、。

本文件及其所代替文件的历次版本发布情况为

:

年首次发布为

———2018GB/T36643—2018;

本次为第一次修订

———。

Ⅲ

GB/T448864—2026

.

引言

网络安全技术网络安全产品互联互通是指导网络安全产品互联互通建设的基础

GB/T44886《》

性和通用性标准拟由六个部分构成

,。

第部分框架目的在于明确网络安全产品互联互通应用场景提出互通建设思路

———1:。,。

第部分资产信息格式目的在于提出网络安全产品互联互通时的资产描述

———2:。。

第部分告警信息格式目的在于有效整合网络安全产品报送的告警信息提高告警应急处

———3:。,

置效率

。

第部分威胁信息格式目的在于统一网络安全产品及各组织威胁信息共享格式

———4:。。

第部分行为信息格式目的在于促进网络安全产品行为信息的分析利用

———5:。。

第部分功能接口目的在于高效整合网络安全信息促进网络安全产品功能协同

———6:。,。

随着网络攻防对抗博弈的日益加剧网络攻击方式和攻击手法呈现出多样性复杂性特点网络安

,、,

全威胁具有越来越明显的普遍性和持续性且攻击者获取攻击工具越来越便利导致网络攻击成本大大

,,

降低检测网络攻击的难度却越来越大传统的网络安全防护方案仅仅依靠各个组织独立实施垂直的

,。

防护机制在应对这些复杂网络攻击时显得越来越低效亟待采取新的技术手段来提升整体网络安全防

,,

护能力

。

网络安全威胁信息共享和利用是提升整体网络安全防护效率的重要措施旨在采用多种技术手

,

段通过采集大规模多渠道的碎片式攻击或异常数据集中地进行深度融合归并和分析形成与网络

,、,、,

安全防护有关的威胁信息线索并在此基础上进行主动协同式的网络安全威胁预警检测和响应以降

,、、,

低网络安全威胁的防护成本提升整体的网络安全防护效率

,。

目前威胁信息来源多样其描述格式不尽统一威胁信息是网络安全产品互联互通信息的类信

,。6

息之一规范网络安全威胁信息的格式和交换方式是实现网络安全威胁信息共享和利用的前提和基

。

础本文件规定了一种结构化方法描述网络安全威胁信息目的是规范网络安全威胁信息的一致性描

。,

述提升威胁信息的共享效率互操作性进而提升整体的网络安全威胁态势感知能力实现网络安全威

,、,,

胁管理和应用的自动化

。

Ⅳ

GB/T448864—2026

.

网络安全技术网络安全产品互联互通

第4部分威胁信息格式

:

1范围

本文件规定了网络安全产品互联互通场景下网络安全威胁信息的格式包括各组件的属性及组件

,

之间的关系

。

本文件适用于网络安全产品生成使用和威胁信息处理也为网络安全威胁信息平台的建设和运营

、,

提供参考

。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

国民经济行业分类

GB/T4754

信息技术对象标识符登记机构操作规程第部分通用唯一标识符

GB/T17969.88:(UUIDs)

的生成及其在对象标识符中的使用

信息安全技术术语

GB/T25069

信息安全技术网络安全漏洞标识与描述规范

GB/T28458

网络安全技术网络安全产品互联互通第部分资产信息格式

GB/T44886.22:

域名概念和设施

IETFRFC1034(Domainnames—Conceptsandfacilities)

统一资源标识符通用语法

IETFRFC3986(URI):[UniformResourceIdentifier(URI):Generic

Syntax]

互联网消息格式

IETFRFC5322(InternetMessageFormat)

语言识别标签

IETFRFC5646(TagsforIdentifyingLanguages)

面向应用的国际化域名定义和文档框架

IETFRFC5890(IDNA):[InternationalizedDomain

NamesforApplications(IDNA):DefinitionsandDocumentFramework]

3术语和定义

界定的以及下列术语和定义适用于本文件

GB/T25069。

31

.

网络安全产品互联互通cybersecurityproductinterconnectivity

通过统一的网络安全信息描述和功能接口定义有效共享网络安全产品感知或产生的信息协同不

,,

同网络安全产品的功能支撑监测预警信息共享应急响应态势感知等应用提升网络安全防护能力

,、、、,

和网络安全事件处置效率的一种机制

。

来源

[:GB/T44886.1—2024,3.2]

1