基于IPS的FTP协议事件检测引擎的设计与实现
入侵防御系统的功能有哪些
入侵防御系统的功能是：简单来说，它能够监视网络或网络设备的网络资料传输行为的计算机网络完全设备，能够即时的中断、调整或隔离一些不正常或是具有伤害性的网络资料传输行。
选择入侵防御系统很重要，一定要找专业从事网络安全与服务的高科技公司。
入侵防御系统的功能下面就详细介绍一下，这里以铱迅品牌的入侵防御系统做案例：铱迅入侵防御系统（英文：Yxlink Intrusion Prevention System，简称：Yxlink IPS）,是铱迅信息结合多年在应用安全理论与新一代动态检测防御实践经验积累的基础上，自主研发的一款应用级入侵防御系统，它可以在线地检测网络和系统资源，发现攻击后能够实施有效的阻断，防止攻击到达目标网络或主机。
可给您网络中的各网络单元提供2-7层的全方位的保护，为网络提供深层次的、有效的安全防护。
铱迅入侵防御系统致力于解决黑客攻击、蠕虫、网络病毒、后门木马等恶意流量带来的信息系统侵害，广泛适用于“政府、金融、运营商、公安、能源、工商、社保、交通、卫生、教育、电子商务”等所有涉及网络应用的各个行业。
部署铱迅入侵防御系统产品，可以帮助客户主动防护网络、主机系统，为用户的信息安全提供最大的保障。
万兆高并发与请求速率处理技术铱迅入侵防御系统，通过对网络协议底层的深层次的优化，可以达到百万级别的并发连接。
庞大内置特征库特征库主要用于检测各类已知攻击，对网络中传输的数据包进行高速匹配，确保能够准确、快速地检测到此类攻击。
铱迅入侵防御系统装载权威的专家知识库，提供总数超过10000条的规则库进行支持与匹配，提供高品质的攻击特征介绍和分析，基于高速、智能模式匹配方法，能够精确识别各种已知攻击，包括病毒、特洛伊木马、P2P应用、即时通讯等，并通过不断升级攻击特征，保证第一时间检测到攻击行为。
攻击碎片重组技术通过铱迅入侵防御系统独有的碎片包重组技术，可以有效的防止黑客通过发送碎片的数据包来绕过检测引擎的检测。
技术服务项目偏离表
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！
精选word范本！。
DCN1800E说明书
神州数码多核安全网关DCFW-1800E-2GDCFW-1800系列多核安全网关是神州数码网络公司专为各种规模的企业网、园区网、城域网及运营商用户开发的新一代多功能专业网络安全产品。
依托于领先的多核架构平台，集强大的安全防护、防病毒、IPS、抗攻击、VPN、QoS及应用层行为管控等功能与一身，结合强劲性能优势为您的网络提供非同寻常的安全动力。
此外DCFW-1800系列多核安全网关具有的最低总体拥有成本优势及部署简单、容易维护的特点，都使它在网络安全组网方案中具有突出的优势。
强大的产品强势的解决方案全面强壮您的网络DCFW-1800E-2G多核安全网关是神州数码网络公司面向大中型企业和运营商用户设计开发的新一代多功能安全网关产品，DCFW-1800E-2G多核安全网关采用了领先的64位多核MIPS体系架构和高速交换总线技术，这让它不但在防火墙性能上实现了全面的跨越，而且在防病毒、IPS、VPN、流量整形及应用层行为管理等方面的处理能力也得到了前所未有的提升，配合神州数码潜心研发的64位并行安全操作系统在多线程并行处理能力上的优势，使得DCFW-1800E-2G即使在处理多任务并发时也全无性能瓶颈之虞。
