天融信网络卫士入侵检测系统IDS产品白皮书
IDS产品技术白皮书
I D S产品技术白皮书-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KIIUnisIDS技术白皮书1UnisIDS 简介1.1入侵检测系统概述1.1.1入侵检测系统分类不同于防止只针对具备一定条件入侵者进入的防火墙，入侵检测系统(IDS ，Intrusion Detection System)可以在系统内部定义各种hacking手段，进行实时监控的功能。
如果说防火墙是验证出入者身份的“大门”，那么 IDS相当于进行“无人自动监控”的闭路电视设备。
入侵检测大致可分为基于网络的入侵检测和基于主机的入侵检测两种类型。
基于网络的入侵检测系统具有如下特点：通过分析网络上的数据包进行入侵检测入侵者难以消除入侵痕迹–监视资料将保存这些信息可以较早检测到通过网络的入侵可以检测到多种类型的入侵扫描–利用各种协议的脆弱点拒绝服务攻击–利用各种协议的脆弱点hacking代码规则匹配–识别各种服务命令可灵活运用为其他用途检测/防止错误网络活动分析、监控网络流量防止机密资料的流失图 1网络入侵检测模型而基于主机的入侵检测系统则具有以下的特点具有系统日志或者系统呼叫的功能可识别入侵成功与否可以跟踪、监视系统内部行为检测系统缓冲区溢出基于主机的入侵检测可以区分为基于单机的入侵检测系统(收集单一系统的监视资料并判断入侵与否)基于多机的入侵检测系统(从多个主机收集监视资料并判断入侵与否)而清华紫光推出的UnisIDS入侵检测系统，实现了基于主机检测功能和基于网络检测功能的无缝集成，UnisIDS通过对系统事件和网络上传输的数据进行实时监视和分析，一旦发现可疑的入侵行为和异常数据包，立即报警并做出相应的响应，使用户的系统在受到破坏之前及时截取和终止非法的入侵或内部网络的误用，从而最大程度的降低系统安全风险，有效的保护系统的资源和数据。
1.1.2入侵检测系统技术组成因素如图 2所示入侵检测系统的处理过程分为数据采集阶段，数据处理及过滤阶段，入侵分析及检测阶段，报告以及响应阶段等 4 阶段。
天融信网络安全卫生NGIDS 技术白皮书
网络卫士入侵检测系统TopSentry产品说明天融信TOPSEC®北京市海淀区上地东路1号华控大厦100085电话：+861082776666传真：+861082776677服务热线：+86108008105119版权声明本手册的所有内容，其版权属于北京天融信公司（以下简称天融信）所有， 未经天融信许可，任何人不得仿制、拷贝、转译或任意引用。
本手册没有任何形 式的担保、立场倾向或其他暗示。
若因本手册或其所提到的任何信息引起的直接或间接的资料流失、 利益损失， 天融信及其员工恕不承担任何责任。
本手册所提到的产品规格及资讯仅供参考， 有关内容可能会随时更新，天融信恕不承担另行通知之义务。
版权所有 不得翻印© 19952009天融信公司商标声明本手册中所谈及的产品名称仅做识别之用，而这些名称可能属于其他公司的 注册商标或是版权，其他提到的商标，均属各该商标注册人所有，恕不逐一列明。
TopSEC®天融信信息反馈目 录1 产品概述 (1)2 产品特点 (1)3 产品功能 (5)4 运行环境与标准 (6)5 典型应用 (8)5.1 基本的典型应用 (8)5.2 多级管理部署方式 (8)1 产品概述网络卫士入侵检测系统是由北京天融信公司自主研发的基于网络的入侵检测系统。
北 京天融信公司基于多年来积累的安全产品研发和实施经验， 集中强大的研发队伍推出具有 完善功能和出色性能的入侵检测产品。
网络卫士入侵检测系统部署于网络中的关键点，实时监控各种数据报文及网络行为， 提供及时的报警及响应机制。
其动态的安全响应体系与防火墙、路由器等静态的安全体系 形成强大的协防体系，大大增强了用户的整体安全防护强度。
2 产品特点增强的多重入侵检测技术Ø网络卫士 IDS 综合使用误用检测、异常检测、智能协议分析、会话状态分析、实 时关联检测等多种入侵检测技术，大大提高了准确度，减少了漏报、误报现象。
天融信 网络卫士防火墙 猎豹系列 产品技术白皮书
天融信网络漏洞扫描系统白皮书
天融信网络漏洞扫描系统白皮书目录1产品功能描述 (3)1.1漏扫扫描系统 (3)1.1.1系统概述 (3)1.1.2功能描述 (3)2产品硬件规格及性能参数 (6)2.1漏扫：TSC-71528 (6)3产品测试方案 (7)3.1漏洞扫描系统测试方案 (7)3.1.1测试目的 (7)3.1.2测试环境 (8)3.1.3功能测试 (9)3.1.4专项测试 (32)3.1.5漏洞测试 (37)3.1.6压力测试 (55)3.1.7测试结论 (57)1 产品功能描述1.1 漏扫扫描系统1.1.1 系统概述网络系统的安全性取决于网络系统中最薄弱的环节,然而策略的制订和实施在实际应用中相差甚远,网络系统的安全性是一个动态的过程,系统配置的不断更改,攻击技术的不断提高,网络系统的安全系数也会不断的变化,如何及时发现网络系统中最薄弱环节?如果最大限度地保证网络系统的安全?最有效的方式就是定期对网络系统进行安全性分析并及时发现并查找漏洞并进行修改。
