常见安全设备及其作用域功能

一、防火墙（Firewall/NGFW）

1.1 定位

防火墙是最基础、最常见的边界安全设备，通常部署在互联网出口、不同安全域之间，用于实现网络层的访问控制和区域隔离。

1.2 核心作用

• 实现内、外网或不同安全区域之间的访问控制。
• 隐藏内部网络结构，提供NAT地址转换。
• 作为网络边界的第一道防线，阻断非法访问。
• 在下一代防火墙中，还能实现应用识别、用户识别、威胁防护。

1.3 功能详解

1.3.1 访问控制

防护墙可以提供精细化控制的。

• 五元组：源IP、目的IP、源端口、目的端口、协议。
• 安全区域：Trust、Untrust、DMZ、自定义区域。
• 时间调度：按工作时间、非工作时间执行不同安全策略。
• 用户/用户组：结合身份认证、针对不同人员做不同控制
• 应用类型：NGFW可以识别具体应用：比如：允许微信、禁止打游戏。

1.3.2 状态检测（Stateful Inspection）

• 不仅检查单个数据包，还维护连接状态表。
• 用于合法建立连接后的返回流量，自动放行。
• 防止伪造、非法会话，提高性能与安全性。

1.3.3 NAT 地址转换

• 源NAT：内网多台主机共享公网IP访问互联网。
• 目的NAT：将公网IP的某个端口映射到内网服务器。
• 双向NAT：内外网地址同时转换，用于特殊组网。
• 端口映射、地址池、ALG（应用层网关）等。

1.3.4 应用识别与控制

下一代防火墙具备深度包检测能力，可以识别：

• HTTP、HTTPS、FTP、DNS等基础协议
• 微信、QQ、抖音、游戏、P2P下载等应用
• 可根据应用、应用分类、风险等级做策略控制。

1.3.5 入侵防御用与防病毒。

很多NGFW内置：

• IPS特征库，可阻断漏洞利用、木马通信。
• 病毒库，对文件传输进行恶意代码检测。
• URL过滤库：拦截恶意网站钓鱼网站。

1.3.6 VPN功能

防火墙通常也作为VPN网关

• 支持IPsec VPN、SSL VPN、L2TP VPN
• 用于分支机构与总部互联、远程办公接入。

1.3.7 高可用与负载

• 支持双击热备、主备、主主
• 支持链路负载均衡、服务器负载均衡。
• 支持Bypass、会话同步，保障业务连续性。

1.3.8 日志与审计

• 记录所有通过防火墙的连接、拒绝、NAT日志。
• 支持Syslog发送到日志审计平台
• 提供连接数、流量、用户行为统计。

1.4 典型部署位置

• 互联网出口边界
• 核心交换与服务区之间
• 办公网与生成网之间
• 分支机构出口

二、Web应用防火墙（WAF）

2.1 定位

WAF 专门保护Web应用、API、网站、防止应用层攻击。部署在Web服务器前。

2.2 核心作用

• 防御OWASP TOP 10攻击：注入、XSS、CSRF、命令注入、文件包含、SSRF、XXE等
• 防止网页篡改、敏感信息泄露。
• 防护CC攻击、撞库、刷接口等。
• 满足等保、金融行业Web安全合规要求。

2.3 功能详解

2.3.1 CC攻击防护

• 基于源IP、Cookie、会话的请求频率限制。
• 支持JS挑战、验证码、滑块人机识别。
• 对代理、CDN、X-Forwarded-For的正确识别。

2.3.2 BOT管理与API安全

• 识别爬虫、扫描器、撞库工具、自动化脚本。
• 对API进行鉴权、限速、参数格式检查、异常行为检测。
• 支持OpenAPI/Swagger导入。

2.3.3 敏感信息防泄漏

• 检测响应页面中的身份证号、手机号、银行卡号。
• 支持脱敏或告警、阻断。
• 防止源码、错误信息、服务器版本泄露。

2.3.4 网页防篡改

• 对静态页面进行基线对比，发现篡改恢复。
• 与WAF联动，阻断篡改攻击。

2.3.5 部署模式

• 透明桥接：串联在Web服务器前，不改变网络。
• 反向代理：通过DNS引流到WAF，再回源。
• 旁路镜像：只检测不阻断。
• 云WAF：通过修改DNS解析，将流量引到云端清洗。
• Agent/RASP：也可以部署在Web应用内部。

