关于网络安全威胁情报平台（TIP）的国家标准目前正在征求意见，暂编号为TCVN XXXXX:2026，名称为《网络安全 – 网络安全威胁情报平台（TIP）- 通用要求》。该文件由网络安全与高技术犯罪防范警察局起草、公安部建议、国家计量质量标准化委员会审定、科学技术部公布。如果说上一篇文章分析的是SIEM标准草案，那么本文对应的正是与其配套的另一份文件：面向”采集、处理并共享威胁知识”的平台标准。本文从总体层面概述其结构、适用范围与主要要求组，不摘录条款原文，也不引用草案中的量化数值。
一、这份文件是什么，处于什么阶段
首先需要说明：这是一份草案。标准编号尚未确定，内容可能在审定和征求意见过程中调整，草案不具有适用效力，也不应据此宣称产品已经符合标准。
“前言”按TCVN惯例列明起草单位、建议单位、审定单位和公布单位。”引言”说明标准的目标：保证产品质量，服务于提升监测能力、促进信息共享、主动防护信息系统以应对网络威胁，同时鼓励各机关、组织部署满足要求的TIP，并与管理、技术和运营措施相结合。
一个值得注意的细节：引言指出本标准是在继承、更新和升级信息技术与传媒部部长2021年10月6日第1517/QĐ-BTTTT号决定所发布的信息安全威胁情报平台产品基本技术要求的基础上制定的。也就是说，这不是一套全新的要求，而是把此前由专业主管部门发布的技术要求提升为国家标准。
二、为什么TIP单独成为一项标准
在我们此前分析的SIEM标准草案中，适用范围有明确限定：SOAR产品与TIP产品的技术要求由各自的国家标准规定。TIP草案正是补上的这一块。两套标准服务于提升监测能力与促进信息共享的共同目标，但针对的产品不同：SIEM侧重组织自身信息系统内产生的事件日志，TIP侧重来自多来源、且大部分来自组织外部的威胁情报。
正因为数据来自外部，TIP草案的特色要求围绕多源数据的规范化与融合、指标生命周期管理、按敏感度控制共享范围，以及把情报反向集成到SIEM、SOAR、EDR、WAF等防御系统。两套标准的衔接点在于集成能力：SIEM草案为”与TIP集成”单列一节，TIP草案则为”向其他安全方案分发情报”单列一节。
三、适用范围与文件结构
适用范围只有一句话：本标准规定网络安全威胁情报平台的通用网络安全要求。草案比SIEM草案精简得多：约16页，含5条正文和一个参考性附录。第1条适用范围；第2条引用文件；第3条术语、定义和缩略语；第4条平台治理与安全通用要求；第5条平台业务功能要求；附录A为扩展功能。
编制档案时有两点结构信息需要掌握。第一，第2条明确”本标准不引用任何文件”，因此没有其他TCVN常见的规范性引用清单；但正文仍以”或等效”的表述提到STIX/TAXII等国际情报交换标准，以及YARA、Sigma、Snort等检测规则格式。第二，三项核心要求,威胁信息分组标签、手工导入文件格式、报告导出格式,均采用”以下格式中至少两种”的写法，既给制造商留出选择空间，又保留了明确的最低要求。
四、术语与缩略语
第3条定义了六个术语：网络安全；网络安全威胁情报平台；威胁情报；失陷指标（IoC）；会话保持时间；多因素认证。值得注意的是，TIP的定义强调”多来源”这一功能特征，而威胁情报的定义强调其已经过汇总、分析、解释或充实以服务于决策,实际上区分了原始数据与经处理的知识。
缩略语表包括API、EDR、IoC、IP、SIEM、SOAR、STIX、TAXII、TIP、TLP和WAF。TLP出现在术语部分本身就是一个信号：把情报共享范围的控制放在全文之前，说明按敏感度控制共享是贯穿全文的要求，而不只是一项可选的技术特性。
五、平台治理与安全通用要求
第4条包含五组与业务功能无关的要求，构成平台可运行、可评价的基础。
| 条款 | 要求组 | 主要内容 |
|---|---|---|
| 4.1 | 文件 | 安装、部署与配置指南；用于优化采集、处理、规范化、去重并减少噪声告警的调优文档；功能使用、管理权限与运维流程文档 |
| 4.2 | 系统管理 | 运行管理、安全的远程管理、认证与用户权限管理 |
| 4.3 | 错误控制 | 配置保护、日志与应用数据保护、时间同步、备份与恢复、系统补丁更新 |
| 4.4 | 日志管理 | 系统管理日志、告警日志、日志存储生命周期管理 |