DCFW-1800E-2G多核安全网关提供6个GE接口和2个GE/SPF（Combo）接口，可充分满足大中型网络对于不同接口类型及高接口密度的需求。
产品特点1.DCFW-1800E-2G多核安全网关采用64位多核MIPS处理器和128GCrossbar高速交换总线技术，带来多种安全性能的全面突破。
神州数码DCFW-1800系列多核安全网关拥有业界领先的工业化设计工艺，硬件上广泛采用高品质的元器件，这让产品不但在可靠性和稳定性上具有了电信级的水平，而且也使得整机功耗大大降低，神州数码DCFW-1800系列多核安全网关还率先通过了RoHS环保认证和欧洲CE认证，因此DCFW-1800E-2G多核安全网关是真正意义上的绿色环保产品。
IPS测试方法
IPS 测试方法测试集中在三个方面：性能（performance）、精确性（security accuracy）和可用性(usability)。
1.性能测试（performance）任何一个IPS 产品应该是可信的，不应该妨碍正常、合理的应用。
1)吞吐量：IPS产品不会影响正常使用，哪怕在很多新的tcp链接快速建立的时候。
同时要传感器在背景流提高到最大值时有能力检测并阻止攻击数据，减少漏报。
设定好一定的攻击数据后，在零背景流量情况下检验IPS产品，确保其能正确报警；然后提高背景流量，以确定传感器在何时开始漏报。
所有的测试重复在背景流量250m、500m、750m、1000m下测试。
测试协议包括udp、tcp和混合协议数据，数据包453000个/s，链接状态保持20000个/s。
可以使用ThreatEx 和Avalanche 结合测试。
2)响应时间：任何一个网络中，响应时间都是很重要的。
设想，在一个局域网内循环响应时间（round trip latency）是200-300 微妙，而NIPS 将最大循环响应时间提高到2.3 毫秒，超过了7倍。
如果传输一组大文件，将至少提高7倍的时间。
NIPS的响应时间应该考虑到它的应用环境，比如1-2毫秒对于保护公网是一个可以接受的时间。
而在广域网，应该不低于300微妙。
第一步：使用发送单个连接，计算通过IPS的时间来估算响应时间。
第二步：可以使用Avalanche 产生背景。
3)流量管理（新增）IPS对流量进行细分并加以控制是非常必要的。
它的限流功能可以实现企业网带宽资源的有序分配，达到保护企业关键业务的目的。
测试UDP限流，使用SmartBits的SmartApplication软件向IPS发送超过限流带宽的UDP报文，如图7所示。
通过比较接收到的UDP流量，判断IPS是否可以进行针对UDP的流量限制。
4)稳定性和可靠性这种方法将测试在各种极端情况下IPS的稳定性。
AF防火墙参数：全系列型号
国内下一代防火墙第一品牌
