YD/T 2849-2015 标准解读

一、核心基础术语释义

• 移动互联网恶意程序：指在移动终端设备上运行，通过非授权方式获取用户信息、消耗系统资源、干扰正常功能或实施远程控制等行为的软件程序。其判定依据包括但不限于《YD/T 2849-2015》第3.1条所列特征。
• 疑似样本：指经初步分析具备移动互联网恶意程序部分特征，但尚未完成最终确认的程序实体或数据包。该样本需满足标准第3.2条规定的报送条件。
• 报送接口：指用于向指定接收方（如国家网络安全应急响应中心）传输疑似样本及相关元数据的标准化通信通道，其协议格式、字段结构与安全机制须符合本标准第4章规定。
• 元数据：指描述疑似样本基本属性的信息集合，包括样本哈希值、采集时间、来源渠道、设备型号等，用于支撑后续研判与溯源。

二、专项技术术语解析

1. 样本哈希值（Sample Hash Value）：采用SHA-256算法对样本原始字节流计算所得的唯一标识符，用于样本去重与完整性校验，标准第5.2.1条明确其为必填字段。
2. 威胁类型编码（Threat Type Code）：依据《YD/T 2849-2015》附录A定义的分类体系，对疑似样本所属恶意行为类别进行编码标识，如“TROJAN”“RANSOM”“SPYWARE”等，确保分类一致性。
3. 报送状态码（Submission Status Code）：反映样本报送过程结果的状态标识，取值范围限定于标准第6.3.4条所列代码集，例如“200”表示成功，“400”表示格式错误。
4. 样本封装格式（Sample Packaging Format）：指将原始样本文件与其元数据按ZIP压缩并遵循特定目录结构打包的规范要求，详见标准第5.3节。
5. 接口认证凭证（Interface Authentication Credential）：由授权机构颁发的API密钥或数字证书，用于验证报送方身份合法性，防止未授权接入。

三、易混淆术语区分

四、术语应用规范

• 在报送文书（如XML/JSON报文）中，必须使用标准第3章及附录A所列术语全称或规范缩写，禁止使用自定义简称或行业俚语。
• “疑似样本”不得简称为“样本”或“病毒”，以避免法律与技术定性偏差；“移动互联网恶意程序”首次出现时应使用全称，后续可简称为“恶意程序”。
• 威胁类型编码必须严格对应附录A编码表，不得自行扩展或修改编码值；若样本行为跨多类，应按主行为优先原则选择单一编码。
• 在核验日志与审计记录中，“报送状态码”须完整记录原始返回值，并关联时间戳与请求ID，不得以文字描述替代数值代码。
• 所有技术文档、接口说明及培训材料中涉及本标准术语时，应加注引用条款编号（如“依据YD/T 2849-2015 第3.1条”），确保溯源清晰。

注：本文术语解释严格依据YD/T 2849-2015《移动互联网恶意程序疑似样本报送接口规范》正文及附录内容，未引入外部定义或推论性表述。