H3C IPS防病毒技术白皮书
应用层威胁和深度安全保护白皮书--H3C
应用层威胁和深度安全保护1.应用层威胁介绍2000年以前，当我们谈及网络安全的时候，还主要指防火墙，因为那时候的安全还主要以网络层的访问控制为主。
的确，防火墙就像一个防盗门，给了我们基本的安全防护。
但是，就像今天最好的防盗门也不能阻止“禽流感”病毒传播一样，防火墙也不能阻挡今天的网络威胁的传播。
今天的网络安全现状和2000年以前相比，已经发生了很大的改变，我们已经进入了一个“应用层威胁”泛滥的时代。
今天，各种蠕虫、间谍软件、网络钓鱼等应用层威胁和EMAIL、移动代码结合，形成复合型威胁，使威胁更加危险和难以抵御。
这些威胁直接攻击企业核心服务器和应用，给企业带来了重大损失；攻击终端用户计算机，给用户带来信息风险甚至财产损失；对网络基础设施进行DoS/DDoS攻击，造成基础设施的瘫痪；更有甚者，像电驴、BT等P2P应用和MSN、QQ等即时通信软件的普及，企业宝贵带宽资源被业务无关流量浪费，形成巨大的资源损失。
面对这些问题，传统解决方案最大的问题是，防火墙工作在TCP/IP 3～4层上，根本就“看”不到这些威胁的存在，而IDS作为一个旁路设备，对这些威胁又“看而不阻”，因此我们需要一个全新的安全解决方案。
在解决问题之前，我们需要先了解一下应用层威胁的形式和原理。
所谓应用层威胁，主要包括下面几种形式：应用层安全威胁蠕虫/病毒Do S/DDoS间谍软件网络钓鱼带宽滥用垃圾邮件图1、应用层威胁因为篇幅的限制，在本文中我们重点介绍一下蠕虫、间谍软件、带宽滥用这三个典型的应用层威胁。
1.1. 蠕虫蠕虫的定义是指“通过计算机网络进行自我复制的恶意程序，泛滥时可以导致网络阻塞和瘫痪”。
从本质上讲，蠕虫和病毒的最大的区别在于蠕虫是通过网络进行主动传播的，而病毒需要人的手工干预（如各种外部存储介质的读写）。
但是时至今日，蠕虫往往和病毒、木马和DDoS 等各种威胁结合起来，形成混合型蠕虫。
蠕虫有多种形式，包括系统漏洞型蠕虫、群发邮件型蠕虫、共享型蠕虫、寄生型蠕虫和混和型蠕虫。
联想网御IPS产品白皮书
联想网御IPS入侵防护系统产品白皮书V2.0联想网御科技（）信息©所有 2001－2007，联想网御科技()本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等容，除另有特别注明，均属联想网御科技()所有，受国家有关产权及法保护。
如何个人、机构未经联想网御科技()的书面授权许可，不得以任何方式复制或引用本文档的任何片段。
商标信息联想网御，Legend，Lenovo，leadsec等标识及其组合是联想网御科技()拥有的商标，受商标法和有关国际公约的保护。
第三方信息本文档中所涉及到的产品名称和商标，属于各自公司或组织所有。
联想网御科技（）Lenovo Security Technologies Inc.市海淀区中关村南大街6号中电信息大厦8层 1000868/F Zhongdian Information Tower No.6 Zhongguancun South Street,Haidian District, Beijing(TEL)：9传真(FAX)：8技术热线(Customer Hotline)：6电子信箱(E-mail)：infoseclenovo.公司：目录1、序言 (4)2、联想网御解决方案－IPS入侵防护系统 (7)4、联想网御IPS入侵防护系统系列产品介绍 (7)4.1简介 (7)4.2系统架构 (8)4.3工作模式 (9)5、联想网御IPS入侵防护系统产品特点 (9)5.1联想网御IPS入侵防护系统专用操作系统的特点和优点 (10)5.2联想网御IPS入侵防护系统容处理硬件体系结构 (13)5.2.1硬件体系结构简介 (13)5.2.2容处理加速引擎 (15)5.2.3在联想网御IPS入侵防护系统结构中的高可靠性 (16)5.3结论 (17)6、联想网御IPS入侵防护系统主要功能 (17)6.1 动态入侵防护/保护 (17)6.2防病毒 (20)6.3高可靠性（HA） (20)6.4管理功能 (21)1、序言近几年来，随着信息化建设的飞速发展，信息安全的容也越来越广泛，用户对安全设备和安全产品的要求也越来越高。