| 4.5 | 处理性能与可扩展性 | 公布响应时间阈值、公布可存储与处理的情报数据量、不停机扩展 |
系统管理方面，草案要求可配置系统时间与会话保持时间、可注销仍处于有效会话的账户，以及可通过关键词检索数据以便回溯。远程管理方面，值得注意的要求是：所有远程管理连接都必须支持多因素认证，使用TLS或等效的安全加密协议，会话超时后自动注销并取消远程管理会话，并允许设置远程管理连接的参数限制，例如限定IP地址或限制并发管理会话数。认证与权限管理方面，草案要求支持账户加密码方式（默认配置下设定最小长度，管理员可设置和变更密码复杂度）、可设定密码更换期限、账户至少分为管理员与普通用户两组并分别赋予具体权限、以及支持多因素认证。
错误控制方面，草案给出统一原则：因错误（硬件故障除外）重启后，正在生效的系统配置、远程管理配置和账户与权限配置必须被保留且在下次启动时保持不变；已存储的数据不得改变；系统时间必须自动同步至当前时间。与之配套的是：可设置定期备份系统配置与数据库、可在发生故障时从备份文件恢复运行状态、使用尚未发现严重安全弱点或漏洞的强加密算法、以及提供针对平台自身漏洞的补丁更新功能。
日志管理方面，草案具体列明必须记录的事件类型：账户与权限分组的登录、注销、新增、修改、删除；在允许访问资源前进行的认证；系统配置的生效与回滚；重启或关机指令；对情报数据的一切增、改、删操作；以及将情报数据导出、分发、共享到系统外部的一切操作。系统管理日志的字段包括完整到秒的时间戳、IP地址或工作站标识、操作主体标识、行为内容以及成功或失败结果。把”对情报数据的操作”和”向外部共享的操作”纳入日志是草案的一个亮点，因为这两类日志恰好是接入外部数据的平台最容易忽略的部分。
六、处理性能与可扩展性
第4.5条直接对应验收与检测。其结构包括三部分：制造商必须公布在其公布的最小配置下、对应平台声称可处理的最大数据量与最大查询复杂度时，搜索与查询情报数据的最大响应时间阈值，并且平台在接受评价时必须达到所公布的阈值；必须公布平台可存储和处理的情报数据记录的最大与最小数量；平台必须能够扩展处理与存储能力（例如增加资源或处理节点），以满足数据量增长而不中断运行。
从评价技术角度看，关键在于”已公布”这个词：要求并未给所有产品规定同一个数值，而是让制造商自行公布其最小配置下的阈值，并证明达到该阈值。这种写法符合TIP优化方向差异很大的现实,有的产品强在数据量，有的强在查询复杂度；同时也意味着在评价时，制造商的公布文件本身就构成评价依据的一部分。
七、五组平台业务功能要求
第5条是草案的核心，按情报数据的生命周期展开：采集、处理、指标生命周期管理、共享与分发，最后是趋势统计、告警与报告。
| 条款 | 功能组 | 重点 |
|---|---|---|
| 5.1 | 情报数据的采集与接收 | 多来源、手工与自动两种方式、国际交换标准、按来源设定采集周期、手工导入文件、结构化与非结构化数据 |
| 5.2 | 情报数据的处理 | 规范化为通用数据模型、对象类型管理、数据充实、去重、分组标签、检索与关系可视化 |
| 5.3 | 指标生命周期管理 | 有效期、风险评分、带理由的提前撤销、审定状态与内部分析协作 |
| 5.4 | 共享、分发、集成与访问控制 | API与Webhook、按标准交换、静态文件导出、与SIEM/SOAR/EDR/WAF集成、敏感数据匿名化、共享检测规则集、按TLP控制、接收比对反馈 |
| 5.5 | 趋势统计、告警与报告 | 按模板管理报告、威胁趋势图表、告警设置与向用户分发 |
八、情报数据的采集与接收
第一项要求是能够采集并存储来自多来源的威胁信息：公开情报源、商业情报源、情报交换平台、去中心化共享社区以及内部数据源。对每条威胁信息，草案要求至少包含总体描述、危险程度、数据可信度、所赋分组标签以及详细属性。
草案允许以手工和自动两种方式配置采集，支持按STIX/TAXII国际标准接收，允许为不同来源分别设置和调整采集周期，允许以XML、JSON、CSV、TXT、XLSX、XLS中的至少两种格式手工导入文件，并要求能够采集结构化、半结构化和非结构化数据。”按来源设定采集周期”这一点在实践中很重要：免费来源与有查询额度限制的商业来源所需频率不同，若对所有来源使用同一天周期，容易出现超额调用或数据过期。