因此需要建立一套漏扫主动发现的手段完善企业网络安全。
漏洞扫描系统即是漏洞发现与评估系的统，作用是模拟扫描攻击，通过对系统漏洞、服务后门等攻击手段多年的研究积累，总结出了智能主机服务发现，可以通过智能遍历规则库和多种扫描选项的组合手段，深入检测出系统中存在的漏洞和弱点，最后根据扫描结果，提供测试用例来辅助验证漏洞的准确性，同时提供整改方法和建议，帮助管理员修补漏洞，全面提升整体安全性。
1.1.2 功能描述漏洞扫描管理设计扫描管理漏洞扫描一般采用渐进式扫描分析方法，融合操作系统指纹识别、智能端口服务识别等技术，能够准确识别被扫描对象的各种信息，发现其弱点和漏洞，并提出安全解决建议。
任务管理中心为用户扫描操作提供了方便，可以使用默认扫描策略也可以使用自定义扫描策略，来创建任务扫描计划，创建扫描任务时也可调整执行方式，建立定时任务、周期任务、标准任务等，从而具体针对性的进行脆弱性扫描。
天融信网络卫士日志审计系统TA-L产品白皮书
天融信产品白皮书网络卫士日志审计系统TA-L系列日志审计平台TA-L天融信网络卫士安全审计系统日志审计平台TA-L为不同的网设备及系统提供了统一的日志管理分析平台，打破了企业中不同设备及系统之间存在的信息鸿沟。
系统提供了强大监控能力，实现了从网络到设备直至应用系统的监控。
在对日志信息的集中、关联分析的基础上，有效地实现了全网的安全预警、入侵行为的实时发现、入侵事件动态响应，通过与其它设备的联动来实现动态防御。
天融信日志审计系统主要由日志代理、安全审计中心、日志数据库、审计系统管理器四个部分组成。
1.日志代理收集各种操作系统、网络设备、安全设备、应用程序，过滤后发送给安全审计中心处理。
2.日志审计中心接收日志代理和各种设备、系统转发的日志信息，集中保存在日志数据库，通过审计系统管理器将结果呈现给用户。
3.日志数据库保存各种日志信息、系统配置信息等。
4.审计系统管理器提供给用户一个方便、直观的管理接口。
通过管理器用户可以查看日志、报表等各种信息。
海量日志的集中处理工具全面支持安全设备 (如防火墙，IDS、AV)、网络设备 (如Router、Switch)、应用系统 (如WEB、Mail、F tp、Database)、操作系统 (如Windows、Linux、Unix) 等多种产品及系统日志数据的收集和分析。
安全状况的全面监控帮助管理员对网络事件进行深度的挖掘分析，系统提供多达300多种的报表模板，支持管理员从不同角度进行网络事件的可视化分析。
同时系统还支持对网络设备、主机、系统应用、多种网络服务的全面监视。
隐患漏洞的不断发现提供全局安全视图，帮助管理员发现网络、系统及应用中存在的安全漏洞和隐患，并进行不断改进。
安全事件的及时响应可自定义安全事件的危险级别，并实现基于EMAIL，铃声、手机短信等多种响应方式。
先进的多级架构设计TA-L采用业界领先的多级架构设计，系统具有良好的网络适应性和伸缩性；支持多套系统级联部署，上级系统能方便地管理下级系统，系统可以非常方便、快捷地部署在大型复杂的网络环境中，有效的解决了含有NAT等复杂网络中事件的收集和审计问题。
天融信网络卫士入侵防御IDP系列产品白皮书
天融信产品白皮书网络卫士入侵防御系统 TopIDP系列网络卫士入侵防御系统 TopIDP天融信公司为了满足市场上用户对入侵防御产品的需求，推出了“网络卫士入侵防御系统TopIDP”。
它是基于新一代并行处理技术开发的网络入侵防御系统，通过设置检测与阻断策略对流经TopIDP的网络流量进行分析过滤，并对异常及可疑流量进行积极阻断，同时向管理员通报攻击信息，从而提供对网络系统内部IT资源的安全保护。
TopIDP采用天融信自主研发的TOS操作系统和多核处理器的硬件平台，保证了TopIDP 产品更高性能地对网络入侵进行防护。
TopIDP能够阻断各种非法攻击行为，比如利用薄弱点进行的直接攻击和增加网络流量负荷造成网络环境恶化的DoS攻击等。
入侵防御策略库随时防护目前业内最流行的入侵攻击行为。
与现在市场上的入侵防御系统相比，TopIDP系列入侵防御系统具有更高的性能、更细的安全控制粒度、更深的内容攻击防御、更大的功能扩展空间、更丰富的服务和协议支持，代表了最新的网络安全设备和解决方案发展方向，堪称网络入侵检测和防御系统的典范。
强大的高性能多核并行处理架构TopIDP产品采用了先进的多核处理器硬件平台，将并行处理技术成功地融入到天融信自主知识产权操作系统TOS（Topsec Operating System）系统，集成多项发明专利，形成了先进的多核并发运算的架构技术体系。
