现代教育技术中心入侵检测防护系统投标书昭阳

1、上海市普陀区现代教育技术中心入侵检测防护系统投标文件招标编号： JSZB-2008-11-148投标方：上海昭阳信息技术有限公司二八年十二月十八日投标文件声明致：上海市普陀区教育资产管理中心根据贵方 上海市普陀区现代教育技术中心入侵检测防护系统项目招标采购的入侵检测防护系统 货物的投标邀请(招标编号为:JSZB-2008-11-148)，现正式授 权的下列签字人 刘建平、客户经理(全名、职务)代表投标人 上海昭阳信息技术有 限公司(投标人名称)，提交下述文件正本1份和副本4份。(1) 投标文件声明；(2) 开标一览表；(3) 投标报价明细表；(4) 货物说明一览表；(5) 配件价格表；(6)

2、技术服务项目报价表；(7) 技术参数偏离表；(8) 售后服务计划书；(9) 资格证明(附件九、十二、十三)；(10) 相关证件；(11) 项目负责人情况表；(12) 商务对比表；(13) 投标设备样本(含设备彩图、设备说明书)及其它部分(投标人认为设 备符合“招标文件”规定的证明文件，以及投标人认为需要加以说明的其他内容)。(14) “投标人须知”第10条要求投标人提交的全部文件。据此函，签字人兹宣布同意如下：(A) 按招标文件的规定提交货物、运输装卸和布线、安装调试及售后服务费用(含除设备、材料之外的各种辅助性附件费用)及提供技术服务的投标 总价:伍拾贰万肆仟肆佰元整(Y 524400)。（

3、B）投标人将按“招标文件”的规定履行合同责任和义务。（C）投标人已详细审核了全部“招标文件”，包括修改文件以及全部参考资 料和有关附件，我们知道必须放弃对上述文件中所有条款提出存有含糊不清或不理 解之问题的权利。（D）我们同意在“投标人须知”第22条所述的开标日期起遵循本投标文件的规定，并在“投标人须知”第16条规定的投标有效期届满之前均有约束力，而且有可能中标。（E）如果在开标后规定的投标有效期内撤回投标，我们的投标保证金可被贵 方没收。（F）同意进一步提供贵方可能要求的与投标有关的任何数据证据或资料。（G）我们完全理解贵方不一定要接受最低报价的投标或收到的任何投标。（H）我们承诺我们提供的

4、资格文件及一切资料均真实有效，如与实事不符， 我们的投标将被视为无效投标。 我们愿按上海市政府采购供应商登记及诚信管理（暂行）办法的规定接收处理，并原意承担由此引发的各类法律责任。 与本投标有关的正式通讯地址为：地址：上海市杨浦高科技孵化基地二期 904邮编： 200433电话： 021-传真： 021-电子邮件被授权人代表签字：公章：日期：2008年 12 月 18 日开标一览表项目名称：上海市普陀区现代教育技术中心入侵检测防护系统投标单位：_上海昭阳信息技术有限公司投标总价：Y 524400 元（大写伍拾贰万肆仟肆佰元整）招标编号：JSZB-2008-11-148123456内价设备（元）

5、安装调试费（元）交货时间投标保证金质保期入侵检测防护系统¥ 5244000合同签订后2周内¥ 6,000三年投标总价E（ 2+ 3）伍拾贰万肆仟肆佰兀整（¥ 524400）被授权人代表签字：（盖公章）日期：2008年12月_18_日招标编号：JSZB-2008-11-148投标报价明细表12345789序号设备名 称数量单价品牌型号保险费运输费总价3 X 4 + 7+ 81入侵检 测防护 系统1¥ 524400McAfeeIn truShield270000¥ 524400B安装隹W 丿2成0投标总价（元）刀9+ B¥ 524400

6、（大写伍拾贰万肆仟肆佰元整）被授权人代表签字：（盖公章）日期：2008年12月18日货物说明一览表序号货物名称型号规格主要 技术参数数量性能说明备注1入侵检测防护系统McAfeeIn truShieId 2700配置6个10/100M网络端口，2个千兆端口，1个 10/100M管 理端口；1网络吞 吐量为600Mbps；并发连接数25万说明：货物说明一览表中填写的技术指标是真实的， 与投标设备实际技术指标无偏差。被授权人代表签字：（盖公章）日期：2008年12月_18_日招标编号：配件价格表JSZB-2008-11-148序号配件名称型号单价（元）1千兆铜缆口或千兆光口模块lOOOBase T

