维普资讯 http://www.cqvip.com 第３７卷第３期 航空计算技术 Ｖｏｌ＿３７ Ｎｏ．３ ２００７年５月 Ａｅｒｏｎａｕｔｉｃａｌ Ｃｏｍｐｕｔｉｎｇ Ｔｅｃｈｎｉｑｕｅ Ｍａｖ．２００７ 一种入侵防御系统模型的研究 （１．江南大学信息工程学院，江苏无锡２１４１２２；Ｑ。 刘 渊 一，潘仰峰 ２．南京理工大学计算机科学与技术学院，江苏南京２１００００） 摘要：介绍了目前比较流行网络入侵防御技术，针对现有系统隔离和保护能力不足的弱点，提出 了一种基于简单网络管理协议的网络入侵防御结构模型，它能有效地弥补目前网络入侵防御技术 的不足。 关键词：网络入侵防御；简单网络管理协议；保护能力；入侵防御 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ 文章编号：１６７１－６５４Ｘ（２００７）０３－０１２８－０３ 引言 络安全设备，只能对第３层和第４层网络协议进行检 随着计算机和网络技术的迅猛发展，网络攻击事 查；而ＮＩＰＳ是一种细粒度的网络安全设备，可以对第 件越来越频繁，攻击者所采用的攻击手段也越来越成 ２层到第７层网络协议进行深度分析，即对数据包中 熟和先进。许多新的攻击方法不仅仅利用基本网络协 的每一个字节进行检查 Ｊ。ＮＩＤＳ像是一个监视器， 议，还会在上层应用协议中嵌入攻击数据，从而逃避防 监视网络中的入侵行为；而ＮＩＰＳ像是一个过滤器，拦 火墙的拦截 。此外，分布式拒绝服务攻击（ＤＤｏＳ） 截所有入侵行为。它们在网络中的位置如图１所示。 等新的攻击手段的出现使得当前入侵检测系统（ＩＤＳ） 在攻击响应特别是主动攻击响应方面遇到了极大的挑 战。在这样的情况下，仅仅依靠传统的防火墙或入侵 检测技术，已经无法对网络及网络内部的各种资源进 行很好的防护，网络受到攻击后作出响应的时间越来 越滞后。为解决这一问题，需要引入一种全新的安全 技术——网络入侵防御（ＮＩＰＳ） 。 内网计算机 内网计算机 ｌ 网络入侵防御系统 图１ ＮＩＰＳ和ＮＩＤＳ网络的位置 １．１ ＮＩＳＰ的概念 ＮＩＤＳ在网络中实时检测入侵攻击行为，发现就报 １．２ ＮＩＳＰ的结构和原理 警通知网络管理员；或与防火墙联动来实施对网络的 如图２所示，ＮＩＰＳ实现实时检查和阻止入侵的原 保护，而自身不能对攻击行为采取主动响应 。ＮＩＳＰ 理在于ＮＩＳＰ拥有数目众多的过滤器，能够防止各种攻 不但具有ＮＩＤＳ的功能，而且在ＮＩＤＳ检测的基础上增 击。当新的攻击手段被发现之后，ＩＳＰ就会创建一个 加了主动防御功能，一旦检测到攻击行为，立即加以拦 新的过滤器。ＩＰＳ数据包处理引擎是专业化定制的集 截，能够更加及时、有效地保护网络。ＮＩＤＳ一般是并 成电路，可以深层检查数据包的内容。如果有攻击者 联在网络中，以旁路监听的方式实时检测网络流量，在 利用Ｌａｙｅｒ ２（介质访问控制）至Ｌａｙｅｒ ７（应用）的漏洞 性能上对网络没有多大的影响，也不必改变原有网络 发起攻击，ＮＩＰＳ能够从数据流中检查出这些攻击并加 的拓扑结构；而ＮＩＰＳ主要是作为一种透明设备串联在 以阻止。