WSG的入侵防御和木馬檢測模塊基于snort特征庫，可以檢測和阻止各類網絡攻擊，這兩個模塊會對網絡中的數據通信進行檢測還原，匹配其中的木馬特征，一旦匹配到特征時就觸發告警和阻斷。
WSG上網行為管理有內置的網址庫、應用特征庫和入侵防御特征庫，其中入侵防御特征庫是基于snort的，木馬檢測分為以下幾個大類：
-
indicator-compromise: 檢測內網被惡意軟件感染的終端。
-
indicator-obfuscation: 惡意軟件的模糊特征檢測。
-
indicator-scan： 檢測惡意軟件的掃描行為。
-
indicator-shellcode：檢測shellcode的執行特征。
-
malware-backdoor：檢測后門端口的通訊特征。 如果某個惡意軟件打開一個端口并等待其控制功能的傳入命令，則會出現此類檢測。
-
malware-cnc：此類別包含已識別的僵尸網絡流量的已知惡意命令和控制活動。
-
malware-tool：此類別包含處理本質上可被視為惡意工具的規則。
入侵防御模塊分為以下幾個大類：
-
os-linux/windows/mobile/solaris: 檢測針對各種操作系統的攻擊
-
protocol-services/rpc/dns/finger/ftp/imap...: 檢測針對各種協議漏洞的攻擊
-
server-apache/iis/mssql/mysql/oracle..: 檢測針對各種服務器軟件漏洞的攻擊