7、X GigabitIn terface Conv erter¥ 4,0002Fail-Open 模块Gigabit Fail-Ope nKit¥ 10,800注：质保期后主要零配件价格。投标人代表签字：（盖公章）日期：2008年_12_月_18_日技术服务项目报价表招标编号：JSZB-2008-11-148序号技术服务项目报价（元）1上门费¥ 5002检杳费¥ 5003保养费¥ 8004硬件维修视情况而定，以成本价收取相关5零配件更换费用注：质保期后维修服务收费标准。被授权人代表签字：（盖公章）日期：2008年12 月 18 日招标编号：JSZ

8、B-2008-11-148技术参数偏离表序号设备 名称招标文件技术规格投标文件技术规格偏 离说明McAfee In truS hield 2700 入 侵检测 防御系统性能要求探测端口数要求不 少于6个百兆端口， 2个千兆端口，同时 支持光纤端口和冋 轴电缆端口，并且 有单独的10/100Mbps 以太网 管理端口McAfee IntruShield 2700:标配6个百兆以 太网口 ,2个GBIC千兆 端口，同时支持光纤 端口和同轴电缆端口， 并且有单独的 10/100Mbps以太网管 理端口无 偏 离网络流量在600Mbps时设备仍要能正常运行，且 性能无可感觉的变 化McAfee Int

9、ruShield 2700 最高性能 600Mbps无 偏 离支持的并发连接数不少于250,000个McAfee IntruShield2700最大并发连接数250, 000个无 偏 离入 侵 探 测 架 构 要 求Sensor架构要求为基于ASIC的硬件SensorMcAfee In truShield 2700产品基于ASIC的 硬件Sensor无 偏 离攻击 Sig natures 数 不低于4000种McAfee IntruShield 2700防 攻击Sig natures 数远远大 于4000,实时签名更 新无 偏 离能够解码的协议数 不低于105种McAfee IntruShie

10、ld2700能够解码的协议数为105种无 偏 离异常探测支持协议 异常、应用异常和 统计探测方式McAfee IntruShield 2700支持协议异常、 应用异常和统计探测 方式无 偏 离DOS探测必须有两 种方式：人工定义 阈值和自学习每种DOS攻击协议 Profile 的探测方 式，并且支持Syn-Cookie 的防DOS攻击方式McAfee IntruShield2700具有两种防 DOS/DDOS攻击的方 式，支持 Syn-Cookie 的防DOS攻击方式无 偏 离支持用户自定义Sig natures用户可以根据攻击特 征自定义特征库无 偏 离支持非对称路由下 的流量监控和Sess

11、ion 跟踪McAfee IntruShield 2700支持非对称路由 下的流量监控和Session 跟踪无 偏 离能够探测加密 SSL 攻击，并且不影响 性能McAfee IntruShield 2700能够在不影响设 备性能的情况下，对加 密攻击进行探测无 偏 离要求入侵防护设备 内没有硬盘McAfee IntruShield 2700硬件sensor内部 没有硬盘无 偏 离支持内部状态防火 墙的功能McAfee IntruShield2700支持防火墙功能无 偏 离支持基于 TCP/UDF端口、网络协议网 络流量分配> McAfee IntruShield2700具有网络流量分

12、配功能无 偏 离支持网络访问控制McAfee IntruShield2700支持网络访问控 制无 偏 离动 作 响 应防护策略可以根据 内部(In bou nd )和 外部端 口(Outbound)配制 不同的动作响应McAfee IntruShield2700设备可以对内部 和外部端口设置不同 的响应动作无 偏 离入侵防护设备自身 支持攻击数据包Drop 禾口 SessionDropMcAfee IntruShield2700自身支持攻击数据包 Drop 和 Session Drop无 偏 离支持IP、主机隔离McAfee IntruShield 2700支持IP、主机隔 离无 偏 离SPA

13、N时支持TCP ReseMcAfee IntruShield 2700以SPAf方式部署 时支持TCP Rese无 偏 离支持ICMP®知攻击 客户端McAfee IntruShield 2700支持ICMP®知攻 击客户端无 偏 离接入方式要求支持 In-Line、TAP SPAN 和PortClusteri ng 接入方 式McAfee In truShield 2700 支持 In-Line、 TAP 含 SPAN和 PortClusteri ng 接入方式无 偏 离支持虚拟IPS,单台 设备可以支持 100 个虚拟IPS，虚拟 IPS划分必须能够支持VLAN和CID