九、情报数据的处理
这是技术要求最密集、也最能决定TIP输出质量的一组。草案要求把已存储的全部数据规范化为同一格式、标准或通用数据模型，例如STIX或等效模型,这一点很关键，因为同一威胁来自不同来源时，其描述方式往往并不一致。
在对象模型方面，草案要求至少管理以下对象类型：指标、观测数据、恶意代码、攻击行为模式、安全漏洞、威胁主体、目标对象、攻击行动以及关系。每个对象需包含名称、描述、类型、创建时间、来源、可信度、首次与最近发现时间、严重程度、数据控制标记标签和受害方等字段。平台还必须能够充实情报数据，并对来自不同来源的数据去重，同时保留数据的原始背景与语境,这一条件在部署时容易被忽视，却决定后续分析的质量。
分类与检索部分规定了八个搜索用分组标签：已公布的安全弱点与漏洞；恶意代码家族；攻击技术；攻击行动；攻击目的；被攻击对象或组织类型；实施攻击的对象或组织；以及与攻击者基础设施有连接的客户域名与IP地址。最后一组属于相当特殊的要求，说明标准同时面向主管机关的调查需求，而不仅是企业的防护需求。与之配套的是按至少以下条件检索与筛选数据：对象类型、分组或标签、威胁主体、攻击行动、时间区间、可信度以及TLP标签。
最后，草案要求以关联图形式对相互关联对象之间的关系进行可视化展示，例如威胁主体、攻击行动、恶意代码、指标与安全漏洞之间的关系。对分析人员而言，这通常是把零散数据拼成一次攻击行动全貌时使用最多的功能。
十、指标生命周期管理
失陷指标属于生命周期很短的数据，因此草案单列一节管理其生命周期。四项主要要求：可为指标设置静态有效期，到期后自动转为失效状态；可设置风险评分机制，用于对指标分类、排定优先级并据此确定处置动作；管理员或分析人员可主动变更指标的生效状态，包括提前撤销并附具理由；可为指标添加备注、内部评论并赋予审定状态，例如新接收、审定中、已验证、已发布。
后两项细节说明草案把TIP视为团队工作工具而非单纯的数据仓库：审定状态与分析人员之间的内部交流被列为要求，而撤销必须附具理由则便于在复查时还原决策过程。
十一、共享、分发、集成与访问控制
这一节规定把威胁知识送到需要的地方、送给有权接收的对象。草案要求提供API和Webhook用于共享情报数据；支持按STIX/TAXII标准共享与交换情报流；允许以CSV、JSON、STIX格式的静态文件导出和分发数据；允许把情报数据直接集成到SIEM、SOAR、EDR、WAF等其他安全方案；并允许通过Syslog协议共享应用日志数据。
随后三项要求体现了数据治理的取向。第一，平台必须提供在向系统外部或组织外部共享情报流之前，对敏感信息、个人身份信息进行匿名化、清洗或删除的机制,这一要求与共享信息时保护个人数据的责任直接相关。第二，平台必须能够把YARA、Sigma、Snort等攻击检测规则集共享并集成到监控系统中用于防御，把知识转化为具体的检测规则。第三，平台必须支持按TLP协议对情报数据进行标签标注和访问控制，从而按数据敏感程度限制接收范围。
草案还规定了一项形成闭环的细节：平台必须接收并记录已集成安全方案（例如SIEM、SOAR、EDR）关于指标比对结果的反馈信息，作为更新指标优先级或风险评分的依据。换言之，多次比对命中的指标与从未命中的指标应被区别对待，而系统必须能从实际反馈中学习到这一点。
十二、趋势统计、告警与报告
第5条最后一组包含三个图形界面功能模块。报告管理方面：可新建、回顾和删除报告；可按预先定义的模板生成新报告；可应用检索规则为报告增补、筛选和精炼内容；可选择导出文件格式，至少覆盖DOCX、DOC、XLSX、XLS、PDF、HTML、XML中的两种；并可下载已导出的报告文件。
趋势统计方面：以图表形式统计全球威胁态势，并可按时间检索趋势数据。告警方面：可按预先定义的分组接收告警、设置接收告警的时间、以文件形式下载告警内容、在告警管理界面显示告警内容，并通过电子邮件或短信接收告警。
这一组看似不如数据类要求重要，但在实际运营中它决定产品能否日用：一个无法把告警推给正确的人、无法按现成模板导出报告的TIP，往往最终只停留在”查询仓库”的层面。
十三、附录A：扩展功能
