用于混合硬件软件分布式威胁分析的设备和方法

摘要

实施例涉及检测和抑制网络入侵。分组在它们的源/目的地主机处被检查以标识主机本地的分组趋势。本地分组趋势被组合以标识网络范围的分组趋势。网络范围的分组趋势用于检测异常或攻击，其进而通知抑制动作。本地检查可以通过每个主机处的可重新配置/可重新编程的“智能”网络接口(NIC)来执行。本地检查涉及基于分组之间的再现共性的统计普遍性来标识潜在的可疑分组特征；不需要预定义的威胁模式。对于网络范围的一致性，每个主机/NIC使用相同的分组标识和出现测量算法。覆盖或控制服务器收集并且组合本地出现度量以得到网络范围的出现度量。网络范围的出现可以用于自动检测和抑制全新类型的攻击分组。