防火牆的侷限與入侵檢測系統的特徵

防火牆主要有兩個方面的侷限：

1、防火牆是訪問控制裝置（acl），主要基於源目ip位址來現實訪問控制，實現了網路層的安全，但不能檢測或攔截注入在普通流量中的惡意攻擊**，如web服務中的注入攻擊等。

2、防火牆無法發現或攔截內部網路中發生的攻擊。

防火牆是實現網路安全第一道防線，入侵檢測系統是對防火牆有益的補充，是第二道防線，可以對流量進行深層次、多層次的分析檢測，提供對內部攻擊、外部攻擊、誤操作等的實時監控，動態的保護大大提高了網路的安全性。入侵檢測系統主要有3個方面特點：

1、事前警告：能在惡意攻擊對網路系統造成損害之前檢測到攻擊行為的發生，進行報警。2、事中防禦：入侵攻擊行為發生時，可以聯動防火牆、或tcp killer等進行防禦。

3、事後取證：被入侵攻擊後可以提供攻擊資訊，以便取證分析。

關於防火牆和入侵檢測系統比較，有乙個貼切的比喻：防火牆相當於門衛，對進入的每乙個人員進行檢測，入侵檢測系統相當於閉路監控系統，監控關鍵位置如庫房、財務室等的安全狀況，僅有門衛是無法發現內部人員的非法行為的，而閉路監控系統可以對內部實時監控，發現異常情況及時發出警告，兩者結合才能保證安全。