位置决定看得见什么
检测设备能看到哪些流量，取决于它串在哪里：出口内侧能看到内网到互联网的全部出访，服务器区入口能看到针对业务系统的访问，核心区能看到内网横向流量。位置一旦定下来，能覆盖的风险面也就定了，所以选位置本质是在覆盖范围、性能压力、运维复杂度三者之间做取舍。
基本信息
| 出口内侧 | 覆盖内外互访，是常规首选位置 |
|---|---|
| 服务器区入口 | 聚焦业务访问，检测强度可提高 |
| 核心区 | 覆盖东西向流量，对性能要求最高 |
| 旁路镜像 | 只检测不阻断，适合试运行与审计 |
典型使用场景
- 首次上线检测设备，通常先选出口内侧覆盖互联网攻击
- 等保要求重点保护业务系统时，在服务器区再加一道检测
- 内网网段多、平面大、横向移动风险高，评估核心区部署
- 业务不允许中断，先旁路镜像观察规则效果再决定串联
- 已有 WAF 保护 Web 业务，把检测资源倾斜到其他方向
位置对比要点
位置对比要点
# 位置 覆盖范围 性能压力 常见用途
# 出口内侧 内外互访 中 互联网攻击防护、出访管控
# 服务器区 业务访问 中高 重点业务系统保护
# 核心区 内网横向 高 横向移动与内部滥用检测
# 旁路镜像 取决于镜像点 低（不阻断） 试运行、审计取证位置与盲区
| 部署位置 | 看得到 | 看不到 |
|---|---|---|
| 出口内侧 | 内网出访与入站攻击 | 内网之间的横向流量 |
| 服务器区 | 针对业务系统的访问 | 不经过该位置的网段间流量 |
| 核心区 | 东西向横向流量 | 绕过核心的旁路路径 |
| 旁路镜像 | 可镜像到的流量 | 无法阻断，且加密流量不可见 |
一个位置覆盖不了全部场景时，按风险优先级分阶段部署，先覆盖最需要的风险面，不要为了全覆盖把设备压到满负荷。
同进同出是串联部署的硬要求：非对称路由会让设备只看到单向流量，检测与阻断都会失效。