2.4 典型部署位置

• Web服务器区前
• 电商、金融、政务等Web应用入口
• API网关端点。

三、入侵检测系统（IDS）/入侵防御系统（IPS）

3.1 定位

IDS和IPS用于检测和组织网络攻击行为，通常部署在核心交换旁路（IDS）或串联在网络中（IPS）

3.2 核心作用

• 检测、识别网络中的攻击、扫描、蠕虫、木马行为。
• IDS以告警为主，不阻断。
• IPS可实时阻断攻击，保护网络和主机。

3.3 功能详解

3.3.1 攻击特征检测

• 通过特征库匹配已知攻击，如：注入、远程代码执行、缓冲区溢出。
• 支持协议分析，识别协议异常，如非标准端口、异常字段。
• 检测扫描行为：端口扫描、漏洞扫描、暴力破解。

3.3.2 异常流量检测

• 基于流量基线学习。
• 发现流量突增、连接数异常、非工作时间段访问等。
• 能发现部分未知威胁。

3.3.3 阻断与响应

• 阻断包、重置连接。
• 加入黑名单，阻断源IP
• 联动防火墙、WAF等设备。
• 告警、记录、生成事件。

3.3.4 旁路与串联模式

IDS：旁路部署，只接收镜像流量，不影响网络。

IPS：串联部署，所有流量经过，可阻断攻击。

串联设备需要具备Bypass，防止故障断网。

3.3.5 部署位置

• 核心交换机旁路镜像（IDS）
• 互联网出口、数据中心边界（IPS）
• 服务器区前

四、抗DDoS设备/流量清洗中心

4.1 定位

用于防御分布式拒绝攻击服务，通常部署在互联网出口、运营商上游或者云清洗中心。

4.2 核心作用

• 检测和清洗DDoS攻击流量，保障业务可用性。
• 防御流量型攻击、协议型攻击、应用层CC攻击。
• 保证在攻击期间正常用户仍能访问业务。

4.3 功能详解

4.3.1 攻击检测

• 基线学习：自动学习正常业务流量模型
• 异常检测：流量突增、协议比例异常、源IP分布异常。
• 支持NetFlow、sFlow、SNMP、镜像流量检测。

4.3.2 清洗防护

• SYN Flood、UDP Flood、ICMP Flood、ACK Flood、DNS放大攻击。
• TCP 反射、CC攻击、慢速攻击。
• 源认证、SYN Cookie、协议栈行为检测
• 黑白名单、地理位置封禁、特征指纹识别。

4.3.3 流量牵引和回注

• 通过BGP、OSPF、等网络传输协议把流量牵引到清洗中心。
• 清洗后再回注到业务网络。
• 支持手动、自动引流。
• 大流量攻击下可触发黑洞路由。

4.3.4 应用层防护

• CC攻击防护：针对HTTP请求频率、访问行为识别。
• 支持验证码、JS挑战、人机识别。
• 防御对DNS、HTTPS、游戏协议的应用层攻击。

4.4 典型部署位置

• 运营商骨干、IDC机房出口。
• 企业互联网出口。
• 云服务商流量清洗平台。

五、堡垒机（运维审计系统/跳板机）

5.1 定位

堡垒机是运维安全的核心设备，用于统一管理服务器、网络设备、数据库资产等的远程运维访问，并对操作过程进行审计。

5.2 核心作用

• 统一运维入口，所有运维操作必须经过堡垒机。
• 身份认证、账号管理、权限控制。
• 全程审计、操作回放、满足等保和内控要求。
• 防止内部人员误操作、恶意操作、账号共享。