在此基础上的TopIDP产品具有高速的数据并行检测处理和转发能力，能够胜任高速网络的安全防护要求。
图1 多核CPU内部运算示意图●精确的基于目标系统的流重组检测引擎传统的基于单个数据包检测的入侵防御产品无法有效抵御TCP流分段重叠的攻击，任何一个攻击行为通过简单的TCP流分段组合即可轻松穿透这种引擎，在受保护的目标服务器主机上形成真正的攻击。
TopIDP产品采用了先进的基于目标系统的流重组检测引擎，首先对到达的TCP数据包按照其目标服务器主机的操作系统类型进行流重组，然后对重组后的完整数据进行攻击检测，从而从根源上彻底阻断了TCP流分段重叠攻击行为。
技术白皮书-网络卫士主机监控与审计系统TopDesk-V3.0-SS-20110728
信息反馈
■传播范围：公开 ■日期：2011 年 7 月 28 日
TopDesk v3.0 产品技术白皮书
目录
1 前言.........................................................................................................................................1 1.1 定义 .....................................................................................................................................1 1.2 参考资料.............................................................................................................................. 1
2 背景.........................................................................................................................................2 3 产品简介.................................................................................................................................2
天融信安全管理平台TopAnalyzer产品白皮书
天融信产品白皮书网络卫士安全管理平台TopAnalyzer系列安全运维管理中心TopAnalyzer随着信息安全建设的不断发展，信息网络和应用业务系统的安全涉及越来越多的方面，既涉及到防火墙、防病毒、入侵检测等系统安全方面的措施，同时也涉及到如何在全网的用户、网络资源之间进行合理授权及访问控制等一系列应用安全问题。
一个综合的、复杂的信息网络系统，它的运行情况、应用系统的服务器和数据库资源是否存在安全漏洞，安全策略的适用性等很多方面，都需要强大的支持系统为运行维护和管理者提供辅助支持和帮助。
同时，由于安全相关的数据量越来越大，有些关键的安全信息和告警事件常常被低价值或无价值的告警信息所淹没，一些全局性的、影响重大的问题很难被分析和提炼出来。
因此，想要使这些信息网络安全设施能最大限度地发挥其安全保障功能，就必须要有一个良好的综合安全管理平台、有效的安全审计和评估系统，从全局的角度进行安全策略的管理，实时的事件监控及响应，为管理者提供及时的运行情况报告、问题报告、事件报告、安全审计报告和风险分析报告，从而使决策者能及时调整安全防护策略，恰当地进行网络优化，及时地部署安全措施，消除网络和系统中的问题和安全隐患。
只有这样，信息网络和业务应用系统才能真正地实现安全运行。
统一的网络与安全管理平台网络管理与安全管理无缝集成，为用户提供统一管理平台，有效降低客户总体拥有成本（TCO）。
系统支持全面的拓扑管理，包括自动的拓扑发现，网元状态监控，网元维护，集成的风险与事件展现界面。
同时支持多级管理，可对大规模的分层系统进行统一的管理。
集成的威胁与风险识别综合运用事件归一化与归并技术，关联分析，专家决策系统等不同层面的技术方案，为用户提供了一个集成化的威胁与风险识别的平台。
事件归一化与归并技术可将用户的海量数据大幅缩减，为进一步的数据挖掘做准备；基于状态机的实时关联检测技术通过使用状态机来抽象和描述攻击的过程与场景，状态机间的状态转换的条件由不同安全事件触发，可有效地帮助用户准确、实时的进行高精度威胁识别，并透过专家决策系统选择优化的解决方案。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