H3C SecCenter 解决方案技术白皮书 V1.1
SecCenter解决方案技术白皮书Hangzhou H3C Technology Co., Ltd.杭州华三通信技术有限公司All rights reserved版权所有侵权必究目录1 商业用户网络对于安全管理的需求 (5)2 安全管理技术方案比较 (6)3 H3C安全管理中心解决方案 (7)3.1 安全管理中心基本思路 (7)3.2 解决方案特点 (8)3.3 典型组网图 (9)4 系统主要技术特性分析 (10)4.1 不同种类的安全设备支持 (10)4.2 企业安全分析 (11)4.3 网络架构 (12)4.4 安全拓扑和可视化威胁 (12)4.5 监控&事件关联 (13)4.6 安全管理报告 (15)4.7 可升级日志管理 (15)4.8 搜索分析 (15)5 总结和展望 (16)6 参考文献 (16)7 附录 (16)Figure List 图目录图1 典型组网图 (10)图2 安全管理添加到网络和应用管理 (11)图3 SecCenter支持单独配置和分布式配置 (12)图4 基于拓扑的实时威胁可视化下拉菜单 (13)图5 监控仪表盘展示了一个实时的全部安全状态的一部分 (14)SecCenter解决方案技术白皮书关键词：SecCenter、安全管理、事件、日志、搜索摘要：本文档对于SecCenter安全管理中心的解决方案进行了介绍。
描述了用户对于安全管理中心的需求，各种方案的比较。
介绍了H3C推出解决方案的技术特点、组网图、主要技术分析等。
缩略语清单：1 商业用户网络对于安全管理的需求一个公司只是注重在物理上对网络安全的投资是远远不够的，即使安全防范再严密的网络，也会有可能有破坏性漏洞的产生。
据估计在世界范围内由攻击造成的经济损失已经由1997 年的33 亿美元上升到2003 年的120亿美元。
这个数字还在快速上升。
另外，为了满足政府规范要求，需要执行安全审计流程。
如果不能满足政府的规范要求，除了有可能被高额的罚款以外，还有可能触犯法律，面临刑事诉讼。
WLAN安全技术白皮书（V1.00）-技术白皮书-产品技术-H3C
WLAN安全技术白皮书（V1.00）-技术白皮书-产品技术-H3CWLAN安全技术白皮书(V1.00)WLAN安全技术白皮书关键词：WLAN、Station、SSID、PSK、EAP、AP。
摘要：现在WLAN应用已经非常普遍，在很多场所被部署，例如公司、校园、工厂、咖啡厅等等。
本文介绍了H3C WLAN解决方案能够提供的多种无线安全技术。
缩略语：目录1 H3C WLAN分层安全体系简介2 物理层安全3 用户接入安全3.2 802.1x接入认证3.3 PSK接入认证3.4 MAC接入认证3.5 EAP终结和本地认证4 网络安全4.1 端点准入防御4.2 无线入侵检测系统4.3 安全策略统一部署4.4 无线控制器和AP间下行流量限速4.5 IPSEC VPN5 设备安全6 安全管理1 H3C WLAN分层安全体系简介H3C公司的WLAN安全解决方案在遵循IEEE 802.11i协议和国家WAPI标准的基础上，创新性的提出了分层的安全体系架构，将WLAN的安全从单一的物理层安全延伸到了物理层安全、用户接入安全、网络层安全、设备安全、安全管理多个层面上，使用户在使用WLAN网络时能够像使用有线网络一样安全、可靠。
