今日，网信办发布了关于《网络安全威胁信息发布管理办法》（以下称《管理办法》）的社会公开征求意见稿，奇安信威胁情报中心对《管理办法》做了仔细研读，我们认为《管理办法》体现了国家层面加强对威胁信息发布的规范，以尽可能减小其负面影响的精神。安全研究人员和厂商需要对威胁信息的发布有更为审慎的态度，特别是对涉及关键基础设施的威胁信息与相关主管机构有更深入的沟通和互动，在国际局势影响下的国内信息安全环境中担负起更大的责任。

此《管理办法》主要针对当前国内一些威胁信息发布的现象进行规范，今后那些不负责任的网络安全威胁信息发布行为一定要三思而后行。以下是奇安信威胁情报中心对于《管理办法》条款的解读，权当抛砖引玉希望业界也能发表自己的看法。

明确《管理办法》所要达到目标，网络安全法是其立规依据。

本条款的前提就是允许安全研究人员和机构发布威胁相关的信息，明确了国家层面对于威胁信息这种可能造成负面影响的特殊信息所希望达成的目的和效果：提升受众的安全意识，让受威胁信息影响的单位得到威胁存在的提示以及时采取应对措施；技术交流，威胁相关的技术细节有助于处置和分析机构提升应对类似威胁的能力。威胁信息的发布不能对国家有破坏性的影响，受威胁信息影响的各方的利益不能因此被侵犯，明确了行为所导致后果的底线。

客观

在发布威胁信息时保持客观，特别是与利益关联方相关的威胁信息不能带有主观的意见，以免引起不必要的纷争，不能把威胁信息作为竞争的手段和工具。对威胁进行严重程度评级时要遵照为业界所广泛认同的标准，使评估结果横向可比较纵向保持一致，从技术上保证客观性。

真实

保证输出信息的准确度，全面地反映现实情况。这不仅要求求真的态度，也更是能力的体现，比如要评估一个漏洞的实际影响其实并不那么容易，需要知道漏洞影响的软件版本、漏洞利用难易程度（需要理解漏洞成因，被利用的限制因素等）、在什么配置场景下可利用、现实环境中的部署量，上述无论哪一方面的细节信息获取都是要付出很大成本的。所以，要发布一个真实威胁信息需要很强的能力与资源，《管理办法》的这个原则其实对威胁信息发布方设置了一个相当高的门槛。以往安全厂商可能在发布威胁信息时倾向于夸大严重程度进行恐吓式营销，大家都知道不实信息的持续发布其实在透支厂商的信用，最终只会导致狼来了的结局，用户对威胁信息的产生麻木情绪，导致真正重大的威胁来临时反而没有及时应对造成严重损失。

审慎

威胁信息能够及时让受影响的用户知晓以采取措施缓解或消除威胁无疑是必要的，但由于其特殊性，不正确全面的信息会引起不必要的恐慌，过度的技术细节披露也容易被破坏入侵者所用从而导致更大的威胁，所以是否发布，如发布，细节上披露到什么程度以及发布到多大范围都需要仔细权衡以尽可能减轻可能的负面影响。

负责

对于威胁信息的发布要有负责的态度，发布信息不能只管杀不管埋，比如发布没有解决方案的漏洞类威胁信息除了对攻击者有用，对防护方却没有任何益处，这样的处理方式就是不负责任的行为。对发布信息可能导致的后果要有清醒的预判，发布后随时响应用户的需求，答疑解惑并提供必要的解决方案信息支持，尽己所能监控威胁相关的恶意活动变化及时发布威胁的更新，持续与威胁做对抗。

我们理解监管单位对于条款中所列的这些威胁信息组成元素做输出限制主要考虑到那些信息可能对攻击者更有用，而且可以被不怀好意的人直接利用。如“专门用于……的程序、工具”就沿用了网络安全法第27条的表述，其目的在于防止为不法分子提供技术支持。此外，不得发“完整复现网络攻击的细节”，也可以理解为不想让不法分子照葫芦画瓢，直接就能拿来用到做坏事上。其实，所谓“完整复现”的门槛很高，只要在发布网络攻击信息时规避掉一些敏感的、具体的环节和过程，不让人产生手把手传授网络犯罪技术的感觉，应该就能符合这一条规定。总之，根据这一条规定，今后安全从业人员和爱好者学习交流时仍然可以讨论原理方法，但是要注意直接传播POC、利用工具将是不被允许的，这也是断了不法分子轻轻松松获得工具当伸手党的可能。

此条款的核心为涉及到已经受威胁影响的单位组织信息，因为其中可能存在关键信息基础设施，不实的信息发布可能影响国家安全和社会稳定，所以《管理办法》明确要求先报公安机关以体现第三条中的审慎原则。但因为条款没有提到需要公安机关审批同意才能发，所以应该不算行政审批，只要有“报告”的动作就符合规定。

这条款强调了威胁信息发布者与监管机构的配合，保证监管机构在第一时间掌握情况。与上一条类似，只提到发布前要进行报告，未规定要进行审批同意才能发，所以应该不算行政审批，只要有“报告”的动作就符合规定。

“预警”对监管部门具有特定的涵义，后续会搭配一系列的分析处置行动，不同预警级别对应不同强度的动作，会涉及大量资源的调用，所以预警只能由监管机构发起。例如根据《国家网络安全事件应急预案》，有关部门发布网络安全预警后，有关地区和部门要根据预警级别启动应急预案，及时采取措施进行响应。因此，今后对于一般的安全机构和厂商，建议使用风险提示、威胁情报之类的描述来命名自己所发布的信息。

此条款对风险、脆弱性的发布提出了非常严格的约束，实际操作上基本可以理解为没有存在风险、脆弱性的信息系统运营者的许可，相应的风险、脆弱性信息不再允许被公开发布出来，公开说某某机构存在某某风险、脆弱性直接违反《管理办法》。在风险、脆弱性没有得到修复的情况下，有上述的规定是可以理解的，因为指出某某机构存在某某风险、脆弱性无疑给恶意攻击者指出了攻击路径，威胁随之扩大。但规定也考虑到防止存在风险的机构由于不用担心被公开点出来而导致修复的动力不足或处置缓慢，增加风险、脆弱性存在的窗口期，提出了救济情况，一方面是对于问题已经解决的，不再受约束；另一方面一定程度上参考了谷歌ProjectZero的做法，对于忽略或没有能力修复漏洞的机构给了30天的缓冲期，当然还是需要相关上级监管机构的介入。

违规的威胁信息如果被发布，发布者需要配合监管机构的管理要求执行减小后续影响的操作，简单来说就是监管机构让你删就得配合删除，条款中所列的信息发布渠道基本包含了所有已知的公开信息发布渠道，如果拒不执行惩罚措施见下面的第十、十一条。

如果违反《管理办法》会有处罚可以参看《网络安全法》，多了解些相关的法律避免触线。

对威胁信息包括的类型枚举得相当全面，涉及工具、过程、事件等描述，甚至还包括意图。不限于显式的漏洞、风险等直接威胁信息，还包括了信息系统的环境信息，比一般对威胁情报的定义要宽泛得多。办法第4到8条已对每一类威胁信息如何发布做了详细规定，这里应该是一个较为原则的定义，具体操作还需要看前面第4到8条的规定。

（文章来源：奇安信集团）
注：内容均来源于互联网，版权归作者所有，如有侵权，请联系告知，我们将尽快处理。