传统的防火墙只能对Ｌａｙｅｒ ３或Ｌａｙｅｒ４进行 网络中，所有进出的网络流量都要经过ＮＩＳＰ。从这一 检查，不能检测应用层的内容。防火墙的包过滤技术 点看ＮＩＰＳ有些像防火墙，但防火墙是一种粗粒度的网 不会针对每一字节进行检查，因而也就无法发现攻击 活动，而ＮＩＰＳ可以做到逐一字节地检查数据包。所有 收稿日期：２００７－０１－２９ 修订日期：２００７－０５—１５ 作者简介：刘渊（１９６７一），男，江苏无锡人，副教授，研究方向为网络安全。 维普资讯 http://www.cqvip.com ２００７年５月 刘渊等：一种入侵防御系统模型的研究 流经ＮＩＰＳ的数据包都被分类，分类的依据是数据包中 的报头信息，如源ＩＰ地址和目的ＩＰ地址、端口号和应 用域。每种过滤器负责分析相对应的数据包。通过检 查的数据包可以继续前进，包含恶意内容的数据包就 会被丢弃，被怀疑的数据包需要接受进一步的检查。 过滤器引擎集合了大规模并行处理硬件，能够同时执 行数千次的数据包过滤检查。并行过滤处理可以确保 数据包能够不问断地快速通过系统，不会对速度造成 影响。这种硬件加速技术对于ＮＩＰＳ具有重要意义，因 为传统的软件解决方案必须串行进行过滤检查，会导 致系统性能大打折扣。 图２ ＮＩＰＳ的实现 ２基于简单网络管理协议的网络入侵防御系 统（ＮＭ—ＤＩＰＳ）的设计 ＮＩＳＰ同时存在一些缺陷 Ｊ：它的隔离和保护功能 不够足够强大，导致它不能够有效地处理来自内网的 攻击，而网络上很大一部分的网络攻击是来自内网的。 但是ＮＩＰＳ可以通过结合其它一些技术来弥补这些缺 陷。 因为一个完整的网络是由许多网络设备组成的。 比如交换机，路由器，防火墙等等。而这些设备本身就 已经具有了某些在网络关键路径上的隔离和保护功 能。所以设计一个集合其它网络设备的ＤＩＳＰ能有效 地弥补本身的不足，就变得有现实意义和可行性。下 面提出了一种基于简单网络管理协议的网络入侵防御 系统，即ＮＭ—ＤＩＳＰ。 ２．１ ＮＭ—ＤＩＳＰ的体系结构 国际标准化组织已经提出过一种ＩＳ０７４９８—４的 网络管理模型，这个模型是一个结构化网络框架，它定 义了５个网络管理模块：缺省管理，结构管理，计算管 理，性能管理和安全管理 ．３ Ｊ。 为了实现上面所提出的５个管理模块，制定了一 个简单网络管理协议。如今，简单网络管理协议已被 广泛的使用，并逐步发展成为网络管理框架。大多数 的网络设备都支持简单网络管理协议。简单网络管理 协议已经发展完善到了第三个版本，新版使用了编码， 鉴别和加强入口安全控制等技术。该新版本的安全性 能包括简单网络管理协议数据包的保护，简单网络管 理协议代理，管理实体以及它们之间的协同工作。但 是它也存在着一些不足，比如，它不能够有效地预防被 病毒攻击的网络和主机，也不能采取行为来阻止它们。 因此，除了网络管理系统外，用户还必须买一些额外的 安全产品来进行有效地保护，比如，入侵检测产品，入 侵防御产品。而入侵检测产品不能够和网络管理系统 有效地结合，它们的结合将导致大量的网络资源的浪 费。 这篇论文所提供的网络入侵防御系统能够有效地 结合网络管理，多种网络安全设备和入侵检测技术，即 ＮＭ—ＤＩＰＳ。它的体系结构如图３所示。 