深信服下一代防火墙（Next-Generation Application Firewall）NGAF是面向应用层设计，能够精确识别用户、应用和内容，具备完整安全防护能力，能够全面替代传统防火墙，并具有强劲应用层处理能力的全新网络安全设备。
NGAF 解决了传统安全设备在应用识别、访问控制、内容安全防护等方面的不足，同时开启所有功能后性能不会大幅下降。
区别于传统的网络层防火墙，NGAF具备L2-L7层的协议的理解能力。
不仅能够实现网络层访问控制的功能，且能够对应用进行识别、控制、防护，解决了传统防火墙应用层控制和防护能力不足的问题。
区别于传统DPI技术的入侵防御系统，深信服NGAF具备深入应用内容的威胁分析能力，具备双向的内容检测能力为用户提供完整的应用层安全防护功能。
同样都能防护web攻击，与web应用防火墙关注web应用程序安全的设计理念不同，深信服下一代防火墙NGAF 关注web系统在对外发布的过程中各个层面的安全问题，为对外发布系统打造坚实的防御体系。
gb561防火墙和ips知识要点
防火墙分册：安全：免除了不可接受的损害风险的状态。
网络安全属于信息安全的分类。
安全的英文名称security。
安全三维模型检测防御制止。
防御：通过一些机制和技术措施方面的努力来降低受到窃取和破坏的风险。
制止：通过规范、制度、法律、纪律非授权行为。
检测：通过分析日志，跟踪审计，主动扫描等手段来检测攻击行为和系统漏洞。
安全防御:周边防御和深度防御。
安全策略的要点1资产2风险3 保护4工具5优先权。
安全策略定义了那些是允许的，那些是不允许的。
网络环境里面的安全是一种能够识别和消除不安全因素的能力。
安全已解决保护系统资产的五项需求：1机密性2完整性2可用性4可控性5可审计性。
Ssl s-http shh tcp/ip以上skip在tcp/ip以下信息安全要素iso 13335-1列举的安全要素1 资产2威胁3 脆弱性4 影响5风险6防护措施7残留风险8约束PDR模型protection 保护detection 检测response 响应Syslog基于udp协议端口514PDR的保护具体包括安全规则的制定，系统安全的配置，安全措施的采用检测具体包括异常临视模式发现响应具体包括报告记录反应恢复。
信息安全的策略建立模型主要由1 先进的技术2相关的法律和法规3严格的管理审计制度。
网络安全的研究内容 1 信息对抗2工业网安全互联网与电信安全3 密码学4信息隐藏与教学水印5 内容安全 6 软件安全。
密码学的核心密码分析学密码编码学。
民用的加密算法有DES IDEA RSA当前所处的网络环境1 网络规模迅猛发展2 网民规模继续高速增加3 上网设备多样化，手机上网普及4网络应用更加多样化，形成网络生活形态。
5 现代的，先进的复杂技术的局域网、广域网、intranet、extranet 网络发展迅速。
当前网络的安全威胁1 信息系统安全漏洞层出不穷2 木马与僵尸网络的不断增长3篡改网站、网络仿冒以及恶意代码4 p2p流量占用大量互联网业务流量5 不断变化的业务模型和信任模型。
下一代防火墙方案设计V2