2 物理层安全为了保证物理层的通信安全H3C公司的无线产品支持以下的加密机制：(1) WEP加密：该种加密方式在IEEE802.11协议中定义。
WEP加密机制需要WLAN设备端以及所有接入到该WLAN网络的客户端配置相同的密钥。
WEP加密机制采用RC4算法（一种流加密算法），最初WLAN仅支持WEP40（WEP40算法的密钥长度仅为64bits），当前WLAN还可以支持WEP104（WEP104算法的密钥长度仅为128bits）。
(2) TKIP加密：该加密方式主要在WPA相关协议中定义。
TKIP加密机制除了提供数据的加密处理，还提供了MIC和Countermeasure功能实现对WLAN服务的安全保护。
H3C云安全服务技术白皮书-V1.0
H3C云安全服务技术白皮书Copyright © 2016 杭州H3C技术有限公司版权所有，保留一切权利。
非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。
本文档中的信息可能变动，恕不另行通知。
目录1 概述 (1)2 云安全架构与模型 (1)2.1 云数据中心安全访问控制需求 (1)2.2 云安全总体架构 (2)2.3 基于租户的安全隔离 (3)2.4 安全架构的两种模型 (4)3 嵌入式安全 (5)3.1 安全组ACL功能 (5)3.2 分布式状态防火墙功能 (6)4 云服务链 (6)5 基于SDN和服务链的云安全组网方案 (8)5.1 VSR做网关的服务链方案 (8)5.2 物理交换机做网关的服务链方案 (9)5.3 服务链和第三方安全设备对接 (10)5.4 服务链支持东西向和南北向安全的总结 (12)6 安全资源池化 (12)6.1 网络服务资源虚拟化和池化 (12)6.2 多资源池支持 (14)6.3 安全资源池之大规模租户技术 (15)6.3.1 硬件资源池支持大规模租户 (15)6.3.2 软件资源池支持大规模租户 (16)6.4 云安全微分段服务 (17)6.5 安全资源池之高可靠性技术 (17)7 多层次安全防护体系 (18)7.1 异构设备组成的统一安全资源池 (18)7.2 多层次的安全体系 (19)8 安全功能通过云服务部署 (19)9 H3C云安全优势总结 (21)1 概述云计算技术的发展，带来了新一轮的IT技术变革，但同时也给网络与业务带来巨大的挑战。
网络服务模式已经从传统的面向连接转向面向应用，传统的安全部署模式在管理性、伸缩性、业务快速升级等方面已经无法跟上步伐，需要考虑建设灵活可靠，自动化快速部署和资源弹性可扩展的新安全防护体系。
同时，按照云计算等保规范《信息系统安全等级保护第二分册云计算安全要求》草案7.1.2网络安全章节的描述，对云网络安全也有下述要求：•保证云平台管理流量与云租户业务流量分离；•根据云租户的业务需求自定义安全访问路径；•在虚拟网络边界部署访问控制设备，并设置访问控制规则；•依据安全策略控制虚拟机间的访问。
防火墙攻击防范技术白皮书
防火墙攻击防范技术白皮书关键词：攻击防范，拒绝服务摘要：本文主要分析了常见的网络攻击行为和对应的防范措施，并且介绍了H3C防火墙攻击防范的主要特色和典型组网应用。
