第4节 术语和定义
标准条款
3.1
部件component
由若干装配在一起的零件组成，能够实现特定功能的模块或组件。
条款解读
一、目的和意图
本条款给出网络关键设备中部件的定义。
二、条款释义
在网络关键设备的描述中，通常会用到零件、部件、组件、模块等概念。这些概念从不同的角度定义，部件、零件按隶属区分，模块、组件则是按功能和关联关系来区分。
从物理的角度来看，零件是网络设备的基本组成单元，如螺钉、螺母、电阻、电容、电感、芯片、接头、排线、印制电路板等，它的制造过程一般不需装配工序，零件也称为元件。而部件则是机器的一个组成部分，由若干零件装配而成，具备特定的功能，如提供交直流转换的供电电源、实现不同速率的光电接口板卡、控制其他模块按照不同时序或者逻辑进行处理的主控板、在不同的接口之间传递数据的交换板、对收到的数据报文进行分析计算的处理板等。
模块是一个设计术语，以功能块为单位进行区分，最后通过模块的选择和组合构成最终产品。组件是由一个或几个零件组装在一起形成的一个功能单元。在本标准中，部件与模块或组件指的是相同级别的事物。
标准条款
3.2
恶意程序malicious program
被专门设计用来攻击系统，损害或破坏系统的保密性、完整性或可用性的程序。
注：常见的恶意程序包括病毒、蠕虫、木马、间谍软件等。
条款解读
一、目的和意图
本条款给出对网络关键设备的保密性、完整性和/或可用性造成损害的恶意程序的定义。
二、条款释义
网络关键设备在运行的过程中，通常都需要用到操作系统。从原理上看，网络关键设备的操作系统与计算机的操作系统并无本质的区别，包括进程管理、存储管理、文件管理、设备管理、系统调用等模块，使用相同或类似的指令集。因此，网络关键设备也可能受到恶意程序的攻击。
恶意程序又称为恶意代码（malicious code），是能够在网络关键设备中进行非授权操作的代码，以恶意破坏为目的。恶意代码的危害主要表现在以下几个方面。
（1）破坏数据：恶意代码被触发时会直接破坏网络关键设备中的重要数据，利用的手段有格式化Flash、硬盘、改写文件分配表和目录区、修改设备控制数据、删除配置文件或者用无意义的数据覆盖文件等。
（2）占用磁盘存储空间：文件型的病毒利用操作系统自身的功能进行传染，检测出磁盘未用空间，把病毒的传染部分写进去，一般不会破坏原数据，但会非法侵占磁盘空间，被感染的文件会有不同程度的加长。
（3）抢占系统资源：大部分恶意程序是动态常驻内存的，必然会占用一部分系统资源，导致一部分应用软件不能运行。恶意程序可能修改中断地址，在正常中断过程中先跳转到恶意程序，干扰系统运行。
恶意程序主要从程序的独立性和自我复制性两个方面进行分类。独立的恶意程序具备一个完整程序所应该具有的全部功能，能够独立传播、独立运行，这样的恶意程序不需要寄生在另一个程序中，不需要依赖其他程序就可以独立存在。独立的恶意程序的自我复制过程就是将自身传播给其他系统的过程，类似于生物界的细菌，不需要利用宿主即可独立生存。非独立恶意程序只是一段代码，必须嵌入某个完整的程序中，作为该程序的一个组成部分进行传播和运行。非独立恶意代码不具备独立的自我复制能力，要想实现复制，必须将自身嵌入宿主程序，这个过程也称为感染宿主程序的过程，类似于生物界的病毒，需要将自身嵌入细胞内部，然后开始病毒复制。
常见的恶意程序有：
（1）陷门。陷门是某个程序的秘密入口，通过该入口启动程序，可以绕过正常的访问控制过程，因此，获悉陷门的人员可以绕过访问控制过程，直接对资源进行访问。陷门最初是程序开发人员在开发具有鉴别或登录过程的应用程序时，为避免每一次调试程序时都需输入大量鉴别信息或登录过程需要的信息而设置的。程序正常启动和通过陷门启动的区别在于是否输入特定的命令参数、在程序启动后是否输入特定的字符串等。
（2）逻辑炸弹。逻辑炸弹是包含在正常应用程序中的一段恶意代码。当满足某种条件，如到达某个特定日期、增加或删除某个特定文件、收到特定的字符串等，将触发这一段恶意代码，执行这一段恶意代码将导致非常严重的后果，如删除系统中的重要文件和数据、使系统崩溃等。