惠尔顿下一代防火墙（NGWF）设计方案深圳市惠尔顿信息技术有限公司2016年5月1日目录一、方案背景 (2)二、网络安全现状 (2)三、惠尔顿下一代防火墙（NGWF）介绍及优势 (7)四、惠尔顿NGWF功能简介 (10)五、部署模式及网络拓扑 (14)六、项目报价 (15)七、售后服务 (16)一、方案背景无锡某部队响应国家公安部82号令号召，加强部队网络安全建设。
针对目前网络存在的涉密、泄密、木马、病毒等进行预防。
二、网络安全现状近几年来，计算机和网络攻击的复杂性不断上升，使用传统的防火墙和入侵检测系统（IDS）越来越难以检测和阻挡。
随着每一次成功的攻击，黑客会很快的学会哪种攻击方向是最成功的。
漏洞的发现和黑客利用漏洞之间的时间差也变得越来越短，使得IT和安全人员得不到充分的时间去测试漏洞和更新系统。
随着病毒、蠕虫、木马、后门和混合威胁的泛滥，内容层和网络层的安全威胁正变得司空见惯。
复杂的蠕虫和邮件病毒诸如Slammer、Blaster、Sasser、Sober、MyDoom等在过去几年经常成为头条新闻，它们也向我们展示了这类攻击会如何快速的传播——通常在几个小时之内就能席卷全世界。
许多黑客正监视着软件提供商的补丁公告，并对补丁进行简单的逆向工程，由此来发现漏洞。
下图举例说明了一个已知漏洞及相应补丁的公布到该漏洞被利用之间的天数。
需要注意的是，对于最近的一些攻击，这一时间已经大大缩短了。
IT和安全人员不仅需要担心已知安全威胁，他们还不得不集中精力来防止各种被称之为“零小时”（zero-hour）或“零日”（zero-day）的新的未知的威胁。
为了对抗这种新的威胁，安全技术也在不断进化，包括深度包检测防火墙、应用网关防火墙、内容过滤、反垃圾邮件、SSL VPN、基于网络的防病毒和入侵防御系统（IPS）等新技术不断被应用。
但是黑客的动机正在从引起他人注意向着获取经济利益转移，我们可以看到一些更加狡猾的攻击方式正被不断开发出来，以绕过传统的安全设备，而社会工程（social engineering）陷阱也成为新型攻击的一大重点。
设备规格参数要求
支持基于源IP地址、目的IP地址、源端口、目的端口、
时间、用户、文件、网址、关键字、邮件地址、脚本、MAC
地址等多种方式进行访问控制；
完善的上网行为管理
支持MSNQQ新浪UG阿里旺旺、google talk等Instant Messenger通信，并可以对于这些应用进行登陆限制，支 持根据登陆等帐号进行登陆限制；
性能
要求
网络吞吐量
不少于5Gbps
最大并发连接数
不少于200万
每秒最大新建连接数
不少于5.5万
功能
要求
灵活的接入方式
防火墙系统可以提供对复杂环境的接入支持，包括路由、透明 以及混合接入模式。
强大的虚拟防火墙
能将一台物理防火墙虚拟成多台逻辑防火墙，每个虚拟系统具 备独立的管理员、访问策略、地址转换策略，各个虚拟系统互 不干扰，最多可支持256个以上虚拟系统。
游戏
支持识别魔兽世界、征途、劲舞团、跑跑卡丁车、梦幻西游以 及QQ游戏等网络游戏。
入侵防御功能
引擎
支持路由、交换、直连、IDS监听四种模式。 支持基于源、目的、规则集、动作的入侵检测规则。 支持时间对象。
支持策略改变引擎自动重起。
动作
支持阻断drop，支持报警Alert，支持TCP Reset，支持日