缩略语：缩略语英文全名中文解释Zone 非军事区DMZ De-MilitarizedDDoS Distributed Denial of Service 分布式拒绝服务DoS Denial of Service 拒绝服务目录1 概述 (3)1.1 产生背景 (3)1.2 技术优点 (4)2 攻击防范技术实现 (4)2.1 ICMP重定向攻击 (4)2.2 ICMP不可达攻击 (4)2.3 地址扫描攻击 (5)2.4 端口扫描攻击 (5)2.5 IP源站选路选项攻击 (6)2.6 路由记录选项攻击 (6)2.7 Tracert探测 (7)2.8 Land攻击 (7)2.9 Smurf攻击 (8)2.10 Fraggle攻击 (8)2.11 WinNuke攻击 (8)2.12 SYN Flood攻击 (9)2.13 ICMP Flood攻击 (9)2.14 UDP Flood攻击 (10)3 H3C实现的技术特色 (10)4 典型组网应用 (11)4.1 SYN Flood攻击防范组网应用 (11)1 概述攻击防范功能是防火墙的重要特性之一，通过分析报文的内容特征和行为特征判断报文是否具有攻击特性，并且对攻击行为采取措施以保护网络主机或者网络设备。
防火墙的攻击防范功能能够检测拒绝服务型（Denial of Service，DoS）、扫描窥探型、畸形报文型等多种类型的攻击，并对攻击采取合理的防范措施。
攻击防范的具体功能包括黑名单过滤、报文攻击特征识别、流量异常检测和入侵检测统计。
1.1 产生背景随着网络技术的普及，网络攻击行为出现得越来越频繁。
另外，由于网络应用的多样性和复杂性，使得各种网络病毒泛滥，更加剧了网络被攻击的危险。
目前，Internet上常见的网络安全威胁分为以下三类：z DoS攻击DoS攻击是使用大量的数据包攻击目标系统，使目标系统无法接受正常用户的请求，或者使目标主机挂起不能正常工作。
H3C入侵防御系统特性
H3C IPSH3C SecPath IPS（Intrusion Prevention System）集成入侵防御与检测、病毒过滤、带宽管理和URL过滤等功能，是业界综合防护技术最领先的入侵防御/检测系统。
通过深入到7层的分析与检测，实时阻断网络流量中隐藏的病毒、蠕虫、木马、间谍软件、DDoS等攻击和恶意行为，并对分布在网络中的各种P2P、IM 等非关键业务进行有效管理，实现对网络应用、网络基础设施和网络性能的全面保护。
产品综述高性能高可靠性领先的多核架构及分布式搜索引擎，确保SecPath IPS在各种大流量、复杂应用的环境下，仍能具备线速深度检测和防护能力，仅有微秒级时延。
通过掉电保护（PFC）、二层回退、双机热备等高可靠性设计，保证IPS在断电、软硬件故障或链路故障的情况下，网络链路仍然畅通，保证用户业务的不间断正常运行。
便捷的管理方式支持本地和分布式管理。
在单台或小规模部署时，通过IPS内置的Web界面进行图形化管理；在大规模部署时，可通过H3C 安全管理中心SecCenter对分布部署的IPS进行统一监控、分析与策略管理。
灵活的组网模式透明模式，即插即用，支持在线或IDS旁路方式部署；融合了丰富的网络特性，可在MPLS、802.1Q、QinQ、GRE等各种复杂的网络环境中灵活组网。
网络基础设施保护SecPath IPS具有强大的DDoS攻击防护和流量模型自学习能力，当DDoS攻击发生、或者短时间内大规模爆发的病毒导致网络流量激增时，能自动发现并阻断攻击和异常流量，以保护路由器、交换机、VoIP系统、DNS服务器等网络基础设施免遭各种恶意攻击，保证关键业务的通畅。
精细化流量管理SecPath IPS能精确识别P2P/IM、炒股软件、网络多媒体、网络游戏等应用，并能按时段、用户（组）、Session、应用等进行限流或阻断，限流粒度可以精确到8Kbps。
通过精细化带宽管理，帮助用户遏制非关键应用抢夺宝贵的带宽和IT 资源，从而确保网络资源的合理配置和关键业务的服务质量，显著提高网络的整体性能。
(完整word版)H3C大数据产品技术白皮书