（3）特洛伊木马。特洛伊木马也是包含在正常应用程序中的一段恶意代码，一旦执行这样的应用程序，将触发恶意代码。特洛伊木马的功能主要在于绕过系统的安全控制机制，如在系统登录程序中加入陷门，以便攻击者能够绕过访问控制过程直接访问系统资源；将共享文件的只读属性修改为可读写属性，以便攻击者能够对共享文件进行修改；甚至允许攻击者通过远程工具软件控制系统。
（4）病毒。从狭义上的定义看，病毒专指那种既具有自我复制能力、又必须寄生在其他程序中的恶意代码。病毒和陷门、逻辑炸弹的最大区别在于自我复制能力，通常情况下，陷门、逻辑炸弹不会感染其他程序，而病毒会自动将自身添加到其他程序中，形成病毒的传播。
（5）蠕虫。从病毒的广义定义来说，蠕虫也是一种病毒，但它和狭义病毒的最大不同在于自我复制过程，病毒的自我复制过程需要一定的人工干预，例如需要人工运行感染病毒的程序，或是打开包含宏病毒的邮件，这些操作都不是病毒程序自动完成的。而蠕虫的自我复制功能则要强很多，它能够通过网络自主完成以下操作。
① 查找远程系统：通过搜索已被攻陷系统的网络邻居列表或其他远程系统地址列表找出下一个攻击对象。
② 建立连接：通过端口扫描等操作过程自动和被攻击对象建立连接，如Telnet、RPC连接等。
③ 实施攻击：通过已经建立的连接将自身自动复制到被攻击的远程系统，并运行。
（6）僵尸（Zombie）。僵尸是通过秘密通信信道控制被感染的主机。大量的僵尸可以组成僵尸网络，听从某个控制服务器的统一调度，用来发起大规模的分布式网络攻击，如分布式拒绝服务攻击（DDoS）、海量垃圾邮件等，对网络安全运行和用户数据安全极具威胁。僵尸是目前互联网上攻击者最青睐的工具。
自1988年11月泛滥的Morris蠕虫以来，恶意程序首先在计算机系统上快速进化，比较著名的恶意程序有1998年爆发的CIH病毒、1999年的Melissa病毒、2000年5月爆发的“爱虫”病毒、2001年8月的“红色代码”蠕虫、2003年的Slammer蠕虫、2003年8月的“冲击波”蠕虫和2004年到2006年的振荡波蠕虫、爱情后门、波特后门等恶意程序，以及最近几年频发的蠕虫勒索软件，它们利用电子邮件和系统漏洞对网络主机进行攻击，给国家和社会造成了巨大的经济损失。
除在计算机系统中出现恶意程序之外，在专用的网络设备上也已经出现恶意程序。2015年，思科网络设备被植入SYNful Knock恶意后门。黑客利用这个后门可以完全控制网络设备，攻击者可以获得通过网络设备传输的用户名、密码、银行卡账户，以及用户的访问行为、访问的网站、使用了哪些应用等信息。这个事件颠覆了人们之前的认知，那就是路由器这种比较封闭的系统很难被篡改的认知。在2016年10月，美国出现大面积的网站访问受限；2016年11月，德国电信发生断网事件，几十万用户受到影响。这两次事件的发生都是网络设备受到攻击所致。2018年8月，世界上最大的芯片生产企业台积电的生产线受到了勒索病毒的攻击，导致生产线停止运行，损失超过10亿元人民币。
标准条款
3.3
漏洞vulnerability
可能被威胁利用的资产或控制的弱点。
[来源：GB/T 29246—2017,2.89，有修改]
条款解读
一、目的和意图
本条款给出网络关键设备中的漏洞的定义。
二、条款释义
在GB/T 29246-2017《信息技术 安全技术 信息安全管理体系 概述和词汇》的2.89中，对于“脆弱性”给出了定义：可能被一个或多个威胁利用的资产或控制的弱点。在实际的语境中，考虑到漏洞和脆弱性并无不同，因此在本文中对于漏洞采用了和脆弱性基本相同的描述。为突出漏洞是资产或控制的弱点和被利用的特点，删除了脆弱性中的“一个或多个”的限定。设备的弱点只有在被利用的情况下才能成为漏洞。
漏洞可能来自网络设备在设计时的缺陷或控制软件在编码时产生的疏忽，也可能来自协议在交互处理过程中的设计缺陷或逻辑流程上的不合理之处。设备的缺陷、错误或不合理之处可能被有意或无意地利用，从而对一个设备的运行造成不利的影响，或者是对运行在网络设备之上的信息系统造成不利的影响，导致设备或上层的信息系统被攻击或控制，重要数据被窃取，用户数据被篡改，甚至作为入侵其他网络设备、主机系统或上层应用的跳板。