14、R单台设备最大可以支持100个虚拟IPS,虚 拟IPS划分能够支持VLAN和 CIDR无 偏 离同一台入侵防护设 备能够同时支持In-Line、Tap SPAN 和PortClusteri ng 部署方 式McAfee IntruShield2700支持四种部署方1 式为 In-Line、TAP含（对应快速以太网端 口）、SPAN和 PortClusteri ng无 偏 离探测端口支持Fail-Ope nMcAfee IntruShield2700探测端口具有Fail-Open 功能无 偏 离设备自身支持双机 热备（HA）功能McAfee IntruShield2700支持双机热备(HA功能无

15、 偏 离策 略 和 配 置 管 理 要 求可以依据用户环境（OS应用和平台） 选择已经疋制好的 不同平台环境策略 组McAfee IntruShield 2700通过管理软件依 据用户环境（OS应用 和平台）选择已经定制 好的不同平台环境策 略组无 偏 离Sig nature 和策略 升级可以通过人工 或者自动方式Push 到入侵防护SensorMcAfee IntruShield2700支持人工或自动 方式将sig nature 禾口 策略Push到入侵防护Sensor无 偏 离Sig nature 升级后 不需重启入侵防护SensorMcAfee IntruShield 2700 支持 S

16、ig nature 升级后不需重启入侵 防护Sensor无 偏 离支 持 Sensor software的UpgradeMcAfee IntruShield 2700 支持 Sensor software 的 Upgrade无 偏 离入侵 风险预警功能支持和漏洞管理系 统的集成McAfee IntruShield系列产品可以和漏洞 扫描系统集成无 偏 离能够将内部计算机 网络漏洞评估报表 载入到IPS管理端， 在报警管理窗口中 有专门的栏目标记 和内部网络存在的 漏洞相关的攻击McAfee IntruShield 2700能够将内部计算 机网络漏洞评估报表 载入到IPS管理端，在 报警管理窗口

17、中有专 门的栏目标记和内部 网络存在的漏洞相关 的攻击无 偏 离报警管理 要 求支持实时报警McAfee IntruShield2700具有实时报警功 能无 偏 离支持报警图形显示McAfee IntruShield2700支持报警图形显 示无 偏 离支持攻击状态结果显示McAfee IntruShield2700攻击状态分类结 果显示无 偏 离报警管理器支持向 下挖掘详细信息的“ Drill Down ”功 能McAfee IntruShield 系统报警管理器支持 向下挖掘详细信息的“ Drill Down ”功能无 偏 离要求无最大报警数 限制McAfee IntruShield2700

18、报警数无限制无 偏 离报警可以根据攻击 类型、IP地址、端 口、方向等用不同 颜色标记，便于查 找和管理报警可以以攻击级别、 攻击类型、IP地址、 端口、方向等用不同颜 色标记，便于查找和管 理无 偏 离报 表 要 求 要 求报表格式支持 PDF和 HtmlMcAfee IntruShield 支持多种报表格式，包 括 PDF 禾口 Html、CSV 格式及中文报表无,偏离已有固定的报表格 式拥有固定的报表格式无 偏 离具有用户自定义报 表模板McAfee IntruShield 系统可以自定义报表 格式无 偏 离开放数据库SchemaMcAfee IntruShield支持开放数据库Sche

19、ma无 偏 离支持通过邮件定时 向指定人员发送自 动产生的指定报表McAfee IntruShield 通过电子邮件向指定 人员定时发送报表无 偏 离服 务 要 求原厂商二年服务，7*24服务，紧急情 况下4小时当日上 门服务提供三年质保，7*24 服务，紧急情况下 4 小时当日上门服务无 偏 离中标方提供7天 x24小时热线支持 和专门的项目经理 负责提供7天x24小时热线 支持和专门的项目经 理负责无 偏 离（盖公章）日期：2008年12 月18 日售后服务计划书主要内容应包括：1、公司简介上海昭阳信息技术有限公司注册于杨浦高新技术产业园区，是一家集计算机系 统集成、硬件分销、软件开发、技