H3C大数据产品技术白皮书杭州华三通信技术有限公司2020年4月1 H3C大数据产品介绍 (1)1.1 产品简介 (1)1.2 产品架构 (1)1.2.1 数据处理 (2)1.2.2 数据分层 (3)1.3 产品技术特点 (4)先进的混合计算架构 (4)高性价比的分布式集群 (4)云化ETL (4)数据分层和分级存储 (5)数据分析挖掘 (5)数据服务接口 (5)可视化运维管理 (5)1.4 产品功能简介 (6)管理平面功能： (7)业务平面功能： (8)2 DataEngine HDP 核心技术 (9)3 DataEngine MPP Cluster 核心技术 (9)3.1 MPP + SharedNothing 架构 (9)3.2 核心组件 (10)3.3 高可用 (11)3.4 高性能扩展能力 (11)3.5 高性能数据加载 (12)3.6 OLAP 函数 (13)3.7 行列混合存储 (13)1 H3C大数据产品介绍1.1 产品简介H3C大数据平台采用开源社区Apache Hadoop2.0和MPP分布式数据库混合计算框架为用户提供一套完整的大数据平台解决方案，具备高性能、高可用、高扩展特性，可以为超大规模数据管理提供高性价比的通用计算存储能力。
H3C大数据平台提供数据采集转换、计算存储、分析挖掘、共享交换以及可视化等全系列功能，并广泛地用于支撑各类数据仓库系统、BI系统和决策支持系统帮助用户构建海量数据处理系统，发现数据的内在价值。
1.2 产品架构第一部分是运维管理，包括：安装部署、配置管理、主机管理、用户管HSCZEFKfl上連平frKB笹堆芒12i』」Rt巽^jpRctiuce Spjrk siremCRM SGM生产记〒曲.M-噸Hadaap2.0■1 j jET辛SEmifiKettleH3C大数据平台包含4个部分:理、服务管理、监控告警和安全管理等。
第二部分是数据ETL,即获取、转换、加载，包括：关系数据库连接Sqoop、日志采集Flume、ETL工具Kettle 。
H3CIPS技术白皮书讲解
H3C IPS技术白皮书杭州华三通信技术有限公司目录1.概述 (4)1.1.相关术语 (4)1.1.1.段(segment) (4)1.2.网络安全现状 (4)1.3.基于网络的攻击与检测技术 (6)2.威胁的识别 (6)2.1.基于滥用误用的带宽管理技术 (6)2.2.在应用中识别入侵威胁 (8)2.3.协议异常检测 (8)2.4.拒绝服务检测技术 (9)2.5.基于流状态特征检测技术 (11)3.安全响应 (11)3.1.允许 (11)3.2.阻断 (11)3.3.通知 (12)3.4.流量控制 (12)4.IPS 安全策略 (12)5.安全更新 (13)6.安全审计 (13)6.1.日志内容 (13)6.1.1.操作日志 (13)6.1.2.系统日志 (14)6.1.3.攻击日志 (14)6.2.日志的查询 (14)6.3.日志的输出 (14)7.典型组网案例 (14)7.1.企业出口部署 (14)7.2.保护IDC (15)7.3.旁路模式部署 (16)8.总结和展望 (16)1. 概述1.1. 相关术语1.1.1. 段(segment)段是一个物理组网下对经过IPS设备数据的一个逻辑划分，通常是一对或者多对接口，或者包含VLAN ID的接口数据流。
IPS相关的业务都基于Segment进行配置。
1.2. 网络安全现状融入全球化的Internet是企业网络发展的必然趋势，每个企业的Intranet都会有许多与外部连接的链路，如通过专线连入Internet，提供远程接入服务供业务伙伴和出差员工访问等，企业网络边界的淡化，使得企业所面临的威胁的增多了，只要一个访问入口防护不完整，则“黑客”将可以入侵企业，获取或者破坏数据。
