IDS

山石网科Hillstone IDS是一款基于新一代威胁检测技术的入侵检测系统，旨在帮助企业和组织实时监控网络流量，识别并响应各类网络攻击行为，保障网络基础设施和业务系统的安全稳定运行。产品融合了特征匹配、异常行为分析、机器学习和威胁情报等多种技术手段，覆盖从边界到内网的全场景威胁检测需求，支持国产化软硬件环境适配，满足等保2.0、PCI DSS等合规要求。

一、核心定位与整体架构

Hillstone IDS的核心定位是构建“实时检测-智能分析-快速响应”的一体化网络安全防护体系，为用户提供全方位的威胁感知能力。产品的整体架构采用分层设计，各层之间松耦合，确保系统的灵活性和可扩展性。

• 实时威胁检测：通过多维度检测技术，实时识别网络中的恶意攻击行为，包括已知威胁（如病毒、蠕虫、木马）和未知威胁（如零日攻击、高级持续性威胁APT）。
• 智能分析与态势感知：对检测到的威胁事件进行关联分析，生成网络安全态势视图，帮助用户了解当前网络的安全状态和潜在风险。
• 快速响应与处置：与防火墙、IPS、SOAR等安全产品联动，实现自动化威胁处置，减少人工干预时间，提升响应效率。
• 合规审计：生成符合行业合规标准的报表，满足用户的合规审计需求。

Hillstone IDS的逻辑架构分为以下七层：

1. 数据采集与预处理层：负责采集网络流量和日志数据，并进行过滤、解析和归一化处理。
2. 检测引擎层：核心层，采用特征检测、异常检测、机器学习等多种技术进行威胁识别。
3. 威胁情报层：集成内部和外部威胁情报，为检测引擎提供支持，提升检测精准度。
4. 策略管理层：提供灵活的策略配置功能，用户可根据业务需求定制检测规则。
5. 可视化分析层：通过Dashboard、日志分析、报表等功能，直观展示威胁信息和安全态势。
6. 联动响应层：与其他安全产品集成，实现自动化威胁处置。
7. 运维管理层：负责系统的监控、告警、升级和维护，确保系统稳定运行。

二、核心功能模块详解

1. 数据采集与预处理

数据采集与预处理是威胁检测的基础，Hillstone IDS提供全面的采集能力和高效的预处理机制，确保输入检测引擎的数据质量。

• 多源流量采集：支持通过端口镜像（SPAN）、网络分流器（TAP）、虚拟环境流量镜像（VMware vSphere、KVM）等方式采集网络流量；同时支持导入第三方日志（防火墙日志、服务器日志、终端安全日志）进行补充检测，覆盖边界、内网、终端等全场景数据来源。
• 全协议解析：解析TCP、UDP、ICMP等基础协议，以及HTTP、HTTPS、FTP、SMTP、POP3、IMAP、DNS、SSH、RDP、Telnet等应用层协议；新增对IoT协议（MQTT、CoAP、Modbus、DNP3）和云原生协议（Kubernetes API、Docker API、AWS S3 API）的解析，适配物联网和云环境的安全需求。
• 流量预处理：对采集的流量进行过滤（去除广播包、多播包、无效TCP连接）、归一化（统一流量数据格式）、分片重组（TCP/IP分片重组）、会话还原（HTTP会话、FTP文件传输会话还原），确保检测引擎能获取完整的流量上下文信息。

2. 多维度威胁检测引擎：检测引擎是Hillstone IDS的核心，融合多种检测技术，实现对已知和未知威胁的精准识别。

• 特征检测：基于山石网科自主研发的特征库，涵盖CVE漏洞、OWASP Top 10、恶意代码特征等，支持对SQL注入、XSS、命令注入、缓冲区溢出等攻击的实时检测；特征库每日多次增量更新，确保覆盖最新威胁。
• 异常检测：基于基线的行为分析，通过学习正常网络流量的特征（如流量大小、连接频率、端口使用情况）建立基线，当流量偏离基线时触发告警；支持自定义基线阈值，适配不同业务场景的正常行为模式。
• 行为分析：针对应用层攻击行为进行深度分析，如Web应用的异常访问（多次失败登录、敏感路径访问）、数据库的异常操作（批量数据导出、未授权访问）、终端的异常行为（横向移动、恶意进程启动），识别潜在的攻击链。
• 机器学习检测：采用监督学习和无监督学习模型，对海量攻击样本和正常流量数据进行训练，识别未知威胁（如零日攻击、APT攻击）；模型支持在线更新，通过持续学习新的威胁样本提升检测能力。
• 加密流量检测：支持对TLS/SSL加密流量的检测，通过证书信息、流量特征（如握手时间、数据包大小分布）、SNI（Server Name Indication）识别恶意加密流量；对于已解密的流量，进行深度内容分析，检测隐藏在加密流量中的攻击。