图３ ＮＭ—ＤＩＳＰ的系统结构 如图３所示，它主要有两个部分组成：ＩＤＳ终端和 安全管理器。大量的ＩＤＳ终端放在需要保护的关键网 络的路径上，例如，内网和外网之间，子网和子网之间。 通过使用交换机的交换功能，数据经过防火墙和路由 器时能够被检测到。如果在网络连接时，存在明显的 攻击行为和可疑的数据包，该数据包就将被发往数据 库中。同时，ＩＤＳ终端将给管理器发送警报。管理器 将检查数据库，并全面的分析数据库中的相关数据，接 着给出相关性的结论。最后通过发送简单网络管理协 议信息来采取有效地行为。因此，可以看出一个入侵 防御系统能够有效地结合入侵检测技术和隔离功 维普资讯 http://www.cqvip.com ・１３０・ 航空计算技术 第３７卷 第３期 能 』。 除了改进了安全管理外，ＮＭ—ＤＩＰＳ同时还提供 了结构管理，性能管理，计算管理，缺省管理等功能。 ２．２ ＩＤＳ终端 ＩＤＳ终端实际上是一个完整的入侵检测系统，它 可以通过主机和使用异常和误用检测技术的网络安全 设备来发生作用。ＩＤＳ终端包含了数据采集模块，规 则库，流量统计模块，检测引擎模块，预处理模块，规则 分辨模块和数据检测模块 ’ 。 １）数据采集模块的重要功能是以防火墙过滤后的 数据包为数据源，仅对符合安全策略的流量进行入侵 检测，减少了需检测的数据包数量，并把过滤后的数据 源送到检测引擎模块。 ２）对比规则库，检测引擎模块将检测是否存在异 常的数据包，如果存在，检测引擎将以日志的形式把它 写入到数据库中，并把警报发送给安全管理器。 ３）流量统计模块是统计所有的流量的信息，并且 也把它们输入到数据库中。 ４）检测引擎模块是ＩＤＳ终端中的一个主要的模 块，它又包括４个子模块：协议解码，预处理，数据检 测，规则分辨。协议解码主要处理数据采集模块发送 过来的数据包，并把它们存储到相关的数据结构中供 下面的模块使用，它同时也检查这些数据包，并丢弃错 误的数据包。 ５）预处理模块主要是处理数据包，使它们的分析 变得容易。通过预处理，我们能够找出一些有特别特 征并且不能通过规则匹配模式检测出的攻击行为。 ６）规则分辨模块主要是对规则库中的规则进行解 码，并把它们存储到相关的数据结构中。 ７）数据检测模块主要是接收预处理后的数据包， 并和检测规则中的规则进行比较。如果匹配成功。就 意味着发现了一个入侵行为，系统将把入侵行为告知 管理器，并且把这些信息写入到管理器中供后面的安 全管理器进行进一步的研究。 ２．３安全管理器 安全管理器包括了被国际标准化组织所定义的五 大功能和一个系统数据库。 系统数据库不仅接收包括来自ＩＤＳ终端的数据， 而且接收从简单网络管理协议中得到的管理系统库信 息。这两部分信息的数据源都有它们各自的特征。首 先，基于简单网络管理协议的系统库信息很容易得到， 它统计的数据是精确的，在网络设备上的操作也是很 方便的。但是，它缺少协议类型信息，同时不能够为管 理员提供足够的线索来分析网络上运行的状态。换句 话说，基于信息包捕获的ＩＤＳ终端能够获得足够的在 每一个协议上的流量信息和通过交换机端口的流量信 息，这些信息对网络管理员分析网络的安全，找出攻击 行为和攻击源是十分有帮助的，然后管理员可以采取 行动来阻止这些入侵行为。 