5.3 部署位置

• 管理区，逻辑上在运维终端与被管资产之间。
• 通常采用旁路逻辑串联，不该网络架构。
• 所有运维流量指向堡垒机。

六、VPN网关（虚拟专用网络）

6.1 定位

VPN网关用于在公共网络上建立加密隧道，实现远程安全接入或分支机构互联。

6.2 核心作用

• 保证数据传输的机密性、完整性。
• 远程办公用户安全访问内部系统。
• 分支机构与总部安全互联。
• 移动办公、出差人员安全接入。

6.3 典型部署位置

• 互联网出口防火墙或独立VPN设备。
• 与堡垒机联动，实现远程运维安全接入。
• 分值机构、总部、云上VPC之间。

七、上网行为管理（ACG/上网行为审计）

7.1 定位

用于管理、控制和审计内部用户的上网行为，常见于企业、学校、政府。

7.2 核心作用

• 规范员工上网行为，提高工作效率。
• 防止访问非法、违规网站。
• 防止敏感信息通过互联网泄露。
• 优化带宽资源，保障关键业务。

7.3 典型部署位置

• 办公网出口，串联部署。
• 旁路部署可与防火墙、路由器联动。
• 学校、企业、政府单位上网出口。

八、终端安全/EDR/防病毒系统

8.1 定位

部署在PC、服务器、虚拟机上的终端安全软件，用于防病毒、防勒索、终端检测与响应。

8.2 核心作用

• 防止恶意代码感染终端
• 防止勒索病毒、木马、挖矿程序
• 发现已失陷的终端并快速响应
• 提升终端可见性，统一管理

8.3 典型部署位置

• 所有终端PC和服务器安装Agent
• 管理平台部署在服务器区
• 可结合终端准入、DLP、补丁管理。

九、漏洞扫描器/漏洞管理平台

9.1 定位

用于主动发现网络、系统、应用中的漏洞、弱口令、配置缺陷。

9.2 核心作用

• 在攻击者利用漏洞前主动发现。
• 评估资产暴露面和风险。
• 为漏洞修复、整改提供依据。
• 满足等保、风险评估要求。

9.3 典型部署位置

• 安全管理区，通过网络可达各目标。
• 定期扫描，避免业务高峰。
• 扫描前需授权，防止对生成系统造成影响。

十、数据库审计/数据库防火墙

10.1 定位

专门针对数据库访问、操作行为进行审计、告警、阻断、保护核心数据。

10.2 核心作用

• 审计所有数据库访问和SQL操作。
• 防止内部人员违规查询、批量导出数据。
• 检测SQL注入等数据库攻击。
• 满足等保、金融、医疗行业数据合规要求。

10.3 典型部署位置

• 核心交换机镜像流量
• 数据库服务器前旁路
• 代理或透明串联，实现阻断（数据库防火墙）

十一、蜜罐/密网

11.1 定位

通过部署诱饵系统诱导攻击者，检测和捕获攻击行为。

11.2 核心作用

• 欺骗攻击者，保护真实资产。
• 发现内网横向扫描、渗透行为。
• 捕获攻击样本、工具和命令。
• 提供攻击溯源信息。

11.3 典型部署位置

• DMZ区、内网空闲网段。
• 生成旁路，注意隔离，防止被利用。

十二、日志审计

12.1 定位

集中采集、存储、分析各类设备和系统过的日志，实现安全事件关联分析和合规审计。

12.2 核心作用

• 统一日志管理，解决日志分散问题。
• 关联分析，发现单个设备看不到的安全事件。
• 为安全事件溯源提供依据
• 满足日志留存合规要求。

12.3 典型部署位置

• 安全管理区、汇聚所有设备日志。
• 旁路部署，不影响业务。
• 可部署多级架构，总部-分支。

十三、态势感知与安全运营平台（SOC/安全大脑）

13.1 定位

态势感知是安全运营中心的核心平台，汇总全网安全设备、资产、漏洞、威胁情报，提供统一监测、分析、响应、指挥能力。

13.2 核心作用

• 全网安全态势可视化。
• 多源数据联合，发现高级威胁。
• 安全事件统一处置与闭环。
• 提高安全运营效率。

13.3 典型部署位置

• 企业/行业安全运营中心
• 大型企业、政府、金融、能源、医疗等。

总结

常见的安全设备覆盖网络安全、应用安全、终端安全、数据安全、身份安全、安全运营等不同层面。实际建设中，通常不会单独部署某一台设备，而是形成纵深防御体系；

• 边界：防火墙、IPS、抗D、VPN、网闸。
• 应用：WAF、邮件网关、APT沙箱。
• 终端：EDR、终端准入、DLP。
• 数据：数据库审计、加密机、DLP。
• 运营：堡垒机、日志审计、态势感知、漏洞扫描器。
• 检测与诱捕：NTA、蜜罐。

不同设备之间可以进行联动，如防火墙发现攻击后通知态势感知，态势感知下发封禁策略给防火墙，形成自动化、闭环的安全运营能力。