Система обнаружения вторжений

1. Система обнаружения вторжений, содержащая процессор, машиночитаемый носитель, блок приема и разбора сетевого трафика, группу блоков предварительной обработки, блок принятия решений, блок журнала регистрации, а также по меньшей мере одну внешнюю базу данных, причем машиночитаемый носитель соединен с процессором, группой блоков предварительной обработки и блоком принятия решений, а упомянутая группа блоков предварительной обработки включает в себя блок выявления новых устройств, блок анализа зашифрованного трафика, блок сигнатур, блок выявления аномалий, блок защиты от сетевых атак, при этом упомянутая группа блоков предварительной обработки осуществляет предварительный анализ на основе внутренних данных, а блок принятия решений осуществляет принятие решение по сетевому трафику на основе предварительного анализа по внутренним данным с последующим их сравнением с данными из по меньшей мере одной внешней базы данных.
2. Система по п. 1, отличающаяся тем, что дополнительно содержит DLP систему для фильтрации внутреннего трафика.
3. Машиночитаемый носитель, содержащий набор инструкций исполняемые процессором для осуществления способа обработки сетевого трафика, включающего в себя:
- поступление трафика из внешней и внутренней сетей с последующим разбитием трафика на транспортные потоки и высокоуровневые протоколы;
- предварительный анализ пакетов на основе внутренних данных, при этом предварительный анализ пакетов основан на первоначальном выявлении новых сетевых устройств и зашифрованного трафика;
- принятие решение по сетевому трафику на основе предварительного анализа по внутренним данным с последующим их сравнением с данными из по меньшей мере одной внешней базы данных;
- обновление внутренних данных, основанных на результатах обработки сетевого трафика.