扫描攻击防范正是基于“周期内速率”来检测的，而这个“速率”的本质就是“周期内扫描的端口/主机数量”。

扫描攻击防范主要通过监测网络使用者向目标系统发起连接的速率来检测其探测行为。若设备监测到某IP地址主动发起的连接速率达到或超过了一定阈值，则可以根据配置输出告警日志、丢弃来自该IP地址的后续报文，或者将检测到的攻击者的源IP地址加入IP黑名单。

防火墙扫描攻击防范既可以基于周期内的速率，也可以基于周期内扫描的端口数量或地址数量。

具体来说，系统通过检测周期（如10秒）内源IP地址发送的、目的端口不同的报文数量来判断是否发生端口扫描攻击。当源IP在该周期内访问的不同目的端口数量超过设定阈值（如40000），即触发防范机制。因此，该机制本质上是“周期内扫描端口数量”的统计，而非瞬时速率。

此外，用户可通过`port-scan-threshold`和`ip-sweep-threshold`命令自定义触发阈值，实现对扫描行为的精准控制。

综上，防火墙扫描攻击防范是基于“检测周期内扫描的端口数量”进行判断的，而非单纯的速率。