20、术服务为一体的高科技公司，是杨浦区科委重点 支持企业。上海昭阳信息技术有限公司是一家优秀的信息技术产品的提供商 - 公司一贯 倡导将全球最先进的、 最好的产品提供给用户， 先后和许多国际知名的计算机及网 络产品供应商达成合作伙伴关系。公司 1997 年与联想公司签约，目前是联想全系 列产品的行业增殖服务商。 从2002年公司陆续和IBM、DELL HP国际知名IT厂商 建立战略合作伙伴关系，在政府、教育行业、企业领域我们是DELL和 HP产品的指 定系统集成合作商。上海昭阳信息技术有限公司是一家优秀的信息技术服务商。公司背靠复旦大学 的科研实力， 专注致力于教育、 政府机关、 医疗、大中型企业

21、等领域的信息化推广。 特别在教育、 企业行业有很强的软件开发、 系统集成的经验与实力。 公司在网络布 线、多媒体安防监控、多媒体视频会议、多媒体数字化教学领域获得了 2005 年国 家高新技术创新基金的支持。 项目在浦东干部管理学院、 长宁区政府、 长宁教育局、 闵行区教育局、黄浦区政府、教育局、扬浦区政府、教育局都有广泛的应用。2、售后服务机构（名称、人员配备、联系地址、电话） ； 上海昭阳信息技术有限公司 售后服务部 地址：上海市杨浦高科技孵化基地二期 904 电话： 021- 人员安排：刘建平 项目经理3、中标方承诺提供7x24小时热线支持和专门的项目经理负责;上海昭阳信息技术有限公司承

22、诺中标后，提供三年的 7*24 小时热线支持， 电话： 021-4、应急维修时间安排，不能修复时采取的措施； 本项目自项目验收日开始为期三年的质量保证服务，提供 7*24 小时技术支持 和专门的项目经理负责制，对出现的产品缺陷的修理费和材料费由昭阳公司负责。在质量保质期内，一旦设备出现故障，昭阳公司在接到报修通知后， 1 小时内 响应，4 小时内到达现场并在 24小时内负责维修或更换损坏的零件、部件或设备， 保障网络系统的正常运行。5、质保期后主要零配件价格；参加本投标文件第 7页6、质保期后维修服务收费标准；参加本投标文件第 8页7、免费培训计划；人员技术培训作为工程实施的一个重要环节，对整

23、个项目的实施至关重要。在 系统实施前和安装实施完毕后 , 昭阳公司及 McAfee 公司根据实施情况和以往的实 施经验， 在完善的组织下， 集中优秀的师资力量， 对客户技术部门人员进行免费技 术培训。使技术人员对 McAfee IntruShield 有一个深入的理解，同时使相关技术 人员能独立进行 McAfee IntruShield 入侵防护产品安装及策略配置、操作等。培训计划安排如下：时间： 在工程进行过程中根据客户的要求进行现场技术培训，并在项目实施完成之后 协商决定集中技术培训的时间。地点：由用户决定在某一培训场所。师资力量：具备 McAfee 专业资格认证工程师。课程内容 ： 技术

24、原理、初始配置和系统设置功能设备监控配置、性能攻击拦截监控和处理日常维护及故障诊断、排除实际操作练习被授权人代表签字：（盖公章）日期：2008年12 月 18 日关于资格的声明函致：上海市普陀区教育资产管理中心关于贵方2008年 11 月_28_日JSZB-2008-11-148（招标编号）的投标邀请，签 字人愿意参加投标，提供招标文件规定的 入侵检测防护系统（货物名称），并证明 提交的下列文件及相关说明是准确的和真实的。1. 国内工商部门签发的我方工商营业执照正本（或副本）复印件（当年年检有效 的印鉴并加盖公章）一份。2. 制造商出具的授权书。3. 本签字人确认资格文件中的相关说明是真实的、

25、准确的，如与实事不符，我 方愿承担一切后果。投标人名称（盖公章）:上海昭阳信息技术有限公司法人代表签字：地址：上海市杨浦高科技孵化基地二期 904室被授权人代表签字：电话：021-传真：021-邮编：200433日期：2008年12 月 180相关证件1、工商局颁发的通过本年度年审的营业执照复印件；2、国家有关部门颁发并通过本年度年审相应资质证书的复印件；3、生产厂针对本项目投标的授权书。法人代表授权书本授权书声明：注册于 上海市杨浦区中山北二路 1111号 的 上海昭阳信息技 术有限公司 的下面签字的 窦同力（法人代表姓名），代表本公司授权下面签字 的 刘建平、客户经理（被授权人的姓名、职务

