基于行为分析，发现未知威胁

　　T系列智能下一代防火墙内置了三大智能分析引擎——高级威胁检测引擎、异常行为检测引擎和关联分析引擎，可基于行为分析帮助用户发现未知网络威胁，定位风险主机，保护业务与数据安全。

　　高级威胁检测引擎收集终端主机的网络应用层行为，并将其与威胁行为集进行模糊匹配，根据两者相似程度可确定当前是否存在变种恶意软件等未知威胁。终端主机不论通过何种方式感染变种恶意软件，如网络传输或U盘拷贝，T系列智能下一代防火墙均可基于行为分析发现。 T 系列智能下一代防火墙的威胁行为集来自于云端山石网科安全平台对海量威胁行为的大数据分析，提取为行为集后下发至本地设备中。

　　异常行为检测引擎能够持续学习所保护业务的应用层行为特征，并建立业务动态安全模型。通过将当前的网络层及应用层行为与安全模型进行偏离度分析，能够发现隐藏的网络异常行为，并根据行为特征确定攻击类型，如应用层 DDoS 攻击、扫描攻击、 SSH/FTP 弱口令猜测等。

　　威胁关联分析引擎作为高级威胁和异常行为检测的连接桥梁，基于终端主机的网络行为和未知威胁进行关联分析，深度挖掘潜在的网络威胁之间的关联性，发现网络中的隐藏风险。

安全可视化 ，风险到威胁全面可视化

　　T系列智能下一代防火墙提供了从风险到威胁的全面展现，包括网络风险指数、风险主机、核心资产及特定威胁的详细信息。通过多层次、立体展现，网络管理员可详细了解整体网络安全态势及风险背后的威胁根源。通过威胁关联分析，T 系列智能下一代防火墙可展示风险主机所处的网络攻击链（Kill chain），揭示当前网络攻击所处的阶段及危害。此外，T 系列智能下一代防火墙提供了威胁报文的在线存储与解析功能。网络管理员不需借助其他工具，即可通过浏览器查看报文协议及内容，帮助网络管理员对网络攻击事件进行取证与溯源。

策略联动，实时减缓风险

　　T系列智能下一代防火墙在风险监测的基础上提供了策略联动功能，可在攻击发生时实时减缓风险。在检测到网络攻击并达到触发条件时，T系列智能下一代防火墙启用减缓策略，通过自动或自定义的方式，实现会话限制、带宽限制、阻断等，从而及时将网络攻击抑制在低水平状态，避免攻击持续升级造成业务损害。通过实时的风险监测与策略联动，智能下一代防火墙能够帮助用户为业务提供实时的攻击防御，减缓风险。