UDP Flooding、SYN Flooding等。
自定义攻击
可以根据用户需求自行设置攻击规则，能对其他有害攻击行为
做检测和阻断。
应用监控跟踪控制
P2P应用
支持识别BT、迅雷、Napster、Popo、Kazaa等P2P类应用。
IM
支持识别QQ MSN ICQ、UC以及Google Talk等IM类应用。
网神SecIPS 3600入侵防御系统产品白皮书
●版权声明Copyright © 2006-2011 网神信息技术（北京）股份有限公司（“网神”）版权所有，侵权必究。
未经网神书面同意，任何人、任何组织不得以任何方式擅自拷贝、发行、传播或引用本文档的任何内容。
●文档信息●版本变更记录目录1产品概述 (4)2产品特点 (4)3产品功能 (12)4产品资质................................................................................ 错误!未定义书签。
1产品概述网神SecIPS 3600入侵防御系统（简称：“网神IPS”）将深度内容检测、安全防护、上网行为管理等技术完美地结合在一起。
配合实时更新的入侵攻击特征库，可检测防护3000种以上的网络攻击行为，包括病毒、蠕虫、木马、间谍软件、可疑代码、探测与扫描等各种网络威胁，并具有丰富的上网行为管理，可对P2P、聊天、在线游戏、虚拟通道等内网访问实现细粒度管理控制。
从而，很好地提供了动态、主动、深度的安全防御。
2产品特点网神IPS的完善体系结构包括两大部分：强化安全的专用操作系统和模块化硬件系统。
以下分别介绍这两大部分。
高效的体系结构在平台优化的核心技术方面，主要有以下三个方面。
1）零拷贝技术数据包以Scatter-and-Gather方式主动通过千兆网卡DMA进入内存后就不再拷贝，有效地减少内存存取次数。
2）核心层优化所有报文的解析与比对都由核心层（Kernel）进行，完全不用通过核心层与应用层之多余的转换，因此不用进行内存拷贝，从而有效地减少内存存取次数。
3）硬件特征比对网神特征比对引擎是一款能直接比对特征码格式，引擎比对速度高达4Gbps。
相对于一般只对报文内容进行文字搜索的作法，引擎同时整合了第四层的特征内容，减少了处理器额外比对并且有效降低误判，且支持Wildcard、Distance、Within等等针对P2P/IM等应用程序所需要的操作单元，能高速进行对比并且不会有规则存储导致硬件满载的风险。
APT防御产品_铁穹高级持续性威胁预警系统
接远程木马控制端
隐蔽性高，防火墙、IDS、IPS等难以防范
7
政策法规
木马检测与防御相关政策法规要求： 工业和信息化部：
《移动互联网恶意程序监测与处置机制》 关于印发《木马和僵尸网络监测与处置机制》的通知
公安部：
《信息安全技术 信息系统安全等级保护基本要求》 《信息安全技术 信息系统安全等级保护测评要求》
利用SSL加密通道访问C&C服 务器，获取敏感信息
全球20多家高科技企业被波 及，大量核心信息资产泄漏
特种木马
木马植入
木马控守
破坏
韩国KBS事件
控制补丁服务器，向终端推送木马程序。