26、）为本公司的合法代理人，就上海市普陀区现代教育技术中心入侵检测防护系统（项目名称）投标及合同的执行、完成和保修，以本公司名义处理一切与之有关的事务。本授权书于2008年 12 月 18日签字生效，特此声明。（附被授权人代表身份证复印件）法人代表签字盖章：代理人（被授权人）签字盖章： 投标人名称（盖公章）：地址：上海市杨浦高科技孵化基地二期 904日期：2008年 12月日项目经理负责人情况表招标编号：JSZB-2008-11-1481. 般情况姓名刘建平年 龄25技术职务项目经理职务客户经理为投标人服务时间1年学历本科相关职业资格取得职业资格时间2.经历年份负责过得主要项目该项目中任职备注20

27、07 年10月长宁教育局网络安全建设项目经理2008 年 7月闵行区教育局网络安全建设项目经理投标人代表签字：（盖公章）日期：2008年12 月 18 日商务对比表1投标单位检查内容投标单位填与（投标单位名称：上海昭阳信息技术有限公司）1.注册资金（万元）伍佰万兀2.投标总价（元）¥ 524,400设备价（元）¥ 524,400安装集成费（元）03.交货期（合同签订后2周内）在项目合同签订后2周内交货4.付款方式（响应或不响应）供货合同签订后2周内支付合同总价的30% 作为预付款；验收合格后支付70%5.售后服务计划书（见投标文件页）见投标书第12页6.维修机构地点上海市杨

28、浦高科技孵化基地二期9047.质保期后维修服务收费标准参加本投标文件第7、8页8.联系电话021-9.急修到现场时间（4小时内）1小时内响应，4小时内到达现场服务招标编号：JSZB-2008-11-148注：请将此表填写后，以电子文档（谢绝3寸软盘）的WOE形式与“技术对比表电子文档”及“投标保证金” 一起装入一个单独密封的信封内，此信封必须封存于 密封的投标文件正本之内。被授权人代表签字：（盖公章）日期：2008年12 月 18 日方案设计1、概述绝大多数人在谈到网络安全时， 首先会想到“防火墙”。 防火墙得到了广泛的 部署，并被作为多层安全体系结构的第一层防护， 它主要是作为一个访问控制设

29、备， 允许特定协议（例如HTTP、DNS SMTP在一组源地址和目标地址之间传递。作为 访问策略增强的一个组成部分，防火墙一般是通过检查数据包头来制定流量决策。 一般来说， 它们并不能检查数据包的全部内容， 因此，也无法检测或拦截嵌入到普 通流量中的恶意代码。 需要注意的是，路由器也是通过数据包过滤来实现防护功能， 因此，它提供的也是一种不完善的保护。虽然说基于防火墙和路由器的数据包过滤是全面的网络安全拓扑结构的必要 组件，但仅靠它们是远远不够的。网络入侵防护系统 （IPS） 产品能够对通过网络的每一个数据包的全部内容进 行检查， 并对恶意活动进行检测。 与防火墙和路由器相比， 这种内容检查技

30、术能够 提供更加深入的数据包分析。 入侵防护系统的有效性体现在， 它能够检测出嵌入在 常用协议（例如 HTTP 会话）中的复杂攻击，而防火墙通常检测不到这类攻击，使 它们能够轻松地通过。 由此看来， 与防火墙产品相比， 入侵检测防护所需的处理能 力要高出很多。现代网络的种种不足之处促使 IPS 产品成为了一个最基本的工具，它能够对 已知攻击、 未知攻击以及拒绝服务攻击进行检测和预防， 满足各种企业网络和政府 网络的要求， 协助安全工程师进行检测和分析， 保护网络免受恶意攻击的骚扰。 因 此，IPS产品在防火墙内外都得到了广泛的部署， 并很快成为了“最佳”安全网络 实施的主流解决方案。2 、设备

31、选型针对招标文件要求，我公司推荐用户使用 McAfee IntruShield 2700 ，设备硬 件见下图：探测端口密度：4对监测端口（ 1对，GBIC光口 Bypass:通过外部Fail-Open设备响应端口： 3个-用作IDS部署时拦截持续攻击连接管理端口： 1 x 100 Mbps 管理端口并发连接支持：25万网络吞吐量：600Mbps3、产品清单产品型号产品描述数量McAfeeIn truShield 2700配置6个10/100M网络端口，2个千兆端口， 1个10/100M管理端口；网络吞吐量为600Mbps14、产品部署本方案推荐使用嵌入式In-Line方式部署McAfee In