另外，系统数据库还存储了捕获的信息和管理员 的操作记录 。 系统数据库中的数据表格包括入侵信息表格，协 议信息表格，协议流量统计表格，捕获记录表格，用户 操作记录表格等等。伴随着网络管理器的分析和推断 能力的改进，一些其它数据表格也加入了进来。 通过综合分析大量的信息，安全管理器的处理能 力得到了很大程度地提高，特别是其中安全管理能力 得到了足够地加强。当检测到入侵行为的时候，网络 安全设备就将改变参数来阻止，丢弃它们。对于异常 的入侵行为，管理器能够根据系统数据库中的相关有 用信息来完善它的分析能力，进而采取进一步的防御 行为。 ３结论与展望 随着计算机网络的普及使用，各类网络攻击事件 频繁发生，网络安全问题正受到广泛关注…。本文提 出了一种基于网络入侵防御安全模型，它能够有效地 弥补目前的网络入侵防御技术的部分缺陷。但是，入 侵防御技术现在还不够成熟，需要不断的改进，随着攻 击自动化程度的不断加强，攻击工具的不断更新和复 杂化，网络世界的攻防之战是长期的，１００％的网络安 全是不存在的 。希望本文系统化的分析讨论能够对 我国入侵防御系统的进一步研究提供一些参考。 参考文献： ［１］Ｄｒ Ｅｕｇｅｎｅ Ｓｅｈｕｌｔｚ．Ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ［Ｊ］．ＥＬＳＥＶＩＥＲ Ｃｏｍｐｕｔｅｒｓ＆Ｓｅｃｕｒｉｔｙ，２００４，２３：２６５—２６６． ［２］ Ｋａｉｚｏ．Ｎｅｘｔ—ｇｅｎｅｒａｔｉｏｎ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ：Ａｃｃｏｕｎｔｉｎｇ ｆｏｒ ｔｈｅ ａｔｔａｃｋ ｔｉｍｅｌｉｎｅ［Ｊ］．ＥＬＳＥＶＩＥＲ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ，２００５，１０：１６２—１６８． ［３］ Ｓ．Ｈｏｆｍｅｙｒ．Ｈｏｓｔ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ：Ｐａｒｔ ｏｆ ｔｈｅ ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ ｏｒ ｏｎ ｔｏｐ ｏｆ ｔｈｅ ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ？［Ｊ］．ＥＬＳＥＶＩＥＲ Ｃｏｍｐｕｔｅｒｓ＆Ｓｅｃｕｒｉｔｙ．２００５，２４：４４０—４４２． ［４］Ｘｉｎｙｏｕ Ｚｈａｎｇ，Ｃｈｅｎｇｚｈｏｎｇ Ｌｉ，Ｗｅｎｂｉｎ Ｚｈｅｎｇ．Ｉｎｔｕｒｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ ｄｅｓｉｇｎ［Ｊ］．ＩＥＥＥ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｆｎｏｒｍａ— ｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ，２００４，４：３８６—３９０． ［５］ Ｊｉａｚｈｕ Ｄａｉ，Ｈｕａｉｋｏｕ Ｍｉａｏ．