网络安全威胁信息评价方法实务指南.docxVIP

网络安全威胁信息评价方法实务指南

前言

本指南针对当前网络安全威胁信息来源分散、内容真伪混杂、价值判定标准不统一的实际痛点，为各级网络安全主管部门、关键信息基础设施运营者、网络安全服务机构提供可直接落地的标准化评价操作依据，所有规则均适配现行网络安全领域法律法规和国家强制标准要求，无需额外适配调整即可直接投入日常工作使用。本指南所有操作流程均明确具体时限、核验要求和判定阈值，不存在模糊性表述，能够有效降低威胁信息误判率，提升网络安全应急响应资源的使用效率。

术语定义

本指南涉及的核心术语统一按照以下定义执行，未作特殊说明的术语均符合GB/T36643-2018中的相关表述：

1.网络安全威胁信息：指能够表征网络攻击行为特征、攻击主体属性、攻击目标范围、危害影响程度的各类数据集合，包括IP地址、域名、文件哈希值、攻击手法描述、漏洞利用规则、钓鱼内容特征等要素。

2.威胁指标（IOC）：指能够直接定位恶意攻击行为的可量化特征数据，包括IPv4/IPv6地址、统一资源定位符URL、SHA-256文件哈希值、电子邮箱地址、恶意文件签名特征5类核心要素。

3.置信度：指威胁信息内容符合客观真实攻击事件的概率值，取值范围为0到100%，数值越高代表信息真实度越高。

4.价值定级：指根据威胁信息的综合效用得分，将其划分为不同处置优先级的工作环节，直接对应后续应急响应的资源投入等级。

5