32、truShield2700入侵检测防护系统。这种部署方式的好处是可以实时丢弃掉异常流量数据包、Session、黑客攻击数据包（包括DOS/DDO攻击数据包），同时无需改变原有网络拓扑结构， 保障网络 改造的无缝衔接。5、 McAfee IntruShield网络入侵防护产品简介In truShield基于完整的攻击分析方法而构建，并引入了业界最为全面的网络攻击特征检测、异常检测以及拒绝服务检测技术，除了可以探测攻击，还可以探测已知未知蠕虫和后门程序。网络攻击特征检测为了实现高性能的网络攻击特征检测，In truShield体系结构不仅采用了创新的专利技术，而且集成了全面的状态检测引擎、完善的特

33、征规范语言、“用户自定 义特征” 以及实时特征更新， 确保了 IntruShield 能够提供并维护业界最为全面、 更新最及时的攻击签名数据库。特征规范语言IntruShield 以专用的高水平特征规范语言为强大支持。 IntruShield 能够从 应用程序软件中分离出攻击模式特征， 在这个独特的体系结构中， 将特征简单地转 换为表单项， 从而可以通过直观的用户界面实现实时更新， 并可被特征引擎立即使 用。目前的 IDS 产品往往通过软件“补丁程序”来提供新的特征， 这不仅降低了部 署速度（必须根据整个 IDS 软件应用程序进行质量保证） ，而且也不利于安装 （必 须重新启动系统）。而 In

34、truShield 通过从传感器软件中分离攻击模式特征， 从而 确保了高质量的全新特征可以快速部署（无需重新启动系统） 。同时，从传感器应 用程序代码中分离特征也使得特征编写人员能够将精力集中在特征编写的“质量” 上，而无需考虑如何将特征构建为应用程序更新补丁。全面的状态特征检测引擎IntruShield 体系结构的特征检测引擎引入了强大的上下文敏感检测技术，在 数据包中充分利用了状态信息， 它通过使用多个令牌匹配来检测超越了数据包界限 的攻击特征，或超出序列范围的数据包流。用户自定义网络攻击特征IntruShield 使得网络安全工程师能够通过一个创新性的图形用户界面（ GUI） 来编写自定

35、义签名，该界面能够使用通过系统的协议分析功能所获取的字段和数 据，或者通过 IntruShield 的分析机制收集的状态信息。实时特征更新IntruShield 提供的创新性实时特征更新极大地提升了管理软件的性能，由 IntruVert 更新服务器提供的全新特征可以通过策略控制自动发送到整个网络， 从 而确保了新的特征一经创建， 网络即可获得最新的防护功能。 IntruShield 体系结 构还允许网络工程师决定何时，以及是否在整个网 络中部署最新的签名。 IntruShield 系统无需重新设置或重新启动任何硬件以便激活新的签名， 因此，它 们能够自动地、实时地进行部署。异常检测异常检测技术

36、为 IntruShield 体系结构全面的签名检测过程提供了完美的补 充，异常检测技术使得网络工程师能够对突发威胁或首次攻击进行拦截， 并创建出 一套完整的“异常档案” ，从而保护网络免受当前威胁和未来攻击的骚扰。IntruShield 体系结构提供了业界最为先进、最为全面的异常检测方法 集 成了针对统计数据、协议及应用程序的异常检测技术。异常 / 未知攻击的例子包括 新的蠕虫、 蓄意的隐性攻击、 以及现有攻击在新环境下的变种。 异常检测技术也有 助于拦截拒绝服务攻击 （观察服务质量的变动） 和分布式 DoS 攻击（ IntruShield 系统利用流量样式变动（例如 TCP 控制数据包的统计

37、数据）来决定是否即将发生 海量的数据流）。我们将在下面的部分具体讨论拒绝服务攻击。IntruShield 体系结构的异常检测技术还能够针对其它威胁提供保护， 这包括： 缓冲区溢出攻击、由木马程序或内部人员安装的“后门”或恶意攻击、利用低频率 进行的隐性扫描攻击、 通过网络中的多个发送点传送表面正常的数据包、 以及内部 人员违反安全策略（例如，在网络中安装游戏服务器或音乐存档） 。拒绝服务检测IntruShield 检测体系结构的第三根 “支柱” 就是它完善的拒绝服务防护技术。 自动记忆以及基于阀值的检测IntruShield 体系结构综合利用了基于阀值的检测技术和获得专利的、具有自 动记忆功能