随着全球化网络步伐的加快，威胁的涌现和传播速度也越来越快，如著名的SQL Slammer，在爆发时，每8.5秒感染范围就扩展一倍，在10分钟内感染了全球90％有漏洞的机器；威胁和应用也越来越息息相关，如下图体现了这个趋势：图1-1 威胁与应用息息相关同时随着网络越来越普及，攻击工具也越来越成熟、自动化程度变高以及趋于平民化，使用者无需了解太多的知识就可以完成一次攻击，如下图显示了这个趋势：图1-2 攻击正变的越来越简单目前Internet面临的安全威胁从方法上有如下几种：►漏洞利用，比如针对软件操作系统对内存操作的缺陷，采用缓冲区溢出方法，以获得高操作权限运行攻击代码；如著名的微软MS05-047 Windows UMPNPMGR wsprintfW 栈溢出漏洞（即Windows即插即用服务的缓存区存在的溢出漏洞）；►欺骗攻击，如IP地址欺骗等，其利用TCP/IP协议建立的未认证连接的缺陷进行源IP地址的伪造，从而达到访问关键信息的目的；►蠕虫/病毒，蠕虫/病毒是目前网络上最为常见的威胁，其具有传播快覆盖广的特点，如红色代码病毒(Code Red)，曾经在12小时之内，覆盖全部的Internet网络，给全球带来了极大的危害；通常蠕虫/病毒通过利用现有系统软件的一些漏洞，从而达到传播的目的；►木马，通常在系统中会秘密打开一个访问程序，以绕过系统的安全策略，从而达到获取信息的目的；►拒绝服务攻击，通常称之为DoS/DDoS，其通过单台或者多台设备作为攻击的发起者，对一个特定的目标进行DoS攻击，占用大量目标机的资源，让目标机无法为外界提供服务，从而达到破坏的目的。
网络入侵防御IPS解决方案白皮书
网络入侵防御IPS解决方案白皮书启明星辰目录入侵防御IPS天清入侵防御系统•需求分析•产品简介•功能特点•技术优势•典型应用•用户价值需求分析入侵攻击的检测及防御，是用户保障信息系统安全的核心需求之一，然而，有限的安全预算下如何防御日益更新的多样化攻击，对用户来说是个艰巨的挑战。
入侵防御（IPS）正是解决该问题的最佳解决方案：在线部署的入侵防御系统不但能发现攻击，而且能自动化、实时的执行防御策略，有效保障信息系统安全。
由此可见，对于入侵攻击识别的准确性、及时性、全面性以及高效性，是优秀入侵防御产品必备条件。
产品简介产品简介天清入侵防御系统（Intrusion Prevention System，以下简称“天清NGIPS”）是启明星辰自主研发的网络型入侵防御产品，围绕深层防御、精确阻断的核心理念，通过对网络流量的深层次分析，可及时准确发现各类入侵攻击行为，并执行实时精确阻断，主动而高效的保护用户网络安全。
天清入侵防御系统融合了启明星辰在攻防技术领域的先进技术及研究成果，使其在精确阻断方面达到国际领先水平，可以对漏洞攻击、蠕虫病毒、间谍软件、木马后门、溢出攻击、数据库攻击、高级威胁攻击、暴力破解等多种深层攻击行为进行防御，有效弥补网络层防护产品深层防御效果的不足。
技术优势•方便的集中管理功能多设备统一管理、升级、监控并生成报表，省时省力•保障业务的高可靠性软硬件BYPASS、HA优先保障业务畅通•完善的应用控制能力支持上千种应用识别能力，防止网络资源滥用•全面的内容过滤功能实时监控敏感信息通过邮件、Web外发•双引擎高效病毒防护内置知名第三方防病毒引擎，高效查杀•领先的威胁防御能力ADlab和VenusEye两大团队保障，及时应对最新攻击和高级威胁•采用高性能专用硬件搭配启明星辰自主研发的安全操作系统，稳定安全高效典型应用启明星辰入侵防御产品已广泛应用于政府、金融、能源、电信等各行业领域，并积极拓展国际市场。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