附录A属于参考性内容，不是强制要求。附录列出七组扩展功能：监控并展示已泄露的登录账户清单，包括用户名、密码和泄露来源；监控、新增并管理暗网泄露信息；管理并共享仿冒域名、仿冒网站或社交页面、仿冒应用清单；管理、监控并告警组织内部文件与敏感数据在网络上泄露的情况；应用人工智能与机器学习辅助自动处理、数据充实、情报报告摘要或情报检索；自动化TIP内部情报数据采集、充实与分析过程中的重复性任务；以及提供自动化场景设置指引，用于情报分析与数据充实。
附录明确了一处界限：自动化部分仅适用于TIP内部重复性任务，不包括事件响应的编排与自动化,后者属于SOAR产品的范围。这一细节表明起草方在全文范围内对TIP与SOAR的界限划分相当清晰，档案编制者也可据此在两款产品之间划分评价范围。
十四、企业与组织需要准备什么
对制造商与解决方案提供商，首先要按三个层次对照产品：文件体系（安装、调优、功能与运维流程）、治理与安全要求组、以及五组业务功能。根据经验最容易失分的是文件层：草案要求提供用于优化采集、处理、规范化、去重和降低噪声告警的调优文档，而不少制造商尚无此类文档。其次是第4.5条要求的性能阈值公布文件，因为它将成为评价依据。
对部署TIP的组织，无论是自行运营的企业还是提供监控服务的单位，重点是提前确定标准将会要求的内容：情报来源清单与每个来源的采集周期；指标有效期政策与附具理由的撤销流程；TLP标签规则及各等级允许接收的对象；对外共享前的匿名化流程；以及带有内部状态的指标审定流程。
对检测实验室与合格评定机构，这是为熟悉的安全产品之外新增一类产品准备评价能力的机会，从文件与配置检查到按制造商公布阈值开展性能检测。对信息系统所有者，现阶段合理的做法是把草案作为评估供应商的问题清单，而不应在标准尚未发布时把草案条款写入招标文件作为强制要求。
十五、常见问题
这份草案已经生效了吗？
还没有。草案仍在征求意见与审定阶段，暂编号TCVN XXXXX:2026，内容在公布前仍可能调整。
该标准是否强制适用？
国家标准属自愿适用，仅在规范性法律文件、技术法规、合同或项目文件引用时才具有强制性。
TIP草案与SIEM草案有何不同？
两者针对不同产品，起草方有意将其分开以使各自拥有独立的要求体系。SIEM草案侧重组织系统内的事件日志数据；TIP草案侧重多来源威胁情报数据、规范化以及按敏感度分级共享。
产品是否必须支持草案中提到的所有格式和标准？
不是。对人工导入文件与报告导出，草案要求从清单中至少支持两种格式；对情报交换，则采用STIX/TAXII或等效通用数据模型的表述。
附录A是强制要求吗？
不是。附录A明确标注为参考性，列举了数据泄露监控、仿冒域名管理、人工智能应用与内部自动化等扩展功能。
十六、延伸阅读
- SIEM标准草案：安全信息与事件管理产品通用要求
- 第125/2026/TT-BCA号通知：监控摄像机列入中风险货物清单
- 第78/2025/QH15号法律：进口货物检查与合格声明的风险管理原则
- 第14/2026/TT-BKHCN号通知：八种认证方式及如何选择
- 如何选择检测实验室以满足越南合规要求
十七、参考来源
- TCVN XXXXX:2026草案《网络安全 – 网络安全威胁情报平台（TIP）- 通用要求》，由网络安全与高技术犯罪防范警察局起草、公安部建议、国家计量质量标准化委员会审定、科学技术部公布。草案不具有适用效力，本文仅概述其结构、适用范围与要求组。
- 信息技术与传媒部部长2021年10月6日第1517/QĐ-BTTTT号决定，发布信息安全威胁情报平台产品基本技术要求,草案将其列为其继承与升级的基础文件。
- 草案列出的参考文献：关于网络威胁信息共享的NIST SP 800-150；ENISA关于威胁情报平台的研究报告；Gartner 2024年安全威胁情报产品与服务市场指南；Forrester 2026年第一季度外部威胁情报服务提供商报告。
十八、联系我们
网络安全威胁情报平台制造商、提供安全监控服务的单位，以及正在准备平台评价档案的组织，可通过下表提交需求，就标准发布前的评价范围与所需文件进行沟通。
本文分析的是尚未发布的标准草案，仅用于信息普及，不代替标准文本，也不构成针对具体情形的技术与法律咨询。草案内容在公布前可能调整；本文仅介绍结构、适用范围与要求组，不摘录条款原文，也不引用草案中的量化数值。标准正式发布后，请使用正式文本及现行法律规范性文件。