Ｄ—ＤＩＰＳ：Ａｎ Ｉｎｔｕｒｓｉｏｎ Ｐｒｅｖｅｎ． ｔｉｏｎ Ｓｙｓｔｅｍ ｆｏｒ Ｄａｔａｂａｓｅ Ｓｅｃｕｒｉｔｙ［Ｊ］．ＩＣＩＣＳ ＬＮＣＳ ３７８３， ２００５，５：４８１—４９０． （下转第１３４页） 维普资讯 http://www.cqvip.com ・１３４・ 航空计算技术 第３７卷 第３期 ｈｔｔｐ：／／ｗｗｗ．Ｓａｍｓｕｎｇ．ｃｏｒｎ． Ｐ协议 ［７］ 伍洲凯．王波．基于８位微处理器的嵌入式ＴＣＰ／Ｉ［４］ 唐继英，张振东，常银霞．基于ＡＲＭ网络终端的硬件设 栈剖析［Ｊ］．微型机与应用，２００４（５）：３５—３７． Ｐ协议在嵌入式异构网 ［８］ 董天戌，王汝宁，袁学文．ＴＣＰ／Ｉ计［Ｊ］．中国仪器仪表．２００５，（５）：９３—９５． Ｐ协 ［５］ 李怀俊，张学习，章云．工业以太网中嵌入式ＴＣＰ／Ｉ络互连中的应用［Ｊ］．微型机与应用，２００４，（９）：３１— ３３． 议应用技术分析［Ｊ］．广东工业大学学报．２００２，１９（４）： ２５—２９． ［９］ 王田苗．嵌入式系统设计与开发实例［Ｍ］．北京：清华 大学出版社，２０ｏ２． ｎｔｅｒｎｅｔ技术的远程监控系统的研究 ［６］ 董军．基于嵌入式Ｉ［Ｄ］．武汉：武汉理工大学，２００４． Ｄｅｓｉｇｎ ｏｆ Ｅｍｂｅｄｄｅｄ Ｅｔｈｅｒｎｅｔ Ｎｅｔｗｏｒｋ Ｔｅｒｍｉｎａｌ Ｂａｓｅｄ ｏｎ ＴＣＰ／ＩＰ Ｐｒｏｔｏｃｏｌ Ｓｔａｃｋ ＤＵ Ｇｕａｎｇ－ｗｅｉ，ＺＨＡＮＧ Ｊｕｎ－ｇｕｏ，ＨＡＮ Ｎｉｎｇ （Ｓｃｈｏｏｌ ｏｆ Ｔｅｃｈｏｌｎｏｇｙ，Ｂｅ￣ｉｉｎｇ Ｆｏｒｅｓｔｒｙ Ｕｎｉｖｅｒｓｉｔｙ，Ｂｅｉｊｉｎｇ １０００８３，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｅ Ｅｍｂｅｄｄｅｄ ｔｅｃｈｎｏｌｏｇｙ ａｐｐｌｉｃａｔｉｏｎｓ ｉｎ ｔｈｅ ｆｉｅｌｄ ｏｆ Ｅｔｈｅｒｎｅｔ ａｒｅ ｂｅｃｏｍｉｎｇ ｏｎｅ ｖｅｒｙ ｉｍｐｏｒｔａｎｔ ｓｕｂｊｅｃｔ． Ｔｈｉｓ ｐａｐｅｒ ｐｒｅｓｅｎｔｓ ｏｎｅ ｓｃｈｅｍｅ ｏｆ ｅｍｂｅｄｄｅｄ Ｅｔｈｅｒｎｅｔ ｎｅｔｗｏｒｋ ｔｅｒｍｉｎａｌｓ ｂａｓｅｄ ｏｎ ＴＣＰ／ＩＰ ｐｒｏｔｏｃｏｌ ｓｔａｃｋｓ．Ｔｈｅ ｈａｒｄ— ｗａｒｅ ｉｎｓｔｉｔｕｔｉｏｎ ｆｏｒ ｔｈｅ ｉｎｔｅｒｆａｃｅ ｃｉｒｃｕｉｔ ｂｅｔｗｅｅｎ ｔｈｅ ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ Ｓ３Ｃ４４ＢＯＸ ｗｉｔｈ ＡＲＭ ｋｅｒｎｅｌ ａｎｄ ｔｈｅ Ｅｔｈｅｒｎｅｔ ｃｏｎ— ｔｒｏｌｌｅｄ ｃｈｉｐ ＲＴＩ＿８０１９ＡＳ ｉｓ ｄｅｓｉｇｎｅｄ．