IPS 与 WAF 的分工是什么
两者都做攻击检测，但看的层次不同。IPS 主要看网络层与传输层的流量特征：扫描探测、已知漏洞利用的报文特征、恶意软件下载、横向移动行为。WAF 解析的是 HTTP 语义：请求方法、路径、参数、会话，因此能判断 SQL 注入载荷、跨站脚本、爬虫高频抓取、API 参数异常。典型的互补关系是——IPS 拦住对服务器组件的漏洞利用，WAF 拦住应用代码层面的攻击；少了任一层都会留下盲区。
基本信息
| IPS 侧重 | 漏洞利用、恶意软件、扫描探测、横向移动、协议异常 |
|---|---|
| WAF 侧重 | 注入、跨站、文件包含、爬虫与 CC、API 与参数异常 |
| IPS 位置 | 常部署在边界或数据中心出口，串联在线 |
| WAF 位置 | 部署在被保护站点前，可反向代理模式或串联模式 |
| 配合要点 | 两层日志归并与去重，避免同一事件重复派单 |
典型使用场景
- 对外 Web 站点防护方案设计：确定 WAF 与边界 IPS 各拦什么，避免职责重叠
- 攻击处置：判断某次注入攻击应该由哪一层报警，缩短定位路径
- 告警归并：同一事件同时触发两层设备，按资产与攻击类型去重
- 非 Web 业务防护：数据库、远程桌面等协议的漏洞利用只能靠 IPS 覆盖
- 加密流量场景：WAF 在解密后的 HTTP 上工作，IPS 只能看到加密外壳
- 能力补位评估：某层设备能力不足时，判断另一层能否临时承接
覆盖分工示例
覆盖分工示例
# SQL 注入请求体 → WAF 阻断（解析 HTTP 参数语义）
# 服务器组件已知漏洞利用 → IPS 阻断（流量特征匹配）
# 恶意软件下载与回连 → IPS 文件与行为检测
# 高频爬虫与暴力登录 → WAF 频率控制与验证码
# 内网横向扫描 → IPS 探测类特征告警
# 上传 WebShell 后的回连通信 → WAF 看请求特征，IPS 看外连行为能力对比
| 维度 | IPS | WAF |
|---|---|---|
| 分析对象 | 网络与传输层报文及协议交互 | HTTP 请求与响应的语义 |
| 加密流量 | 不解密时只能看外壳 | 在解密后的明文上判断 |
| 典型盲区 | 应用逻辑漏洞、业务参数异常 | 非 HTTP 协议的攻击流量 |
| 误报特征 | 自研私有协议易误报 | 接口参数格式差异易误报 |
只上其中一层就认为应用已受保护，是常见的评估误区：缺少 WAF 时应用层攻击会被漏掉，缺少 IPS 时组件与主机侧攻击会被漏掉。
两层同时部署时，同一攻击往往各自产生一条告警，建立关联规则（按时间窗与目标地址归并）能显著降低值守负担。