网神SecIPS3600系列入侵防御系统产品白皮书

3 主要功能

分类 入侵检测与防护 入侵检测引擎 特性/功能 详细描述 产品具备基于协议异常、会话状态识别和七层应用行为的攻击识别功能；可自定义检测方向﹐可检测来自外部网络的入侵攻击和管理追踪内部网络的蠕虫感染与网络应用 支持IPS、IDS、IPS Monitor/学习、L2 Forward等多种工作模式 特征规则 内置多达3000种的IPS特征库；并可自定义入侵攻击和应用软件的特征 支持对VLAN、MPLS、ARP、TCP、UDP、RPC、WCCP、协议分析 GRE、IPV6、SMTP等各种协议的分析 策略时间管理 防护攻击类支持对病毒、蠕虫、木马、间谍软件、广告软件、可疑代型 码、端口扫描、非法连接等多种攻击的防护 可自定单个策略的运行时间 工作模式 对数据包的支持丢弃数据包、中断连机、事件监视/记录 （可选择记录处理方式 数据包内容，如Sniffer一般）、限制连接传输带宽、限制传输总量等多种处理方式 针对蠕虫具备自动利用系统漏洞入侵的能力，以达到快速阻断蠕虫传将自我扩散到其它系统的特点；IPS能发现蠕虫入侵，并播 能立即丢弃尝试入侵的数据包，让蠕虫无法顺利扩散，如对Zotob Worm、MS SQL Slammer Worm等蠕虫的控制 可针对Windows、Unix、Linux等操作系统的弱点进行防防御操作系御，弱点类型包含了Stack and Heap Buffer overflow、统漏洞攻击 Format string error、Memory access error、Memory corruption、 Access control and Design weakness等等 防御木马 检测基于ActiveX、XML、VML、MDAC等的漏洞，可阻网御神州科技（北京）有限公司 第 9 页

网神SecIPS3600系列入侵防御系统产品白皮书

分类 特性/功能 详细描述 止访问者在浏览网站时被诱使植入木马的攻击；检测利用Dropper技术隐藏木马的Microsoft Office文件，可阻止下载并启动这些文档；具有丰富的漏洞特征库可以实现对木马的精准拦截 可通过检测下载可执行程序、ActiveX、Java applet等可疑间谍软件 的活动，实现阻止间谍软件通过广告、浏览器漏洞、自定义ActiveX插件等渠道实现安装 服务器保护 三/四层支持双向阻断TCP/UDP/IGMP/ICMP/IP Flooding、DoS/DDoS防护 UDP/ICMP Smurfing等各种类型的DoS/DDoS的攻击，可检测的DoS/DDoS软件包括XDoS、SUPERDDoS、FATBOY等50种以上 七层支持基于限制访问单位时间内访问特定服务次数来，阻断未知类型的DoS/DDoS攻击，如针对Web、DNS等服务的攻击 可针对IIS、Apache等不同的Web 服务器程序弱点进行防御，并可追踪管理Web服务器对数据库的存取行为，如可禁止外部SQL注入请求 扫描攻击防可实时阻断攻击者利用对IP地址和协议端口的扫描寻找服护 带宽管理 流量整形 务器漏洞 针对VLAN、源/目的IP地址、应用协议端口、七层应用软件（如P2P、FTP、PPlive、PPStream等），支持进行网络传输带宽和网络传输总量两种限制方式 P2P下载管能够基于软件行为、数据内容，而不是基于协议端口号，理 来识别P2P的应用，并可针对加密型或非加密型P2P下载进行管理、拦截、限流； 拥有完善的P2P特征识别库，支持的常用P2P软件包括Thunder、eMule、WinMX、QQLive (China)、Skype、eDonkey、BitTorrent、Mldonkey等100余种； 网御神州科技（北京）有限公司 第 10 页

DoS/DDoS防护 Web系统攻击防御 网神SecIPS3600系列入侵防御系统产品白皮书

分类 特性/功能 详细描述 针对P2P应用的带宽限流，可精准到1Kbps 上网行为管理 聊天应用管能够基于软件行为、数据内容，而不是基于协议端口号，理 来识别常见的聊天应用，并可针对加密型或非加密型聊天软件进行管理、拦截、限流； 能根据不同需求，进行多层次软件控制，不仅可禁止实时聊天程序，还可对它的登陆、聊天、传输文件、实时语音、实时视频等进行分项管理； 拥有完善的实时聊天程序特征识别库，支持的聊天程序包括MSN、QQ、Yahoo Messenger、Skype、AIM、TM、Google Talk、PoPo Build、iChat等10多类；并可对基于Web的聊天进行登陆和禁止管理控制，如MSN、Yahoo、ICQ、Google Talk、AIM、eBuddy.com、iLoveIM.com 等 在线游戏管支持对QQGame、OurGame、Cga.com.cn Game、Popkart 理 Game等流行的在线游戏实现阻断管理 Web内容可基于URL、内容等制定黑白名单来对Web访问进行过滤 检查 应用层防火墙 防火墙功能 支持状态检测防火墙功能，支持基于网络接口、源/目的IP地址、协议、时间等自定义访问控制策略 虚拟信道管支持对VNN、SoftEther、Hamachi、TinyVPN、PacketiX、理 可靠性 双机热备 HTTP-Tunnel、Tor等流行的虚拟信道实现阻断管理 基于HA网络物理接口，可实现在设备宕机、端口坏等故障下的主机和从机的及时切换 支持硬件Bypass、软件Bypass的功能，以避免在任何情况下，因本系统无法正常运作而造成网络中断的情形；硬旁路保护 件Bypass功能，使设备在硬件掉电时，实现旁路保护；此功能可通过远程管理实现启动或关闭；软件Bypass功能使设备在系统软件出现故障时，实现旁路保护；可实现启动或关闭管理 网御神州科技（北京）有限公司 第 11 页

网神SecIPS3600系列入侵防御系统产品白皮书

分类 特性/功能 详细描述 支持图形界面和命令行管理方式，图形管理界面为全中文界面 灵活的管理 管理方式 高效的集中支持通过专用的安全管理系统，实现全局拓扑生成、集中管理 日志审计、集中设备监控等安全管理 直观的状态具有显示攻击事件百分比的仪表盘、显示协议流量的柱状显示 图、安全事件趋势分析曲线图、实时事件列表等多种实时状态显示，方便分析网络的现状和趋势 设备升级 支持通过线升级和本地文件升级方式，来对特征库、管理软件、设备操作系统实现升级 报警 日志审计 报表 可实时通过SecIPS管理系统、邮件、syslog进行报警 内置多样化的报表模版，自动定时生成和自定义来生成报表；支持HTML、PDF、CSV等文件格式；可利用邮件或FTP等形式定时外传报表 可根据事件类型、虚拟设备、时间、源/目的IP、攻击名称事件查询 等信息进行快速问题定位

网御神州科技（北京）有限公司 第 12 页

网神SecIPS3600系列入侵防御系统产品白皮书

4 产品型号与指标

型号 性能 吞吐量IPS/IDS 400Mbps/400Mbps 时延 最大并发连接 接口 网络接口 内置Bypass Rs-232端口 监控能力 网路支持 物理特性 机箱尺寸(cm) 重量（kg） MTBF 43*25.5*4.4（1U） 12 >150,000 110~240V AC 电源 4-8A 47-63Hz 150W 单电源 工作温度 相对湿度

0℃~50℃ 10%~90%非冷凝 2路IPS+1路IDS或5路IDS 6*10/100/1000 TX 一路内置bypass SecIPS 3600-FS520 <100微秒 1,200,000 1 网御神州科技（北京）有限公司 第 13 页