YD/T 4704-2024 标准解读

一、核心指标体系梳理

• 检测覆盖率：网络节点覆盖比例≥98%，资产类型覆盖种类≥12类，包括主机、服务器、防火墙、交换机、路由器、安全设备、数据库、中间件、应用系统、移动终端、物联网设备、云资源实例。
• 检测频率：关键网络区域每日执行1次自动化扫描；非关键区域每周不少于1次；重大安全事件响应期间须提升至每6小时1次。
• 漏洞检出率：基于已知CVE库的模拟测试样本集，标准环境下漏洞识别准确率≥95%，误报率≤3%。
• 响应时延：从检测任务触发到首次输出结果时间≤10分钟；全量数据采集完成时间≤30分钟（单域规模≤5000节点）。
• 数据完整性：检测日志记录字段完整率≥99.5%，关键字段缺失数≤1个/千条记录。
• 协议支持范围：必须支持IPv4/IPv6双栈环境下的检测操作，且对主流传输层协议（TCP/UDP/SCTP）及应用层协议（HTTP/HTTPS/DNS/FTP/SMTP/SNMP）实现全路径解析。
• 检测工具合规性：所有使用工具需通过国家认可的第三方测评机构认证，版本信息可追溯，更新周期不超过6个月。

二、关键参数精准释义

1. 检测覆盖率测算口径：

   指标项	定义说明	计算公式
   节点覆盖率	实际纳入检测的网络节点数量占总注册节点比例	(检测节点数 / 注册节点总数) × 100%
   资产类型覆盖率	检测系统支持识别并处理的资产类别数量与标准要求类别总数比值	支持类别数 / 12 × 100%

2. 漏洞检出率判定依据：以NIST NVD发布的CVE测试用例集为基准，在隔离仿真环境中注入1000个已知漏洞样本（含高危300、中危400、低危300），统计工具成功识别数量。漏报数＞50或误报数＞30即视为不达标。
3. 响应时延测量方法：采用时间戳标记机制，起点为调度系统发出检测指令的时间戳T1，终点为接收首条有效告警或状态反馈的时间戳T2，ΔT=T2-T1，连续测试10次取均值。
4. 数据完整性校验规则：依据YD/T 4704-2024附录B日志格式规范，对每批上传日志进行结构化校验，缺失“源IP”、“目标端口”、“事件类型”、“时间戳”任一字段即计为异常记录。
5. 协议解析深度要求：对应用层协议需实现至少L7会话重建能力，能提取URL路径、HTTP方法、DNS查询名、邮件主题等语义信息，解析失败率≤2%。

三、参数合格区间界定

• 检测覆盖率合格线：

  节点覆盖率 ≥ 98%：合格；95%～97.9%：预警；＜95%：不合格
  资产类型覆盖率 ≥ 12类：合格；10～11类：限期整改；＜10类：判定为工具能力不足

• 漏洞检出率阈值：

  等级	检出率区间	误报率上限	判定结果
  优	≥97%	≤2%	推荐部署
  良	95%～96.9%	≤3%	允许使用
  差	＜95%	＞3%	禁止上线

• 响应时延临界值：
  • 任务启动延迟＞10分钟：触发性能告警
  • 全量采集超时＞30分钟（≤5000节点场景）：记录为服务SLA违约事件
  • 连续3次超限：暂停该检测通道运行并启动根因分析
• 数据完整性容错边界：

  完整率 ≥ 99.5%：正常
  99.0%～99.4%：观察期，需提交质量改进计划
  ＜99.0%：判定数据不可信，对应批次检测结果作废

• 协议支持强制要求：未实现IPv6检测能力或任意一种必选应用层协议无法解析的，直接判定为不符合项，不得通过验收评审。

四、参数管控实操建议

1. 日常监控机制：
   • 部署统一监控看板，实时展示各区域检测覆盖率、任务执行成功率、平均响应时延三项核心KPI。
   • 设置自动化巡检脚本，每日04:00执行前一日数据完整性审计，生成《检测数据质量日报》。
2. 数据统计规范：

   指标	统计粒度	上报周期	存储期限
   检测覆盖率	按子网+资产类型双维度	每日	≥180天
   漏洞检出率	按CVSS评分分组统计	每月	≥365天
   响应时延	按检测任务类型分类汇总	实时+月度分析	≥90天

3. 偏差修正流程：
   1. 发现指标偏离合格区间后，2小时内生成《指标异常通报单》，明确偏差项、影响范围、初步归因。
   2. 责任单位在24小时内提交整改方案，包含技术措施、时间节点、验证方式。
   3. 修复完成后执行回归测试，复测数据需连续3轮达标方可关闭问题项。
4. 工具生命周期管理：
   • 建立检测工具台账，记录型号、版本、部署位置、上次升级时间、认证有效期。
   • 版本更新不得超过6个月间隔，到期未更新的自动禁用远程调用权限。
5. 仿真环境验证要求：新接入检测组件必须在离线仿真平台完成覆盖率、检出率、时延三项基准测试，测试报告经安全主管签字后方可接入生产环境。