3. 威胁情报集成与应用：威胁情报是提升检测精准度的关键，Hillstone IDS集成内部和外部情报源，实现威胁的快速识别和关联分析。

• 内置威胁情报库：山石网科威胁情报中心（Hillstone Threat Intelligence Center）提供实时更新的情报，包括恶意IP、域名、URL、文件哈希（MD5/SHA1/SHA256）、攻击家族（如勒索软件家族、木马家族）；情报来源涵盖全球蜜罐网络、安全社区、合作伙伴共享数据，确保情报的时效性和准确性。
• 第三方情报对接：支持STIX/TAXII 2.0标准，对接MITRE ATT&CK、国家CERT、行业情报平台等外部情报源；用户可自定义导入私有情报（如内部威胁IP列表），满足个性化需求。
• 情报关联分析：将检测到的事件与威胁情报关联，如检测到某个IP访问恶意URL，结合情报库发现该IP属于某僵尸网络，自动提升告警优先级；支持攻击链关联（如初始访问→横向移动→数据渗出），帮助用户识别完整的攻击路径。

4. 灵活的策略管理：策略管理是实现个性化检测的核心，Hillstone IDS提供丰富的策略配置功能，适配不同业务场景的安全需求。

• 多维度策略定制：基于IP地址、端口、协议、应用类型、用户组、时间范围等维度定制检测策略；支持对特定业务系统（如财务系统、CRM系统）设置专属策略，提升关键业务的防护等级。
• 策略优先级与冲突解决：支持策略优先级排序，高优先级策略优先执行；系统自动检测策略冲突（如重叠的IP范围、矛盾的检测规则）并给出提示，帮助用户优化策略配置。
• 白名单管理：支持IP白名单、域名白名单、URL白名单、用户白名单，减少对可信流量的误报；白名单支持导入导出、正则表达式匹配，方便批量管理。
• 动态策略调整：基于实时流量和威胁情况自动调整策略，如某个IP在1小时内发起100次以上SQL注入尝试，系统自动加强对该IP的检测（如增加特征检测频率、启用异常行为分析）；支持根据威胁等级调整策略，高威胁时段（如节假日、重大活动期间）自动启用严格检测模式。

5. 可视化分析与报表：可视化分析帮助用户直观理解网络安全态势，Hillstone IDS提供丰富的可视化功能和合规报表。

• 实时Dashboard：展示网络安全态势概览，包括威胁类型分布（SQL注入、XSS、恶意代码）、攻击源/目标分布（Top 10攻击IP、Top 10受害IP）、流量趋势（带宽使用、连接数变化）、告警统计（按时间、威胁等级统计）；支持自定义Dashboard，用户可添加常用指标和图表。
• 事件详情分析：每个告警事件提供详细信息，包括时间、源IP/端口、目标IP/端口、攻击类型、威胁等级、影响范围、关联情报（如恶意IP所属家族）、会话日志；支持会话回放功能，还原攻击过程，帮助用户定位攻击原因。
• 日志检索与分析：提供多条件组合检索（时间范围、攻击类型、IP地址、协议、威胁等级），支持模糊查询和正则表达式；日志支持导出为CSV、PDF格式，方便离线分析。
• 合规报表生成：生成符合等保2.0、PCI DSS、HIPAA、GDPR等合规标准的报表，包括威胁检测报表、日志审计报表、策略执行报表；报表支持自定义模板，用户可根据审计需求调整内容，支持自动定时生成和邮件发送。

6. 联动响应与自动化处置：联动响应是提升威胁处置效率的关键，Hillstone IDS与多种安全产品集成，实现自动化响应。

• 与防火墙联动：检测到恶意IP/域名后，通过REST API将其添加到防火墙的黑名单，防火墙自动阻断该IP/域名的所有流量；支持联动山石网科下一代防火墙（NGFW）和第三方防火墙（如华为、华三）。
• 与IPS联动：协同IPS进行深度防御，IDS识别威胁后，IPS自动启用对应的防护规则，阻止攻击扩散；支持联动山石网科IPS和第三方IPS产品。
• 与SOAR平台集成：通过API对接SOAR平台（如山石网科SOAR、IBM Resilient），实现自动化响应流程，如隔离受感染主机、重置用户密码、关闭异常端口、发送告警通知；支持自定义响应剧本，适配不同业务场景的处置需求。
• 告警通知：支持邮件、短信、钉钉、微信、Slack等多种通知方式；用户可根据威胁等级设置通知规则，如高危告警发送短信和邮件，中低危告警发送钉钉消息。