Ａｂｏｕｔ ｔｈｅ ｓｏｆｔｗａｒｅ，ｔｈｅ ｄｅｓｉｇｎｉｎｇ ｉｄｅａ ａｎｄ ｄｅｔａｉｌｅｄ ｄｅｖｅｌｏｐｉｎｇ ｐｒｏｃｅｓｓ ｏｆ ｅｍｂｅｄ— ｄｅｄ ＴＣＰ／ＩＰ Ｐｒｏｔｏｃｏｌ ｓｔａｃｋｓ ａｎｄ ｔｈｅ ｃｏｒｅ ｔｒａｎｓｐｌａｎｔｉｎｇ ｏｆ ｔｈｅ ｒｅａｌ—ｔｉｍｅ ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ ＬＬＣ／ＯＳ—ｌＩ ａｒｅ ｉｎｔｒｏｄｕｃｅｄ． ｈｉｓ ｋｉｎｄ ｏｆ ｅｍｂｅｄｄｅｄ ＥｔｈｅｒＴｎｅｔ ｎｅｔｗｏｒｋ ｔｅｒｍｉｎａｌｓ ｈａｓ ｈｉｇｈ ｐｅｒｆｏｒｍａｎｃｅ ｐｒｉｃｅ ｒａｔｉｏ．Ｉｔ ｉｓ ｅｘｐｅｃｔｅｄ ｔｏ ｕｓｅ ｆｏｒ ｈｏｍｅ ａｕｔｏ— ｍａｔｉｃ ｄｅｖｉｃｅｓ ｏｒ ｉｎｄｕｓｔｒｉａｌ ｃｏｎｔｒｏｌ ｄｅｖｉｃｅｓ ｗｉｔｈ ｌｏｗ ｎｅｅｄｓ ｏｆ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｐｅｅｄ． Ｋｅｙ ｗｏｒｄｓ：ｅｍｂｅｄｄｅｄ ｓｙｓｔｅｍ；ＴＣＰ／ＩＰ ｐｒｏｔｏｃｏｌ ｓｔａｃｋ； Ｃ／ＯＳ．１Ｉ；ｅｔｈｅｒｎｅｔ ｎｅｔｗｏｒｋ ｔｅｒｍｉｎａｌ （上接第１３０页） Ｒｅｓｅａｒｃｈ ｏｆ ａｎ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ Ｍｏｄｅｌ ＬＩＵ Ｙｕａｎ ，ＰＡＮ Ｙａｎｇ－ｆｅｎｇ （１．Ｓｃｈｏｏｌ ｏｆＩｎｆｏｒｍａｔｉｏｎ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｓｏｕｔｈｅｒｎ Ｙａｎｇ￣ｅ ，Ｗｕｘｉ ２１４１２２，Ｃｈｉｎａ； ２．Ｓｃｈｏｏｌ ｆＳｃｉｏｅｎｃｅ＆Ｔｅｃｈｎｏｌｏｇｙ，Ｎａｎｊｉｎｇ Ｕｎｉｖｅｒｓｉｔｙ ｏｆＳｃｉｅｃｅ＆Ｔｅｃｈｎｎｏｌｏｇｙ，Ｎａｎｊｉｎｇ ２１００００，Ｃｈｉａ）ｎ Ａｂｓｔｒａｃｔ：Ｆｉｒｓｔｌｙ，ｔｈｅ ｎｅｔｗｏｒｋ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ（ＮＩＰＳ）ｉｓ ｍａｉｎｌｙ ｉｎｔｒｏｄｕｃｅｄ．Ｔｈｅｎ ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ａ ｎｅｔｗｏｒｋ ｓｅｃｕｒｉｔｙ ｍｏｄｅｌ ｂａｓｅｄ ｏｎ Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ（ＳＮＭＰ）．Ｔｈｅ ｍｏｄｅｌ ｈａｓ ａｌｒｅａｄｙ ｃｏｎｔａｉｎｅｄ ｃｅｒ． ｔａｉｎ ｉｓｏｌａｔｉｏｎ ａｎｄ ｐｒｅｖｅｎｔｉｏｎ ａｂｉｌｉｔｙ ａｎｄ ｃａｎ ｅｆｆｅｃｔｉｖｅｌｙ ｃｏｍｐｅｎｓａｔｅ ｆｏｒ ｔｈｅ ｄｉｓａｄｖａｎｔａｇｅｓ ｏｆ ＮＩＰＳ． Ｋｅｙ ｗｏｒｄｓ：ｎｅｔｗｏｒｋ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ；Ｓｉｍｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ；ｐｒｅｖｅｎｔｉｏｎ ａｂｉｌｉｔｙ；ｉｎｔｒｕｓｉｏｎ ｐｒｅ— ｖｅｎｔｉｏｎ