H3C AV技术白皮书
关键词：i-Ware、H3C、AV、白皮书、White Paper
摘要：本文介绍了H3C公司基于i-Ware软件平台的防病毒技术。
缩略语清单：
目录
1 概述 (3)
1.1 相关术语 (3)
1.2 网络安全现状 (3)
2 病毒的识别 (3)
2.1 病毒特征库 (3)
2.2 防病毒策略 (4)
2.3 i-Ware防病毒检测技术 (4)
3 病毒响应 (4)
3.1 通过 (5)
3.2 阻断 (5)
3.3 通知 (5)
4 安全更新 (6)
5 病毒审计 (6)
6 典型组网案例 (7)
6.1 企业出口部署 (7)
6.2 旁路模式部署 (8)
7 支持AV技术的产品 (8)
8 总结和展望 (9)
9 参考文献 (9)
10 附录 (9)
1 概述
1.1 相关术语
1. 计算机病毒
计算机病毒（Computer Virus）就是能够通过某种途径潜伏在计算机存储介质（或
程序）里，当达到某种条件时即被激活，并具有对计算机资源有一定破坏作用的一
组程序或指令集合。
2. SafeStream病毒库
SafeStream为卡巴斯基实验室提供的病毒特征库，由Kapersky AVLab进行维护，
并实时更新。
Kaspersky在各区域设有病毒采样点，对病毒样本进行收集，然后经
过Kaspersky AVLab进行分析，提取特征，测试，最后添加到SafeStream的病毒
库中。
1.2 网络安全现状
随着计算机技术与网络技术的发展，尤其是互联网的广泛普及和应用，网络正逐步
改变着人们的生活和工作方式。
越来越多的政府、企业组织建立了依赖于网络的业
务信息系统，比如电子政务、电子商务、网上银行、网络办公等，对社会的各行各
业产生了巨大深远的影响，信息安全的重要性也在不断提升。
由于安全漏洞不断被发现，黑客的技巧和破坏能力不断提高，网络受到越来越多的
攻击。
企业所面临的安全问题越来越复杂，安全威胁正在飞速增长，尤其混合威胁
的风险，如黑客攻击、蠕虫病毒、木马后门、间谍软件、僵尸网络、DDoS攻击、
垃圾邮件、网络资源滥用（P2P下载、IM即时通讯、网游、视频）等，极大地困扰
着用户，能否及时发现并成功阻止网络黑客的入侵、保证计算机和网络系统免受病
毒的侵害，让系统正常运行便成为企业所面临的一个重要问题。
2 病毒的识别
2.1 病毒特征库
i-Ware 可以提供两种病毒特征库，一种是由Kapersky AVLab提供的SafeStream病
毒特征库，另外一种是i-Ware自己提供的病毒特征库。
这两种特征库相互补充，可
以最大程度的防范网络上的恶意代码。
对于这两种病毒特征库，用户都可以通过在线升级的方式实现实时更新。
2.2 防病毒策略
i-Ware提供了灵活的防病毒策略，以满足各种用户的需要。
一个防病毒策略由一系
列的防病毒规则组成，每一个防病毒规则为一类恶意代码的集合（恶意代码的分类
参见错误！未找到引用源。
），同时对每一个防病毒规则定义了相应的响应动作。
用户通过定义一个或多个防病毒策略，并可以对不同的用户和保护对象应用不同的
防病毒策略，实现了高度的可定制性。
同时，还可以指定免检用户IP列表和免检服
务器IP列表，以满足特殊需求。
Web管理界面提供了按照病毒规则的名称、病毒规则的使能状态、响应动作进行规
则配置处理的手段，大大简化了用户的操作。
设备提供了一个缺省的防病毒策略，可以满足大多数情况下的需要。
用户还可以添
加自己的防病毒策略。
用户可以通过从一个已有的防病毒策略复制得到一个新的防
病毒策略，再对新的防病毒策略进行修改来得到自己的防病毒策略。
2.3 i-Ware防病毒检测技术
i-Ware通过使用自主的基于流状态的特征检测专利技术，有效地防范了病毒检测的