漏洞可能被恶意程序所利用，助力病毒传播，使得病毒的攻击更有针对性。病毒常见的传播方式有文件共享、网页、电子邮件等，欺骗受害者下载并打开病毒文件。由于反病毒软件和系统的存在，加上用户良好的安全意识，这些手段越来越难以得逞。但是如果病毒具有通过漏洞进行传播的能力，恰好用户系统没有针对病毒攻击的目标漏洞采取防护措施，则用户系统将可能在用户不做任何操作的情况下被病毒感染，而用户对于系统被感染的情况毫不知情。例如2017年5月爆发的WannaCry蠕虫式勒索病毒，正是利用美国国家安全局（National Security Agency,NSA）泄露的“EternalBlue”（永恒之蓝）工具的危险漏洞（漏洞编号：MS17-010）进行传播的。MS17-010是Windows操作系统中服务器消息块1.0（SMBv1）服务器的漏洞，允许远程代码执行，所使用的端口为445端口。WannaCry勒索病毒在全球范围大爆发，至少有150个国家、30万名用户受到影响，涉及金融、能源、医疗等众多行业，造成了严重的后果。
标准条款
3.4
敏感数据sensitive data
一旦泄露、非法提供或滥用可能危害网络安全的数据。
注：网络关键设备常见的敏感数据包括口令、密钥、关键配置信息等。
条b款解读
一、目的和意图
本条款给出网络关键设备中敏感数据的定义。
二、条款释义
广义的敏感数据是指泄漏后可能给社会或个人带来严重危害的数据，包括个人隐私数据，如姓名、身份证号码、住址、电话、银行账号、邮箱、密码、医疗信息、教育背景等；也包括企业或社会机构不适合公布的数据，如企业的经营情况、企业的网络结构、IP地址列表等。在本标准中，敏感数据限定为一旦泄露、非法提供或滥用可能危害网络安全的数据。在网络关键设备中，常见的敏感数据包括口令、密钥、关键配置信息，以及设备在运行中收集或产生的网络拓扑结构、路由表等。
随着大数据分析技术的发展和价值挖掘的深入，从看似安全的数据中还原用户的敏感信息、个人隐私信息已不再困难。世界各国对于个人信息、个人隐私数据的保护逐步加强，相关的法律法规已经制定或正在制定中。
我国于2016年11月7日通过《中华人民共和国网络安全法》，并于2017年6月1日正式实施，与个人信息安全相关的《中华人民共和国个人信息保护法（草案）》于2020年10月21日开始公开征求社会和公众的意见。
《网络安全法》在数据（包括个人信息）安全与保护上有诸多规定。《网络安全法》第四章“网络信息安全”的第四十条至第四十一条规定了网络营运者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度；网络营运者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。
《个人信息保护法（草案）》确立了个人信息处理应遵循的6条原则，包括：
① 处理个人信息应当采用合法、正当的方式；
② 具有明确、合理的目的；
③ 限于实现处理目的的最小范围；
④ 公开处理规则；
⑤ 保证信息准确；
⑥ 采取安全保护措施等。
并将上述“最小够用、公开必要、确保安全”原则贯穿于个人信息处理的全过程、各环节。
该法律草案从9个方面进行了规定，包括：
① 适用范围/域外适用效力；
② 敏感个人信息的概念与处理规则；
③ 数据本地化存储；
④ 数据跨境传输；
⑤ 处理个人数据的法定基础；
⑥ 数据主体的权利；
⑦ 数据处理者责任；
⑧ 数据保护的监管机构；
⑨ 违反数据保护法的处罚。
《个人信息保护法（草案）》明确给出了敏感个人信息的定义。个人信息指的是一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。该定义保持了与《信息安全技术 个人信息安全规范》的一致。该法律还强调了处理敏感个人信息的，应当取得个人的单独同意。
《个人信息保护法（草案）》在制定的过程中，在个人信息的生命全周期、个人信息主体权利，以及个人信息保护和合规义务等方面，参考和吸收了《民法典》《个人信息安全规范》《网络安全法》《电子商务法》《数据安全法（草案）》，以及其他与个人信息保护法规有关的内容。总体来说，《个人信息保护法（草案）》确立了“告知-同意”为核心的个人信息处理一系列规则，严格限制处理敏感个人信息，明确国家机关对个人信息的保护义务，全面加强了个人信息的法律保护。