从终端尝试连接到服务器，成功后执 行破坏程序并执行。 定时激活数据毁灭功能，造成硬 盘数据永久性毁坏。
4
特种木马特点
在投放前就针对性的使用各种 杀毒软件进行了测试，能够和 杀毒软件“和平共处”
标准百兆
监控中心
标准千兆
高端千兆
27
1 2 3
安全现状
产品介绍
产品应用
28
典型用户
中国电子科技集团公司
中国电子信息产业集团有限公司
北京移动
中国航空工业集团
中国铁建
上海世茂集团
中国石化
29
Thank You！
谢 谢
30
13
木马检测--核心技术
• 对邮件附件、下载 文件、传输文件采 用硬件VM虚拟执行 引擎技术进行分析 • 对心跳信号、协议异 常、流量异常、访问 异常等进行分析
硬件VM 虚拟引擎
行为分析 引擎
文件特征码
• 采用MD5值校验和 广谱特征码匹配技术 进行检测
通信特 征扫描检测
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第２ ５卷 第 ６期
２０ ０ ８年 ６月
计 算机 应 用与软件
Ｃ ｍｐ ｔｒＡｐ ｌ ａｉｎ ｎ ｏ ｔ ｒ ｏ ｕｅ ｐｉ ｔ ｓａ ｄ Ｓ ｆ ｃ ｏ ｗａ ｅ
Ｖｏ＿ ５ Ｎｏ ６ ｌ２ ．
Ｊｎ ０８ ｕ ．２ ０
基 于 Ｉ Ｓ的 Ｆ Ｐ协议 事件 检 测 引擎 的设 计 与 实 现 Ｐ Ｔ
王晓虹 李佳惠 王国仁 张艳凤。
（ 辽宁石油化工大学计算机与通信工程学 院 辽宁 抚顺 １３ ０ ） ０１ １
。 东北 大学信息工程学院 （ 辽宁 沈 阳 １００ １０ ４） 辽宁 沈阳 １０ ２ ） １２ １ （ 沈阳农业 大学高等职业技术学院
ＤＥＳ ＧＮ Ｉ ＡＮＤ Ｍ ＰＬＥＭ ＥＮＴＡＴＩ Ｉ ＯＮ ＯＦ ＦＴＰ ＥＶＥＮＴ ＤＥＴＥＣＴＩ ＯＮ ＥＮＧＩ ＮＥ ＢＡＳ ＥＤ ＯＮ ＰＳ Ｉ
Ｗ ａ ｇＸｉｏ ｏ ｇ Ｌ ｉｈ ｉ Ｗ ａ ｇＧｕ ｒｎ ｎ ａｈ ｎ ｉ ａ ｕ Ｊ ｎ ｏｅ Ｚ ａ ｇ Ｙ ｎｅ ｇ ｈ ｎ ａ ｆｎ
（ ｏａｉ ａ ｏｌ ｅＳｅｙｎ ｇ ｃｌ ｒｌ ｎｖ ｓｙＳ ｅｙｎ １１２，ｉ ｎｎ Ｃ ｉ Ｖｃｔ ｎ ｌ ｌｇ ，ｈｎａ ｇＡ ｒ ｕ ｕａ ｉｒｉ ，ｈｎａ ｇ１０ １ Ｌａ ｉ ｏ Ｃ ｅ ｉ ｔ Ｕ ｅ ｔ ｏ ｇ， ｈｎ ａ）
Ａｂ ｔ ａ ｔ ｓｒ ｃ
Ｅ ｅ ｔ ｅｅ ｔ ｎ ｅ ｇ ｎ ｓａ ｍｐ ｒ ｎ ａ ｆ ｒ ｔｃ ｌ ｎ ｌ ｓ ｎ ｉ ｅｂ ｓ ｄ ｏ Ｔ ． ｃ ｏ ｄ ｎ ｏ ｔ ｅｓｕ ｉｓｏ ａ ｉ ｏ ａ ｅ— ｖ ｎ ｔｃ ｉ ｎ ｉ ｅｉ ｎ ｉ ｏ ｔ ｔｐ ｒ ｏ ｏｏ ｏ ａｙ ｉ ｅ ｇｎ ａ ｅ ｎ Ｆ Ｐ Ａ ｃ ｒ ｉ ｇｔ ｈ ｔｄ ｅ ｎｔ ｄｔ ｎ ｌｎ ｔ ｄ ｏ ａ ｔ ｐ ａ ｓ ｒ ｉ
