| 防火墙 | 五元组与应用维度的访问控制 |
|---|---|
| IPS | 已放行流量中的攻击特征检测 |
| 配合 | 策略最小化减少暴露面，IPS 兜底检测 |
配合示例
配合示例
防火墙：仅放行互联网到 DMZ 的 443
IPS ：对该 443 流量检测 Web 漏洞利用与恶意软件
两者叠加：暴露面小 + 内容级检测策略收敛与检测部署要并行推进，只做其一会留下明显短板。
IPS 与防火墙策略的分工
防火墙策略管控「谁能访问谁」，IPS 检测「访问内容是否恶意」；攻击者利用已放行的业务端口时，只有 IPS 能发现。
易错点
- 把 IPS 当访问控制设备使用（用规则做端口封禁）会导致管理混乱
- 只做策略收敛不更新检测规则，新型攻击仍可穿过合法端口
数据来源与参考
- NIST SP 800-41（防火墙与策略指南）
- NIST SP 800-94（检测与访问控制配合）