2019年11月28日，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合印发《App违法违规收集使用个人信息行为认定方法》，该办法列出了违法违规收集使用个人信息的具体行为，例如“未公开收集使用规则”“未明示收集使用个人信息的目的、方式和范围”“未经用户同意收集使用个人信息”“未经同意向他人提供个人信息”“未按法律规定提供删除或更正个人信息功能”或“未公布投诉、举报方式等信息”等。
2018年6月，美国加州通过《加利福尼亚州消费者隐私法案》（California Consumer Privacy Act,CCPA），该法案于2020年1月1日生效，并于2020年7月1日起正式实施。CCPA出台的目的是在科技公司收集和使用数据时，赋予个人更多的信息和数据控制权。CCPA是美国第一个对消费者隐私保护最全面的法案。其所定义的“个人信息”与GDPR的“个人信息”大致相同；在个人信息定义部分，CCPA不仅围绕消费者个人，还特别引入了家人和家庭数据的概念。CCPA为加利福尼亚消费者的个人数据提供以下保护：
所有权：保护消费者有权告诉企业不要共享或出售个人信息的权利。
控制：提供消费者对收集到的有关他们的个人信息的控制权。
安全：要求企业负责保护个人信息。
欧盟《通用数据保护条例》（General Data Protection Regulation,GDPR），于2018年5月25日正式生效。GDPR规定了企业如何收集、使用和处理欧盟公民的个人数据。GDPR的特殊类别信息主要包括：种族或民族血统、政治观点、宗教或哲学信仰、工会会员资格、遗传数据、生物特征识别数据（用于唯一识别自然人）、健康、与犯罪定罪和犯罪有关的个人数据。GDPR不适用于匿名化处理的个人数据，但在处理某些“特殊”类别的个人数据时（例如种族或族裔，或与健康有关的个人数据）将受到更为严格的监管。GDPR定义了隐私保护的7项基本原则：许可（Consent）、反对（Objection）、访问（Access）、清除（Erasure）、移动性（Portability）、安全（Security）和信息泄露通知（Breach Notification）。需要注意的是，GDPR的法律效果延伸到欧盟之外，其规定适用于任何向欧盟消费者推销或销售产品的企业。
巴西第一部通用数据保护法（Le Geral deProteçãode Dados,LGPD）于2021年8月1日生效。LGPD的敏感信息主要包括：种族或民族血统、宗教信仰、政治见解、工会或宗教隶属关系、哲学或政治组织成员资格、健康、与自然人有关的遗传或生物统计数据。
2020年1月9日，韩国国会通过了《个人信息保护法》（Personal Information Protection Action,PIPA）。PIPA中的敏感信息主要包括：意识形态、信仰、工会或政党成员、政治观点、健康、遗传信息、犯罪记录，以及通过某些技术手段生成的，可以用来识别个人或种族的，有关个人身体、生理和行为特征的信息。需要注意的是，韩国PIPA把意识形态列入敏感信息范围。
日本最早于2005年通过《个人信息保护法》（Act on the Protection of Personal Information,APPI），并于2020年3月10日批准了《个人信息保护法》修正案。日本《个人信息保护法》旨在保护公民的个人数据免遭泄露、丢失或损坏，监督处理数据的员工和托管数据的第三方。APPI中的敏感信息主要包括：种族、信仰、宗教，身体或精神疾病医疗记录、医学和药物治疗记录，与逮捕、拘留或刑事诉讼等有关的个人信息（无论是成人或青少年）。日本特别强调了精神上的疾病以及医疗记录、药物记录属于敏感信息，但没有把政治见解作为敏感信息纳入法案。
新加坡的《个人数据保护法》（Personal Data Protection Act,PDPA）于2012年首次发布，并于2014年7月2日开始生效。PDPA的修正案于2020年11月2日生效。PDPA没有明确给出敏感信息的范围，但从过去监管机构的决定中可以把以下种类的个人信息视作敏感个人信息，主要包括：医疗数据、财务数据、破产状况、儿童的个人信息、个人识别符。
标准条款
3.5
健壮性robustness
