介绍

360防毒墙系统是一款专注于恶意代码威胁综合防御的硬件级网关产品，采用“整机专用”方式应对高流量、高并发网络场景，有别于防火墙、UTM、NGFW反病毒模块轻量级防御模式。产品内置网关级反病毒引擎、威胁防御引擎、行为管控引擎、内容过滤引擎，过滤病毒文件传输，拦截僵木蠕外联扩散，遏制勒索病毒及挖矿病毒攻击蔓延等高危事件，是帮助企业或组织完善网络安全防御架构和提升恶意代码威胁综合治理的有利工具。

 

架构

 

 

功能

底层OS系统模块：主要是安全、稳定的运行防毒墙系统程序，OS系统可基于安全Linux或国产银河麒麟操作系统，并针对上述系统进行精简及安全加固，确保系统处于服务最小化、系统或组件无漏洞、无脆弱性风险等，并定期针对系统进行渗透和漏洞测试。

 

网络流量处理模块：主要是承载了链路中的流量进入防毒墙系统后实现网卡层面的高速抓取、协议识别与解析、协议层文件还原，以及流量预处理扫描或队列分配等工作，在流量处理中会调动CPU多核并行、多线程应用，还有网卡多通道、内存高速缓存等以提升处理效率。

 

引擎处理模块：当流量内协议解析完、文件还原后，系统内的各项威胁引擎将会介入，反病毒多引擎及病毒特征库实现对文件型病毒扫描、病毒判定，威胁防御引擎（规则库）及威胁情报引擎（情报库）则实现对恶意代码威胁攻击、恶意网络行为识别与防控，行为内容过滤引擎实现对邮件内容、文件后缀等自定义过滤功能、异常网络口令探测行为管控。为了应对新型恶意代码威胁，系统还可通过每日库更新获取最新的威胁防御能力，用户也可通过自定义签名方式实现灵活的防御规则。

 

威胁处置模块：当发现恶意代码威胁后，系统将会按照威胁处置策略进行相应动作。应用层协议病毒文件传输处置策略包括：阻断、破坏、隔离、告警，阻断是指病毒文件无法通过应用层协议进行传输，进行了TCP Reset处置；破坏是在传输的文件病毒体内进行无害字符插入或者二进制病毒代码替换；隔离则是先进行一次“破坏”然后将病毒原始文件进行留存；告警则是仅日志记录，不做任何动作处置。

 

对于网络层恶意代码攻击、外联活动则是按照规则库默认处置动作进行告警或网络丢弃操作；对处于持续性、高频率的网络异常行为，例如超频率的蠕虫攻击、恶意域名查询、口令探测爆破行为，系统会按网络时长抑制策略进行攻击者IP网络层时长阻断，避免发起DoS攻击活动。

 

对于一些病毒逃逸行为，例如多层压缩、病毒大文件、非标准端口系统也可自适应过滤，支持最多35层压缩文件扫描，2G大文件扫描，端口自适应过滤功能。

 

系统管理模块：主要是为使用者提供一个简便的管理配置界面，实现对防毒墙系统的管理与维护，同时在功能配置方面满足合规性要求，具体包括支持信息存储要求（国密加密算法）、三权账户、双因子认证、配置加密管理维护、日志存储六个月、管理主机限制等等。系统还提供多种数据展示，多种报告形态等。支持常见的管理协议如snmp、syslog、radius、ntp，系统支持B/S管理、CLI命令行操作、多台设备集中管理功能。还可为管理员提供样本存储下载，用作病毒事件二次分析用。系统还提供流量过滤后的镜像输出功能，为其他监听类设备提供干净流量。

 

演示

优势

360防毒墙系统是针对网关侧、流量测恶意代码威胁专项防控硬件产品。有别于防火墙、UTM反病毒模块化产品，系统采用整机专用模式，可在复杂网络流量场景下提供实时的恶意代码威胁双向防护。系统基于多引擎技术及本地千万级特征库，重点防范恶意代码多重威胁，可高效过滤病毒文件传输、拦截恶意代码攻击、阻断僵木蠕外联、遏制勒索及挖矿病毒通讯，定位内部传播源头，管控内部失陷主机。

 

1.1    部署及组网功能

Ø  支持串行、并行、串并混合部署。串行采用透明网桥、端口汇聚模式等复杂网络场景接入。并行采用旁路监听模式。支持多路串行、多路并行监听应用。

 

1.2    协议层病毒传输过滤

Ø  支持针对HTTP、FTP、SMB、SMTP、POP3、IMAP六项协议的双向病毒过滤，无论协议采用何种非标准端口，均可自适应病毒过滤，无需手动设定过滤端口。

 

Ø  支持对病毒体大文件、多层压缩、多种格式、加壳等逃逸技术综合对抗及深度分析。

 

Ø  支持对勒索病毒、挖矿病毒、网页病毒、宏病毒、可执行病毒、手机病毒等病毒传输过滤。

 

Ø  支持对病毒文件的阻断、隔离、破坏、告警操作处置。

 