漏报和误报。
利用Kapersky提供的病毒库，实现基于流的病毒的检测技术，能够高效的对网络
流量中的病毒进行扫描。
使用了基于文件流对象的检测模型，能够把网络数据流映射成为我们通常意义上的
文件流，从而实现对多种常用的网络协议（HTTP、SMTP、POP3、IMAIL、FTP
等）进行深度分析，并还原出的原始的传输数据，进行病毒检查、蠕虫检查、垃圾
邮件处理和内容检查。
如果发现了病毒，系统将尝试修复感染的文件。
如果文件不
能被修复，它将被删除或隔离以备日后检查。
3 病毒响应
在检测到病毒时，i-Ware根据规则配置的动作做出响应。
响应动作可以是下面动作
中的一个或多个的组合：
●允许（Permit）
●阻断（Block）
●通知（Notify）
3.1 通过
对于一些灰色软件，用户可以根据自己的情况选择是Permit还是Block。
例如一些
玩笑程序、广告程序可以用来攻击，但也可以是正常的。
如果用户的网络确实不需
要此类报文，也不会产生此类报文，则可以设置为Block，否则，可以设置为
permit。
3.2 阻断
禁止病毒报文通过。
对于阻断动作，除了阻断当前报文外，对Block动作还可以设
置以下参数：
●对发送该病毒的源是否隔离：如果一个源被隔离，则后续所有报文都不能通
过。
如果不隔离，则只丢弃检测到攻击的报文。
●对于TCP连接，还可选择是否发送TCP Reset报文；如果要发送TCP Reset报
文，是向源、目的、还是向双方发送。
●对于HTTP Request报文，还可选择是要回应重定向报文，还是回应指定的页
面。
在用户自定义的回应页面中，可以增加规则名称、规则描述、以及其它自
定义信息。
3.3 通知
通过设置IPS规则带有Notify动作，可以在检测到相应病毒时记录攻击事件。
攻击
事件可以输出到本地数据库、通过Email通知管理员、输出到用户终端、输出到
Syslog主机。
攻击事件中包括以下信息：
●病毒事件发生的时间
●病毒名称
●病毒所在的段
●病毒的方向
●源IP
●目的IP
●协议
●源端口
●目的端口
●应用协议
●命中次数
支持事件聚合，将相同事件合并处理，可以在频繁发生攻击时减轻系统事件处理对
资源的消耗。
4 安全更新
H3C定期在网站上更新病毒特征库，以保证对新的病毒及时响应。
病毒库的升级可
以通过手动升级，也可以定期自动升级。
5 病毒审计
i-Ware提供了丰富的病毒日志功能，为审计、设备故障诊断提供了丰富的信息，并
提供了日志条件查询，方便日志的分析。
6 典型组网案例
6.1 企业出口部署
图
1 企业出口
在这种部署方式下，IPS
以在线透明方式部署在网络中，并不影响企业网络的已有拓扑，系统对于发现的病毒可以即时的阻断；
IPS
6.2 旁路模式部署
图2 旁路模式部署
在这种部署模式下，IPS 采用旁路方式部署在网络中，在关联的交换机上配置需要保护的端口流量镜像或者流镜像到IPS ，IPS 上可以对网络流量进行分析，在这种情况下，用户可以做两方面的选择：
● 在发现大量病毒告警时，通过设置策略路由，把流量重定向到IPS ，然后重新
注入网络从而实现对病毒流量的响应；
● 设置响应口，根据设置的响应动作，系统可以通过对应响应口发送响应报文到
网络中，从而实现对病毒的阻断；
7 支持AV 技术的产品
表1 实现XX 技术的产品/单板
IPS
镜像
响应
8 总结和展望
防病毒特性是i-Ware平台的一个重要特性，利用Kapersky提供的病毒库和i-Ware检
测引擎，实现对网络流量的病毒检测和病毒阻断，从而保护企业的业务系统不受网
络病毒的影响。
9 参考文献
列出参考文献
10 附录
前文需要在附录中对一些问题进行说明的，可以在附录中进行说明。