描述网络关键设备或部件在无效数据输入或者在高强度输入等环境下，其各项功能可保持正确运行的程度。
[来源：GB/T 28457-2012,3.8，有修改]
条款解读
一、目的和意图
本条款给出网络关键设备或部件健壮性的定义。
二、条款释义
在GB/T 28457-2012中，对于健壮性的定义为：健壮性是描述一个系统或者一个组件在无效数据输入或者在高强度输入等环境下，其各项功能可保持正确运行的程度。在本条款中，将系统或组件明确为网络关键设备或部件。
健壮性又称鲁棒性，是衡量系统、设备或组件收到规范要求以外的输入时的处理能力。所谓健壮的系统，就是对于规范要求以外的输入能够判断出这个输入不符合规范要求，并能提供合理的处理方式，反映了系统在异常和危险情况下的生存能力。比如，网络关键设备路由器的路由协议在输入长度超长的路由更新报文、非IPv4/IPv6格式的路由报文、网络过载或故意攻击情况下，协议能否不重启、能否正常交互信息，体现的就是该协议软件的健壮性。
通过设计不同类型的输入来检测设备或者组件的健壮性是一个通常的测试思路。考虑到软硬件的错误更可能出现在输入变量的极限值附近。因此，在健壮性测试中，对某一个输入变量，测试所采用的输入应包括7种情况：最小值、略小于最小值的值、略高于最小值的值、正常值、最大值、略高于最大值的值、略低于最大值的值。如果输入中包括多个变量，则还需要测试组合各个变量测试值的情况下设备软硬件的健壮性。由此也可以看出，输入变量越多的软件或系统，测试的复杂度越高。
此外，软件或系统的健壮性还需要考虑到该软件或系统的可移植性。可移植性好的软件可以适配于不同的操作系统，这可以理解为更高层面的健壮性设计。
标准条款
3.6
私有协议private protocol
专用的、非通用的协议。
条款解读
一、目的和意图
本条款给出网络关键设备中私有协议的定义。
二、条款释义
私有协议也称非标准协议，是未经国际、国家、行业、团体等标准化组织采纳或批准，为某个企业自己制定，协议实现细节不公开，只在企业自己生产的设备之间使用的协议。私有协议本质上是厂商内部使用的标准，除非授权，否则其他厂商一般无权使用该协议。
现代通信网络是一个复杂的大系统，由众多的设备通过复杂的流程才能实现端到端的通信功能。互联互通是通信网络的基本要求。为了实现互联互通，各种设备必须遵循共同的规范和约定，这就是通信标准或协议。因此公开的标准、协议对通信网络互联互通的实现极为重要。ITU和3GPP负责相关的通信标准的制定。但与传统的通信网有所不同，互联网是一个新生事物，发展迅速，一开始只有少数企业提供网络设备，但由于标准的制定也需要一定时间，标准相对于产品有一定的滞后性，因而出现了没有合适的标准可遵循的局面，在相当长的时间里，设备产品提供者的“私有协议”就成了互联网上的实施标准。
标准条款
3.7
网络关键设备critical network device
支持联网功能，在同类网络设备中具有较高性能的设备，通常应用于重要网络节点、重要部位或重要系统中，一旦遭到破坏，可能引发重大网络安全风险。
注：具有较高性能是指设备的性能指标或规格符合《网络关键设备和网络安全专用产品目录》中规定的范围。
条款解读
一、目的和意图
本条款给出网络关键设备的定义。
二、条款释义
在《网络安全法》中，对于网络关键设备没有给出明确的定义。在实际的操作中，采用白名单的方式进行管理，即采用目录的方式发布哪些网络设备属于网络关键设备。网络关键设备第一批目录见第2章表2-1。
在本标准的制定过程中，考虑到网络关键设备的目录可能扩展，但标准的修订需要一段较长的时间，因此，在标准中对于网络关键设备给出了一个定义，从设备的应用场合和设备遭到破坏后所面临的网络安全风险两个方面来定义网络关键设备，以便于标准具有一定的后向适用性。对于网络关键设备的定义，涉及4个要点，分别是联网功能、较高性能、应用于重要网络场合、遭到破坏会带来重大网络安全风险。满足以上4个要求的网络设备可以列入网络关键设备的目录。
标准条款
3.8
异常报文abnormal packet
各种不符合标准要求的报文。
条款解读
一、目的和意图
本条款给出网络关键设备在实际使用过程中可能收到的与标准定义不符合的异常报文的定义。
二、条款释义