ｗ ｒ ｅ ｕ ｔ ｅ ｈ ｏｏ ｙ．ｔ ｅｄ ｓｇ ｎ ｍｐ ｅ ｎａ ｉｎ ｏ ｎ Ｆｒ ｖ ｎ ｅｅ ｔ ｎ ｅ ｇｎ ａ ｅ ｎ Ｉ Ｓ ｉ ｐ ｅ ｅ ｔ ｄ Ｔ ｅ ａ ｃ ｉ ｃ ｕ ｅ ａ ｄ ｏ ｋ ｓ ｃ ｒ ｙ ｔ ｃ ｎ ｌｇ ｉ ｈ ｅ ｉｎ ａ ｄ ｉ ｌｍｅ ｔｔ ｆａ Ｐ ｅ ｅ ｔｄ ｔｃ ｉ ｎ ｉ ｅ ｂ ｓ ｄ ｏ Ｐ ｓ ｒ ｓ ｎ ｅ ． ｈ ｒ ｈｔ ｔ ｒ ｎ ｏ ｏ ｅ ｆ ｎ ｔ ｎ ｆａ Ｐ ｅ ｅ ｔｄ ｔ ｃｉ ｎ ｅ ｇ ｎ ｓ ｄ ｓ ｒｂ ｄ ｗｉ ｈ ｅａｅ ｄ １ Ｉ ｈ ｖ ｎ ｅｅ ｔ ｎ ｅ ｇｎ ｕ ｃ ｉ ｓ ｏ ｎ Ｆｒ ｖ ｎ ｅｅ ｔ ｎ ｉ ｅ ｉ ｅ ｃ ｅ ｔ ｔ ｅ ｒｌ ｔｄ ｍｏ ｅ ． ｎ ｔ ｅ Ｅ ｅ ｔｄ ｔｃ ｉ ｎ ｉｅ．ａ ｖ ｎ ｅ ＥＬ ｉ ｕ ｅ ｓ ｔ ｅ ｏ ｏ ｉ ｈ ｏ ｄ ａ ｃ ｄ Ｎ ｓ ｓ ｄ ａ ｅ ｄ ｔ ｃｅ ｅ ｌ ｉ ｌ ． ｒ ａ — ｍｅ ａ ｄ ｈｇ ｅｆ ｒ ａ ｃ ｅ ｗ ｒ ｅ ｕ ｔ ｓｒ ａｉｅ ． ｅ ｅｏ ｍｅ ｔｐａ ｏ ｍ ｆ ｎ ｍａｙ ｎ ｔ ｏ ｋ ｆ ｗ ｃ ｎ ｂ ｅ ｅ ｔ ｄ ｒ ａ— ｍｅｙ Ａ ｅ ｌ ｉ ｎ ｉｈ ｐ ｒ ｍ ｎ ｅ ｎ ｔ ｏ ｋ ｓ ｃ ｒ ｙ ｉ ｅ ｌ ｄ ｌ ｔ ｔ ｏ ｉ ｚ
（ ｃｏ ｌｆＩ ｏｍ ｔ ｎＥ ｇｎｅｉ Ｌａ ｎｎ ｎｖｒｔ ｏ ｅ ｏｅｍ ｎ ｈｍｉ ｌ ｅｈｏｏｙ Ｆ ｓｕ １０ １Ｌａ ｎｎ Ｃ ｉａ Ｓｈｏ ｏ ｎ ｒ ａｉ ｎ ｉｅｒ ｇ，ｉ ｉｇ Ｕ ｉ ｓｙ ｆＰｔ ｌ ａ ｄＣ ｅ ｃ ｃ ｎｌ ，ｕｈ ｎ１３ ０ ，ｉｏ ｉ ｆ ｏ ｎ ｏ ｅ ｉ ｒ ｕ ａＴ ｇ ｇ，ｈｎ ） 。 Ｓｈｏ ｏ Ｉ ｏｍａｉ ｎ ｉｅｒ ｇ，ｏｔｅｓｒ ｎｖｒｔ，ｈｎａ ｇ１０ ０ Ｌａｎｎ Ｃ ｉａ （ ｃｏｌ ｎ ｒ ｔｎＥ ｇｎｅｎ Ｎ ｒ ａｔｎ Ｕ ｉ ｓｙＳ ｅｙｎ １ ０４，ｉｏｉ ｆ ｆ ｏ ｉ ｈ ｅ ｅｉ ｇ， ｈｎ ）
Ｋｅ ｗｏ ｄ ｙ ｒｓ
Ｉ Ｓ Ｐ ｏ ｃ ｌ ｅｔ ｃ ｏ ｌｓ ｆｒ Ｎ ｔｙ ｖｎ ｌｎｕ ｇ （ Ｅ ） Ｐ ｒｔ ｏ ｒｓ ｔ ｎｒ ｅ ｒ ｏ ｒ ｉ ｕ ｉ Ｐ ｅ ｅｅｅ ｔ ａ ｇ ａ ｅ Ｎ Ｌ ｅ
的 Ｆ Ｐ协议事件检测引擎只处理控制连接 。 Ｔ
摘
要
事件检测 引擎是基于 Ｆ Ｐ协议解析 引擎中的重要组成部分之 一。在对传统 的网络安全技 术进 行研 究的基础上 ， 计和 Ｔ 设
实现 了基 于 ＩＳ的 Ｆ Ｐ协议 事 件 检 测 引 擎 。 阐 述 了 Ｆ Ｐ协 议 事 件 检 测 引 擎 的 总体 框 架 ， 立 了相 关 的模 型 。 该 引 擎 采 用 先 进 的 Ｐ Ｔ Ｔ 建 Ｎ Ｌ语 言开 发 平 台 ， 时地 检 测 出异 常 流 量 ， 现 了实 时 、 性 能 的 网络 安 全 。 Ｅ 实 实 高 关 键 词 ＩＳ 协 议 限 制 规 则 Ｐ Ｆ门 Ｎ Ｌ ］Ｐ Ｅ
０ 引 言
ＩＳ是一种主动 的 、 Ｐ 积极 的入侵 防范 系统 。它不 但 能
Ｆ Ｐ协 议事件检测引擎 的功能为检测异常流量 。即 当一 Ｔ 种新 的攻击 出现后 ， 不需 要重 新修 改程序 中的协议分 析框 架。 Ｎ Ｌ部分只需要根据新 的攻击 的特征 ， Ｅ 来添加新的检测规则 ， 捕 获该 异常情 况 ， 抛弃异 常数 据包。从而 实现 了检测异 常流量 的