天融信产品白皮书网络卫士入侵检测系统 TopSentry系列
网络卫士入侵检测 TopSentry
天融信网络卫士入侵检测系统TopSentry经过多年的技术积累与创新，已成为天融信既防火墙和VPN之后的又一主力产品线。
据权威数据机构统计，网络卫士入侵检测系统国内市场占有率近两年来一直处于领先地位。
用户已覆盖能源、金融、烟草、电信等多个行业，并得到良好赞誉。
网络卫士入侵检测系统TopSentry采用多重检测、多层加速等多项天融信专有安全技术，更出色的降低了IDS产品的误报率、漏报率，有效提高了IDS的分析能力，使达到线速包捕获率成为可能。
天融信IDS研发团队通过加强对蠕虫攻击以及隐含在加密数据流中攻击的检测能力，极大地突破了目前IDS产品普遍存在的瓶颈问题。
多重检测技术
综合使用误用检测、异常检测、智能协议分析、会话状态分析、实时关联检测等多种入侵检测技术，保证IDS检测准确性，极大地降低了漏报率与误报率。
◆误用检测（Misuse Detection ）：指运用已知攻击方法，根据已定义好的入侵模式，通过判断这些入侵模式是否出现来检测。
因为很大一部分的入侵是利用了系统的脆弱性，通过分析入侵过程的特征、条件、排列以及事件间关系能具体描述入侵行为的迹象。
◆异常检测(Anomaly Detection)：指根据使用者的行为或资源使用状况来判断是否入侵，而不依赖于具体行为是否出现来检测。
◆智能协议分析技术：天融信的智能协议分析技术充分利用了网络协议的高度有序性，使用这些知识快速检测某个攻击特征的存在。
与非智能化的模式匹配相比，协议分析减少了误报的可能性。
与模式匹配系统中传统的穷举分析方法相比，在处理数据包和会话时更迅速、有效。
◆会话检测技术：按照客户-服务器间的通信内容，把数据包重组为连续的会话流，在此基础上进行检测分析。
而基于数据包的入侵检测技术只对每个数据包进行检查。
与基于数据包的入侵检测技术相比，准确率高。
◆实时关联检测技术：通过天融信TSM系统将网络卫士IDS的报警事件同其他事件进行实时关联分析，进一步提高检测准确性。
多层加速技术
◆专用的高速硬件平台
◆底层抓包加速引擎
◆双网卡分流重组技术
◆增强直接用户空间访问（EDUA）技术
◆多线程分散式重组引擎
◆高效的流定位及状态型的协议分析技术
◆无缝集成的优化智能模式匹配算法
强大的蠕虫病毒检测能力
实时跟踪当前最新的蠕虫事件，针对当前已经发现的蠕虫攻击及时提供相关事件规则；对于存在系统漏洞但尚未发现相关蠕虫事件的情况，通过分析漏洞来提供相关的入侵事件规则，最大限度地解决蠕虫发现滞后的问题。
网络卫士入侵检测系统内置600条以上的蠕虫检测规则。
SSL加密访问检测技术
通过解码基于SSL加密的访问数据，分析、检测SSL加密访问中的攻击行为，从而可以保护内部提供SSL 加密访问的重要服务器的安全性。
强大的报文回放能力
能够完整记录多种应用协议（HTTP、FTP、SMTP、POP3、TELNET等）的内容，并按照相应的协议格式进行回放，清楚再现入侵者的攻击过程，重现内部网络资源滥用时泄漏的保密信息内容。
基本的典型应用
对于一般中小型企业的网络部署，TopSentry的监听口可通过端口镜象来同时监控内网和DMZ区的入侵，起到入侵检测的作用。
部署如下图：
双网卡分流重组技术在实际网络环境中的应用
在高速的千兆网络环境中，用户需要监听的流量信息可能多于1000M（源自交换机的双向镜像），传统IDS产品采用单网卡单独工作的方式，大于千兆的网络数据就会被IDS监听网卡所丢失。
天融信网络卫士入侵检测系统通过首创的“双网卡分流重组技术”，通过两块网
卡的协同工作为用户解决了这个难题，部署如下图：
虚拟引擎技术的典型应用
如图2所示，假设DMZ网络中的重要服务器有：邮件服务器、Web服务器，那么Sensor0
的安全策略将侧重于检测邮件和Web服务相关的事件，响应策略可以设置为常规审计和防
火墙联动；而针对内网的Sensor1，主要侧重于违规操作等的检测，所以响应策略设置为常
规审计即可。
◆公安部颁发的《计算机信息系统安全专用产品销售许可证》
◆中国国家信息安全测评认证中心颁发的《国家信息安全认证产品型号证书》
◆国家保密局涉密信息系统安全保密测评中心颁发的《涉密信息系统产品检测证书》
◆中国人民解放军信息安全测评认证中心颁发的《军用信息安全产品认证证书》
◆国际安全组织CVE(Common Vulnerabilities & Exposures通用漏洞披露) 兼容性认证(CVE Compatible)
天融信(C)版权所有V1.0
文档维护：吴青松
E-MAIL:wuqs@
声明：非官方文档，仅供参考。