| IPS 侧重 | 漏洞利用、恶意软件、扫描、横向移动 |
|---|---|
| WAF 侧重 | 注入、跨站、爬虫、CC、API 异常 |
| 部署 | 常见为边界 IPS + 应用前 WAF 双层 |
覆盖分工示例
覆盖分工示例
SQL 注入载荷 → WAF 阻断（语义解析）
服务器组件漏洞利用 → IPS 阻断（流量特征）
恶意软件下载 → IPS 文件检测
爬虫高频抓取 → WAF 频率控制两层都部署时注意日志去重与告警归并，避免同一事件重复派单。
IPS 与 WAF 的分工
IPS 检测网络层与传输层攻击（含漏洞利用与恶意软件），WAF 专注应用层 HTTP 语义，两者互补而非替代。
易错点
- 认为上了 WAF 就不需要 IPS（或反之）会留下检测盲区
- 两层设备告警未归并时，值守侧看到重复事件，处置效率下降
数据来源与参考
- OWASP Top 10（应用层风险）
- NIST SP 800-94（网络层检测）