在网络关键设备所使用到的协议中，通常会对报文的格式给出明确的定义，规定报文由哪些字段构成、各个字段的含义是什么、如何发送报文、对于接收到的报文如何处理等。
但在网络设备的实际运行环境中，报文在传送的过程中可能遭到损坏，也可能被攻击者恶意篡改，以便他们发动攻击。具体来说，异常的报文可能是以下几种。
（1）报文的大小与标准的定义不符。在标准中，通常会给出报文的最小的长度和最大的长度，以便在具体编码实现的时候，可以为报文分配特定长度的内存空间。小于或大于标准长度的报文即为异常的报文。
（2）在报文长度正常的情况下，结构定义不符合标准要求的报文也是异常报文。例如在协议中版本号字段采用的是4bit的空间，如果将该字段修改为8bit，则此报文也是异常报文。
（3）在字段长度符合标准的情况下，所填充的值与标准规定的不一致，或者不在标准规定的值范围内的报文，也是异常报文。例如某字段可以填充的值是1～3，则如果填充的值为0或者大于3的报文即为异常报文。
报文中各字段值的组合异常，与标准规定的不符，此类报文也是异常的报文。例如TCP报文标志位包括URG、ACK、PSH、RST、SYN、FIN 6位，攻击者通过发送非法TCP标志位组合的报文，对主机造成危害。TCP报文异常的组合包括：
6个标志位全为1。
6个标志位全为0。
SYN和FIN位同时为1。
SYN和RST位同时为1。
FIN和RST位同时为1。
PSH、FIN和URG位同时为1。
仅FIN位为1。
仅URG位为1。
仅PSH位为1。
SYN/RST/FIN标记位为1的分片报文。
带有载荷的SYN、SYN-ACK报文。
标准条款
3.9
用户user
对网络关键设备进行配置、监控、维护等操作的使用者。
条款解读
一、目的和意图
本条款给出网络关键设备用户的定义。
二、条款释义
就设备而言，对于用户的理解可以从两个角度考虑。对设备进行配置、监控、维护等操作的使用者可以称为用户，利用设备收集、传输、存储、处理信息的使用者也可以称为用户。在本条款中，用户指的是对设备进行配置、监控、维护等操作的使用者，例如网络的管理员、配置人员或者网络设备日志信息的审计人员。
用户可以通过分配的账号和设定的口令向网络关键设备进行身份鉴别，并获取相关授权。
标准条款
3.10
预装软件pre-installed software
设备出厂时安装或提供的、保障设备正常使用必需的软件。
注：不同类型设备的预装软件存在差异。路由器、交换机的预装软件通常包括引导固件、系统软件等，服务器的预装软件通常包括带外管理软件等。
条款解读
一、目的和意图
本条款给出网络关键设备中出厂时安装或提供的软件的定义。
二、条款释义
预装软件是为了保证设备的基本功能和正常的使用，在提交给用户之前必须安装在设备上的软件，或者随设备提供给用户，在使用之前必须安装的软件。预装软件主要包括三大类。
（1）操作系统基本组件，如系统内核应用、虚拟机应用、网络浏览引擎等。
（2）保证网络设备硬件正常运行的驱动程序，如网络接口驱动、时钟接口驱动、串行接口驱动等。
（3）基本管理应用：如TFTP、Telnet等。
关于预装软件的规定，最早出现在智能终端方面。2016年12月16日，工业和信息化部印发《移动智能终端应用软件预置和分发管理暂行规定》。该暂行规定规范了移动智能终端生产企业（以下简称生产企业）的移动智能终端应用软件预置行为，以及互联网信息服务提供者提供的移动智能终端应用软件分发服务，要求生产企业应在终端产品说明书中提供预置软件列表信息，并在终端产品说明书或外包装中标示预置软件详细信息的查询方法。该暂行规定提出了智能终端的软件分为基本功能软件和其他的软件，并要求除基本功能以外的移动智能终端应用软件可卸载。该暂行规定还明确了移动智能终端预置应用软件的定义，是指由生产企业自行或与互联网信息服务提供者合作在移动智能终端出厂前安装的应用软件。从该定义可以看出，智能终端的预置软件包括两个部分，即基本功能软件和生产企业认为其他有必要的软件。从智能终端关于预置软件的描述来看，网络关键设备中的预装软件与智能终端中的基本功能软件定位类同。
相对于智能终端设备允许用户在后期自行安装其他应用软件的开放性，网络关键设备出于安全性的考虑，通常不允许最终用户自行安装应用软件。