第八条 监测和通报：

　　(一)CNCERT、基础电信运营企业负责对木马和僵尸网络进行监测。

　　(二)基础电信运营企业按照本机制第七条对监测到的事件进行分级，特别重大、重大、较大事件应在发现后2小时内报送通信保障局，同时抄报CNCERT；一般事件应在发现后5个工作日内报送CNCERT。

　　报送内容包括：控制端IP地址、端口、发现时间及其使用的恶意域名。

　　(三)CNCERT汇总自主监测、基础电信运营企业报送和从其他渠道收集的事件，进行综合分析、分级。对于特别重大、重大、较大事件，CNCERT应在2小时内向通信保障局报告，并及时通报相关通信管理局。通信保障局认为必要时，组织有关单位和专家进行研判。事件情况及研判结果由通信保障局直接或委托CNCERT通报相关单位。对于一般事件，CNCERT应在发现后5个工作日内通报相关单位。

　　事件通报内容包括：

　　1、威胁较大的木马和僵尸网络IP地址、端口、发现时间、所属基础电信运营企业。

　　2、木马和僵尸网络使用的恶意域名。

　　3、木马和僵尸网络的规模和潜在危害。

　　第九条 处置和反馈：

　　基础电信运营企业、互联网域名注册管理机构、互联网域名注册服务机构接到CNCERT木马和僵尸网络事件通报后，应按如下流程处理：

　　(一)通知与木马和僵尸网络IP地址和恶意域名相关的具体用户进行清除，并跟踪用户处置情况。

　　对于域名注册信息不真实、不准确、不完整的，互联网域名注册管理机构、互联网域名注册服务机构根据《中国互联网域名管理办法》有关规定进行处置。

　　(二)反馈用户的处置情况。特别重大、重大、较大事件的处置情况应在接到事件通报后4小时内向CNCERT反馈，一般事件的处置情况应在5个工作日内向CNCERT反馈。

　　反馈内容包括：用户已处置的IP地址和恶意域名、单位名称、用户未处置的IP地址和恶意域名及未处置的原因。

　　(三)监测单位验证处置情况。

　　对于CNCERT自主监测的事件，由CNCERT对处置情况进行验证。特别重大、重大、较大事件应在接到处置单位反馈后2小时内向处置单位反馈验证结果，一般事件应在5个工作日内反馈验证结果。

　　对于基础电信运营企业监测到的事件由基础电信运营企业自行验证。特别重大、重大、较大事件应在接到CNCERT事件通报后6小时内向CNCERT反馈验证结果，一般事件应在10个工作日内向CNCERT反馈验证结果。

　　(四)对于未处置或经验证仍存在恶意连接的木马和僵尸网络IP地址和恶意域名，按如下方式处置：

　　对于重要信息系统单位，向通信保障局反馈用户相关情况，抄报CNCERT，由通信保障局或当地通信管理局书面通知其主管部门。

　　对于其他单位用户和个人用户，应依据与用户签署的服务协议、合同等进行处置。

　　(五)对于特别重大、重大、较大事件的处置情况，CNCERT应在接到处置单位反馈后2小时内向通信保障局和相关通信管理局反馈处置结果，一般事件处置情况由CNCERT每月汇总，按照互联网网络安全信息通报有关办法通报监测和处置情况。

　　第十条 CNCERT、基础电信运营企业、互联网域名注册管理机构、国内互联网域名注册服务机构应留存木马和僵尸网络相关数据或资料以备查验。数据或资料保存时间为60天。

　　第十一条 CNCERT、基础电信运营企业、互联网域名注册管理机构、国内域名注册服务机构应保护用户正当权益，规范处置流程，建立用户申诉机制，妥善解决用户争议。

　　第十二条 通信保障局通过会商制度，组织相关单位和专家研讨木马和僵尸网络相关问题及其应对策略。

　　第十三条 事件通报和反馈应按照统一表格以书面方式报送(报送格式见附件三)。紧急情况下，可以先电话联系，后补表格。

　　第十四条 对于国家举办重要活动等特殊时期，对木马和僵尸网络监测和处置工作另有要求的，从其规定。

　　第十五条 相关单位应将本单位木马和僵尸网络监测和处置工作主管领导，责任部门负责人、联系人、联系方式报送通信保障局，抄送CNCERT。以上信息发生变更，应在3个工作日内报送变更情况。