天融信网络卫士入侵检测系统IDS产品白皮书

《天融信网络卫士入侵检测系统IDS产品白皮书》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、天融信产品白皮书网络卫士入侵检测系统TopSentry系列网络卫士入侵检测TopSentry天融信网络卫士入侵检测系统TopSentry经过多年的技术积累与创新，已成为天融信既防火墙和VPN之后的又一主力产品线。据权威数据机构统计，网络卫士入侵检测系统国内市场占有率近两年来一直处于领先地位。用户已覆盖能源、金融、烟草、电信等多个行业，并得到良好赞誉。网络卫士入侵检测系统TopSentry采用多重检测、多层加速等多项天融信专有安全技术，更出色的降低了IDS产品的误报率、漏报率，有效提高了IDS的分析能力，使达到线速包捕获率成为可能。天融信IDS研发团队通过加强对蠕虫攻击以及隐含在加密

2、数据流中攻击的检测能力，极大地突破了目前IDS产品普遍存在的瓶颈问题。多重检测技术综合使用误用检测、异常检测、智能协议分析、会话状态分析、实时关联检测等多种入侵检测技术，保证IDS检测准确性，极大地降低了漏报率与误报率。◆误用检测（MisuseDetection）：指运用已知攻击方法，根据已定义好的入侵模式，通过判断这些入侵模式是否出现来检测。因为很大一部分的入侵是利用了系统的脆弱性，通过分析入侵过程的特征、条件、排列以及事件间关系能具体描述入侵行为的迹象。◆异常检测(AnomalyDetection)：指根据使用者的行为或资源使用状况来判断是否入侵，而不依赖于具体行为是否出现来检

3、测。◆智能协议分析技术：天融信的智能协议分析技术充分利用了网络协议的高度有序性，使用这些知识快速检测某个攻击特征的存在。与非智能化的模式匹配相比，协议分析减少了误报的可能性。与模式匹配系统中传统的穷举分析方法相比，在处理数据包和会话时更迅速、有效。◆会话检测技术：按照客户-服务器间的通信内容，把数据包重组为连续的会话流，在此基础上进行检测分析。而基于数据包的入侵检测技术只对每个数据包进行检查。与基于数据包的入侵检测技术相比，准确率高。◆实时关联检测技术：通过天融信TSM系统将网络卫士IDS的报警事件同其他事件进行实时关联分析，进一步提高检测准确性。多层加速技术◆专用的高速硬件平台◆

4、底层抓包加速引擎◆双网卡分流重组技术◆增强直接用户空间访问（EDUA）技术◆多线程分散式重组引擎◆高效的流定位及状态型的协议分析技术◆无缝集成的优化智能模式匹配算法强大的蠕虫病毒检测能力实时跟踪当前最新的蠕虫事件，针对当前已经发现的蠕虫攻击及时提供相关事件规则；对于存在系统漏洞但尚未发现相关蠕虫事件的情况，通过分析漏洞来提供相关的入侵事件规则，最大限度地解决蠕虫发现滞后的问题。网络卫士入侵检测系统内置600条以上的蠕虫检测规则。SSL加密访问检测技术通过解码基于SSL加密的访问数据，分析、检测SSL加密访问中的攻击行为，从而可以保护内部提供SSL加密访问的重要服务器的安全性。强大的

5、报文回放能力能够完整记录多种应用协议（HTTP、FTP、SMTP、POP3、TELNET等）的内容，并按照相应的协议格式进行回放，清楚再现入侵者的攻击过程，重现内部网络资源滥用时泄漏的保密信息内容。安全功能内置3000多种入侵检测规则，细粒度检测各种入侵攻击企图支持SSL加密访问数据的检测，有效保护重要服务器的安全性针对特定服务器或特定用户的网络入侵阻断支持多种灵活的响应方式提供强大的病毒、蠕虫及可疑事件（SNA）检测能力可通过TOPSEC或OPSEC等协议与第三方防火墙联动支持与Cisco路由器联动支持与天融信安全审计系统（TA）、天融信安全管理系统（TSM）联动内置强大、灵活的

6、协议解码器，提供灵活的策略编辑方式支持用户自定义各种入侵检测规则多层分级部署、管理详尽的入侵检测日志功能提供入侵事件库的及时更新监控功能实时会话监控实时系统监控协议还原与内容监控报表与统计基于各种协议的流量统计基于访问端、服务端的流量统计网络流量统计报表丰富的入侵事件报表针对当前系统设置的详细分析报表用户自定义报表增强安全性增强的安全性：系统提供了采集入侵相关信息、发出入侵警报以及限制网络访问等功能，保护服务器免受外部和内部的攻击增强的自身安全性：采用stealth技术，有效地防止暴露入侵检测系统与控制台引擎间的通讯采用SSL加密认证，从而有效地保护了入侵检测系统自身的安全性管理功

7、能简单、实用的图形化用户界面全中文的串口管理功能强大的在线帮助功能便捷的升级功能分布式探测与集中式管理相结合基本的典型应用对于一般中小型企业的网络部署，TopSentry的监听口可通过端口镜象来同时监控内网和DMZ区的入侵，起到入侵检测的作用。部署如下图：双网卡分流重组技术在实际网络环境中的应用在高速的千兆网络环境中，用户需要监听的流量信息可能多于1000M（源自交换机的双向镜像），传统IDS产品采用单网卡单独工作的方式，大于千兆的网络数据就会被IDS监听网卡所丢失。