一种方法、设备、系统和信号承载介质，在实施例中，基于规则过滤从网络接收的分组。所述过滤基于规则丢弃各分组的一个子集，并且保留该各分组剩余子集。该剩余子集被复制到目的地。通过检测剩余子集的采样中是否存在征状，在较低优先级的进程中与所述过滤和所述复制脱机地创建规则。在一个实施例中，基于采样中征状存在的频率，改变检测征状的顺序。在各个实施例中，所述征状可以包括在一段时间内接收阈值数量的查验分组，在一段时间内接收阈值数量的广播分组，接收具有无效源地址的分组，接收具有无效报头标志的分组，以及在一段时间内接收阈值数量的、包含序列标志的分组。通过这种方式，增加了防火墙的吞吐性能。