1.3    活跃爆发阶段威胁防御

Ø  支持针对“僵木蠕、勒索、挖矿”病毒处于活跃阶段、爆发阶段的恶意请求、溢出攻击、漏洞利用、远程控制的阻断与拦截。

 

Ø  支持针对已知APT攻击组织利用恶意程序、恶意代码进行的针对性网络渗透、C2行为。

 

Ø  针对恶意程序攻击、传播阶段引入的恶意行为，如探测扫描、暴力破解、恶意外联、WEB攻击、数据窃取等恶意行为进行抑制。

 

Ø  支持对恶意网络通讯时长阻断、自动抑制功能。

 

1.4    反病毒双引擎及威胁防御引擎

Ø  系统内置反病毒双引擎及本地1200万病毒特征库，支持md5自定义签名。

 

Ø  系统内置威胁防御引擎及本地3万+条威胁库，支持Snort和Suricata语法自定义规则。

 

Ø  系统内置千万级威胁情报库，有效应对互联网端恶意威胁。

 

Ø  支持病毒样本、恶意PCAP包系统内离线扫描功能。

 

Ø  病毒库、威胁库支持互联网在线更新、离线升级、指向升级、定时更新。

 

Ø  病毒库、威胁库支持版本回滚功能。

 

1.5    自定义内容过滤策略应用

Ø  支持针对协议层传输的文件后缀自定义过滤功能。

 

Ø  支持针对URL自定义黑名单过滤功能。

 

Ø  支持针对邮件地址、IP地址、邮件主题、附件名自定义过滤。

 

1.6    定位内部威胁及风险主机

Ø  支持基于已有数据的风险分析计算，利用风险分析模型和风险参数，定位内部病毒传播源头、失窃账户信息、感染主机等。

 

Ø  通过串行部署，可精准定位内部感染主机、失陷主机的恶意外联、恶意攻击行为。

 

Ø  通过并行部署，实现对东西向恶意代码流量纵深检测，感知内部横向病毒传播。

 

1.7    多种便捷的安全管理

Ø  支持HTTPS、SSH、CONSOLE管理方式，支持本地账户、Radius账户的权限分离操作。

 

Ø  支持SNMP（v2c\v3）、syslog（多点指向）协议。

 

Ø  支持全局配置（加密）手动、定时备份与还原，病毒过滤日志远程备份。

 

Ø  支持多种任务定时计划，简化管理。

 

Ø  支持接口抓包、PCAP下载功能。

 

Ø  支持将网桥过滤后的流量，以镜像方式进行输出。

 

1.8    多维度数据展示及报表功能

Ø  支持多种图形化威胁数据展示功能，以不同维度呈现恶意代码事件。

 

Ø  支持恶意代码威胁安全报告、风险分析报告的手动生成、定时生成，并可通过邮件发送。

 

1.9    高可靠性及单点故障规避

Ø  支持双机高可靠性模式和硬件BYPASS模式，支持端口震荡自动进入BYPASS场景。

 

Ø  支持Watchdog异常进程监控和CPU超载控制机制，以保障设备自身稳定性、业务持续性。

 

痛点

场景

n  病毒威胁治理及安全加固需求。

 

解决勒索病毒、挖矿病毒、恶意代码攻击、病毒跨区传播、内部病毒反复感染。提升安全防御架构，保障内部核心资产及终端免遭病毒侵扰。

 

n  改善监管单位安全通报影响需求。

 

降低及改善监管单位对本级恶意代码外联、对外攻击安全通报影响。

 

n  合规性遵循需求。

 

等级保护建设（以及金融行业金标2.0）明确要求：“应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。”

 

行业 市场机会点 主要场景 应用价值与意义

政府 等级保护合规要求 勒索病毒防护 各级政务数据中心 分支机构网络边界 合规性遵循 恶意代码防护、解决上下级病毒流窜问题

金融 城商行、股份制银行 金标合规要求 数据中心 业务应用系统恶意代码威胁防护

能源 电力二次系统安全防护 分支机构区域间防护 业务应用系统区域前端 分支机构网络边界 业务应用系统恶意代码威胁防护 解决上下级病毒流窜问题

医疗 等级保护合规要求 医护站及HIS系统数据交互 勒索病毒定位及防护 终端与HIS系统等区域边界 业务应用系统恶意代码威胁防护 定位内部病毒源头

教育 等级保护合规要求 教学教务系统安全防护 数据中心 教学教务管理系统 业务应用系统恶意代码威胁防护 定位内部病毒源头

交通 等级保护合规要求 数据中心业务防护 数据中心 分支机构网络边界 合规性遵循 恶意代码防护、解决上下级病毒流窜问题

… …… …… ……

表 防毒墙系统行业应用场景

 

下图所示为防毒墙系统常见应用网络结构示意图。经过安全需求分析，用户一般比较关注的是互联网边界、分支边界、服务器应用边界恶意代码攻击与跨区传播，以及内部局域网病毒扩散蔓延。因此，防毒墙系统可通过在关键网路区域边界处进行串行防御部署，也可通过旁路镜像监听模式进行内网恶意流量监测告警部署。

 

可以通过单台进行多路串行防御，也可通过单台设备进行多端口镜像监听方式满足用户不同安全需求。