常见安全设备理解

按照个人理解对常见安全设备进行分类和介绍

隔离类

1. 传统防火墙 FIrewall
   • 最早的边界防护设备，静态规则过滤流量，允许或阻断特定网络连接，核心是“网络层访问控制”
2. 下一代防火墙 NGFW
   • Firewall+增加深度包检测（DPI）、应用识别、入侵防御（IPS）、URL过滤等功能
   • 实现“应用层+网络层”双重管控
3. web防火墙 WAF
   1. 专门针对Web应用端防护设备，通过解析HTTP/HTTPS请求的URL、参数、Cookie等内容，对页面进行防护
4. 网闸
   • 通过物理隔离技术，实现网络的隔离，进允许合规数据按预设协议单向或双向摆渡
5. 安全网关
   • 集成多种安全功能的边界设备，通常包括防火墙、VPN、反病毒、入侵防御、URL过滤等，提供“一站式”接入防护

区别：
传统防火墙仅做基础包过滤，无法是被应用层信息
NGFW 补充了应用层控制以及检测和防御能力
WAF 侧重于流量，仅作用于Web服务器前端
网闸 重点是物理隔离
安全网关 功能更为综合，是UTM（统一威胁管理）的升级版

审计类

1. 堡垒机
   • 集中管控运维人员访问服务器、数据库的“跳板机”
2. 访问控制
   • 基于某种授权模型，管理用户对资源的访问权限
3. 数据库审计
   • 通过解析数据库流量，进行操作记录，识别异常行为
4. 数据防泄漏
   • 通过内容识别技术，避免敏感信息泄露
5. 日志审计
   • 聚合防火墙、服务器、应用等多源日志，生成安全事件报表

区别：
堡垒机聚焦“运维操作过程”
访问控制关注谁能访问什么
数据库审计聚焦“数据库内部行为”
数据防泄漏关注敏感信息
日志审计是“事后追溯工具”

流量类

1. VPN
   • 在公网建立安全通道，实现远程用户或分支机构的“内网接入”
2. 抗D-Dos设备
   • 通过流量清洗技术，抵御Dos攻击
3. 网络流量分析
   • 通过解析NetFlow/sFlow等流量元数据，识别异常流量，发现未知威胁

区别：
抗D-Dos 针对于已知类型攻击
网络流量分析 针对异常行为，包含未知类型攻击

入侵

1. 网络入侵检测 NIDS
   • 旁路部署在网络核心节点，通过监听流量镜像，基于特征库或异常检测识别网络攻击
   • 仅报警不阻断
2. 网络入侵防御 NIPS
   • NIDS基础上，报警+阻断
3. 主机入侵检测 HIDS
   • 在服务器/终端部署Agent，检测主机层面的入侵
   • 仅报警不阻断
4. 终端检测与响应 EDR
   • 通过行为分析等检测威胁，支持自动响应
5. 终端防护 EPP
   • EPP 进阶版
   • 通常 EPP 与 EDR 会进行整合

响应与管理

1. 安全信息和事件管理（SIEM）
   • 聚合全网设备日志，生成安全事件，提供仪表盘可视化和告警
   • 发现问题
2. 安全编排自动化与响应 SOAR
   • 接收SIEM告警后，自动调用防火墙封禁IP、EDR隔离主机等
   • 解决问题
3. 威胁情报平台
   • 收集、分析外部威胁情报，将情报推送至防火墙、IDS等设备增强检测
   • 不直接防御或检测，作为辅助
4. 统一威胁管理 UTM
   • 集成防火墙、AV、IPS、URL过滤、VPN等功能
   • 集成化的安全网关