【地方标准】 数字政府 城市网络安全威胁流量监测数据管理规范

DB3205/T1043—2022 数字政府 城市网络安全威胁流量监测数据管理规范 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。 本文件由苏州市公安局提出并归口，起草单位包括苏州市公安局、国家计算机网络与信息安全管理中心江苏分中心、苏州市质量和标准化院、三六零科技集团有限公司、三六零数字安全科技集团有限公司等。本文件主要起草人：李晶、庄唯、袁欣、厉白、高威、朱泽洲、赵云、顾弘、周文渊、李姝等。本文件为首次发布。 引言 近年来，随着信息化建设的不断发展，网络安全事件层出不穷，网络安全形势面临着一个又一个的威胁与挑战。为了准确把握安全威胁、风险和隐患，有效应对网络安全的严峻威胁和挑战，获取海量网络安全数据并对其进行分析，获取全面实时的网络安全态势变得尤为重要。网络安全威胁流量监测设备采集的数据占有较大比重，因此其管理显得尤为重要。当前，不同厂商提供的设备或系统产生的网络安全威胁流量监测数据格式不统一，造成对网络安全体系的建设和相关平台的数据对接产生影响。因此，我们决定制定网络安全威胁流量监测数据的管理规范，明确数据类型、内容和管理要求，确保数据能够高效、便捷地与城市网络安全防护平台进行传输，从而保障网络安全稳定。 1 范围 本文件规定了城市网络安全威胁流量监测的管理职责、数据采集、数据传输、数据存储与使用、数据安全等方面的要求。适用于教育、医疗卫生、水利、电力、能源等关键行业和重点单位的网络安全评估与管理工作，可在网络安全评估与管理中的网络安全威胁流量监测数据采集时使用。本文件也可供其他相关行业参考执行。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用构成本文件必不可少的条款。注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有修改单）适用于本文件。 - GB/T25069-2010 信息安全技术术语 - GB/T34960.5-2018 信息技术服务治理 第5部分：数据治理规范 - GB/T37973-2019 信息安全技术 大数据安全管理指南 3 术语和定义 下列术语和定义适用于本文件。 3.1 网络流量（Network Traffic） 指能够连接网络的设备在网络上所产生的数据包的集合。 3.2 网络威胁流量监测（Network Threat Traffic Monitoring） 指对网络出口处的流量进行实时采集，通过协议分析、与已知安全威胁规则匹配、与威胁情报库匹配等方式，发现流量中的异常信息，并生成对应的网络安全告警。 3.3 数据采集（Data Collection） 指对网络安全威胁流量数据进行采集的过程，涵盖流量数据的收集、处理、存储等环节。 5 数据采集 5.1 数据采集总体要求 数据采集应确保覆盖网络安全威胁流量的各个方面，采集的数据应真实、完整、有效，并满足数据分析与处理的要求。 5.2 安全威胁监测数据要求 采集的安全威胁监测数据应满足以下要求： - 数据应按时间顺序进行记录，确保数据的完整性。 - 数据应包括流量类型、协议类型、源地址、目的地址、流量大小等信息。 5.3 流量元数据采集要求 应对网络流量的元数据进行采集，确保元数据与实际流量的匹配，便于后续分析。 5.4 原始数据包和还原文件数据采集要求 应确保原始数据包和还原文件的数据能够准确地采集和存储，便于后续的数据传输和处理。 6 数据传输 6.1 数据传输过程 数据传输过程应保证数据的安全性、完整性和准确性，防止数据丢失、篡改等风险。 6.2 数据传输方式 数据应采用加密方式进行传输，确保传输过程中数据不被非法窃取或篡改。 7 数据存储与使用 应对采集到的数据进行合理的存储与管理，确保数据的高效使用，并符合安全管理要求。 8 数据安全 8.1 审计日志数据要求 应对审计日志数据进行采集，并确保其安全性，以便后续的安全事件分析。 8.2 报警日志数据要求 报警日志数据应及时采集，并满足网络安全监测的要求。 8.3 数据传输安全要求 数据在传输过程中应采取加密保护措施，防止数据泄露。 附录A（规范性） 附录B（规范性） 附录C（资料性） 参考文献 - 输出数据内容和格式 - 攻击告警分类 - 网络威胁流量监测设备的功能要求和性能要求