7. 运维管理与高可用性：运维管理确保系统稳定运行，Hillstone IDS提供全面的运维功能和高可用性保障。

• 集群部署：支持分布式集群部署，通过负载均衡分配流量处理任务，提升系统吞吐量和冗余性；集群节点之间实时同步策略、情报和日志数据，单点故障不影响系统运行。
• 状态监控：监控系统资源（CPU、内存、磁盘、网络带宽）、检测引擎状态（特征库版本、模型更新状态）、流量处理能力（每秒处理数据包数、流量吞吐量）；支持自定义监控阈值，当指标超过阈值时触发告警。
• 自动升级：特征库支持每日多次增量更新，系统版本支持自动升级（可选手动确认）；升级过程不中断业务，确保系统持续运行。
• 多租户管理：支持多组织/部门共享系统，实现资源隔离（CPU、内存、存储）和权限控制（基于RBAC模型）；每个租户拥有独立的Dashboard、策略和报表，满足大型企业和服务提供商的需求。
• 日志备份与恢复：支持日志本地备份和远程备份（FTP、SFTP、NFS）；提供日志恢复功能，当系统故障时可快速恢复日志数据，确保审计追溯能力。

三、技术特点与优势

• 高性能检测：采用硬件加速（ASIC芯片）和软件优化（并行处理、流复用、内存池技术），单节点支持10Gbps吞吐量，延迟低于1ms；集群部署可扩展至T级吞吐量，满足大型企业和运营商的流量处理需求。
• 精准检测能力：融合特征检测、异常检测、机器学习等技术，误报率低于0.1%，漏报率低于0.05%；针对APT攻击的检测准确率达95%以上，有效识别高级威胁。
• 未知威胁识别：基于无监督学习模型，识别90%以上的零日攻击；通过威胁情报关联，快速定位未知威胁的归属和影响范围。
• 国产化适配：支持国产操作系统（银河麒麟、统信UOS）、国产芯片（飞腾FT-2000+/64、鲲鹏920、龙芯3A5000）、国产数据库（达梦、人大金仓），符合信创产业要求；通过等保2.0三级认证，满足政府和国企的安全合规需求。
• 高可用性：集群部署支持N+1冗余，可用性达99.999%；系统故障自动切换，业务中断时间小于1分钟。
• 易扩展性：支持横向扩展，新增节点即可提升系统吞吐量和处理能力；支持插件化架构，可扩展新的检测技术和协议解析能力。
• 用户友好性：提供可视化的Web管理界面，操作简单直观；支持向导式策略配置，降低用户技术门槛；提供详细的用户手册和在线帮助，帮助用户快速上手。

四、典型应用场景

• 企业边界安全防护：部署在企业边界（互联网出口、专线入口），监控进出流量，识别DDoS攻击、SQL注入、XSS、恶意代码等威胁；与防火墙联动，自动阻断恶意流量，保护企业内网安全。
• 内网安全态势感知：部署在内网核心交换机，监控内网流量，发现横向移动攻击（如勒索软件传播、权限提升、数据渗出）；通过行为分析和威胁情报关联，识别APT攻击，帮助企业及时处置内部威胁。
• 金融行业合规审计：满足PCI DSS要求，监控交易系统流量，防止信用卡数据泄露和欺诈行为；生成合规报表，支持审计机构的检查需求。
• 政府政务系统防护：符合等保2.0三级要求，保护政务系统（如一网通办平台、电子政务内网）免受攻击；监控内网终端和服务器的异常行为，防止数据泄露。
• 医疗行业数据保护：监控医疗系统（HIS、EMR、PACS）流量，防止电子病历泄露和医疗设备攻击；与终端安全产品联动，处置受感染的医疗设备。
• 教育行业校园网安全：部署在校园网核心，监控学生和教职工的网络行为，识别恶意下载、DDoS攻击、非法访问等威胁；保护校园网服务器（如教务系统、图书馆系统）免受攻击。
• 物联网安全防护：部署在物联网网关，监控IoT设备流量，识别针对MQTT、CoAP等协议的攻击；通过异常检测，发现设备的异常行为（如未授权访问、数据篡改），保护物联网系统安全。

五、总结

山石网科Hillstone IDS通过融合多维度检测技术、威胁情报和自动化响应能力，构建了全方位的网络安全防护体系。产品具备高性能、精准检测、国产化适配、高可用性等优势，覆盖企业边界、内网、物联网、云环境等全场景安全需求，帮助用户提升威胁感知能力，快速响应网络攻击，满足合规审计要求。无论是金融、政府、医疗等行业用户，还是中小企业，都能通过Hillstone IDS获得可靠的网络安全保障。

点击链接，了解更多产品详情：

登录后查看

https://www.hillstonenet.com.cn/product-and-service/border-security/ips/" rel="noopener noreferrer" target="_blank" style="color: rgb(230, 0, 0);">https://www.hillstonenet.com.cn/product-and-service/border-security/ips/