38、的基于配置文件的检测技术， 从而使拒绝服务检测更具智能化。 借助基 于阀值的检测功能， 网络安全管理员就能够使用预先编写的数据流量限制来确保服 务器不会因负载过重而宕机。同时，自动记忆功能使得 IntruShield 体系结构能够分析网络使用方法和流量 的模式，了解合法网络操作中发生的多种合法，但不常见的使用模式。两种技术的结合确保了对各种 DoS 攻击的最高检测准确率 包括分布式拒 绝服务攻击（即恶意程序员为了进攻企业或政府网络， 同时对上百个， 甚至上千个 服务器发起攻击）。IntruShield 准确的 DoS 检测技术具有非常重要的意义， 因为很多网站和网络 都曾经历过合法的（有时是意

39、外的） 、极具吸引力的新程序、服务或应用程序的流 量冲击。检测技术的关联性正如我们所看到的， IntruShield 体系结构提供了多种操作模式，使得系统能 够捕捉恶意流量、 提供全面的攻击分析方法、 实施完整的智能化签名检测、 异常检 测以及拒绝服务防护技术。IntruShield 体系结构的检测关联层连接着系统的签名检测、异常检测以及拒 绝服务检测功能 这种相互关联性以及对可疑流量的交叉检查功能确保了攻击 检测的高度准确性。单一 IntruShield 系统能够对防火墙的公共网段、专用网段以及 DMZ 网段进 行全面的保护， 并提供这些网段之间的相互关联性， 从而能够针对被拦截的网络攻 击

40、或者进入专用网络的网络攻击提供准确的详细信息。入侵防护IntruShield 体系结构提供了业界最准确的攻击检测功能，构造了系统攻击响 应机制的坚实基础。没有足够响应能力的 IDS 产品只能为网络安全管理员提供有 限的功能。现代的 IDS 产品必须能够检测出攻击，并提供偏转和拦截恶意流量的 方法。IntruShield 体系结构为网络安全管理员提供了一整套手动的和自动的响应措 施，并以此构建起企业或政府机构信息技术安全策略的基础。就攻击检测来说， IntruShield 体系结构使系统可以实现以下功能：A. 拦截攻击IntruShield 体系结构允许 IDS 以嵌入模式工作， 因此，它能够实

41、时地在攻击 源和目标之间拦截单一数据包、 单一会话或数据流量， 从而在进程中拦截攻击， 而 不会影响任何其它流量。B. 终止会话IntruShield 体系结构允许针对目标系统、攻击者（或二者同时）重新设置并 初始化TCP。网络安全工程师可以对发送给源和/或目标IP地址的重新设置数据 包进行配置。C. 修改防火墙策略IntruShield 体系结构允许用户在发生攻击时重新配置网络防火墙，方法是临 时改变用户指定的访问控制协议，同时向安全管理员发出警报。D. 实时警报当网络流量违反了安全策略时， IntruShield 体系结构能够实时生成一个警报 信息，并发送给管理系统。 合理的警报配置是保持

42、有效防护的关键所在。 恶性攻击 （例如缓冲区溢出以及拒绝服务） 往往需要做出实时响应， 而对扫描和探测则可以 通过日志进行记录， 并通过进一步的研究确定其潜在的危害和攻击源。 网络安全工 程师能够获得有关电子邮件、 寻呼程序以及脚步警告的通知， 该通知基于预先配置 的严重性水平或特定的攻击类型， 例如拒绝服务攻击。 基于脚步的警告允许对复杂的通知过程进行配置，从而能够针对系统面临的攻击向特定团体或个人发出通知IntruShield 体系结构还提供了一个 “警报过滤器”，它允许网络安全工程师根 据安全事件的来源或目标进行筛选。 例如，当 IT 部门通过一个自有 IP 地址执行 漏洞扫描时，从该地址生成的事件就可以被过滤掉。E. 对数据包进行日志记录在攻击发生时， 或攻击发生之后， 基于 IntruShield 体系结构的系统能够首先 捕获数据包， 并对数据包进行日志记录， 然后将该流量重新定向到一个空闲的系统 端口，以便进行详细的合法性分析。 这个数据包信息就是对触发攻击的实际网络流 量的记