防火墙·WAF·IDS/IPS的区别｜IT护照考试对策

为什么需要多种安全设备

攻击发生在OSI参考模型的各个层，因此需要针对不同层配备相应的防御设备。防火墙（FW）、WAF、IDS、IPS这四种设备在IT护照考试的安全领域频繁出现。它们根据“查看哪个层”、“仅检测还是同时阻断”来区分作用。

四种设备的比较表

如果能从零开始画出这张表，就能应对大部分高频问题。关于OSI参考模型各层的详细说明，请参考OSI参考模型7层。

防火墙（FW）

防火墙是最基本的边界防御设备，部署在企业内部网络与外部网络的边界。通信控制方式包括“白名单方式”（仅允许明确许可的通信通过）和“黑名单方式”。代表性类型有：包过滤型、状态检测型、应用网关型。不过，防火墙存在无法检查HTTP内容（请求体）的局限性。

WAF（Web应用防火墙）

WAF是专用于Web应用的防火墙，检查HTTP/HTTPS的请求内容。可防御的攻击示例包括：SQL注入、跨站脚本攻击（XSS）、CSRF、非法输入值等。WAF弥补了防火墙无法看到的应用层攻击。

IDS与IPS的区别

IDS（入侵检测系统）仅检测入侵并记录日志、发送通知，不会阻止通信本身。而IPS（入侵防御系统）除了检测之外，还会自动进行阻断。但需要注意，误检测时存在阻断正常通信的风险。考试中，通过“仅检测＝IDS、阻断＝IPS”这样的动词来记忆，能直接得分。

IT护照考试中的出题要点

四种设备的作用识别是高频考点，尤其会问FW与WAF防御对象的区别、IDS与IPS动作的区别。也可能在DMZ（非军事区）设备选择、零信任、多层防御的背景下出题。

历年真题的典型模式

• “防止Web应用攻击的设备是哪个？”型 → WAF
• “仅检测入侵的设备是哪个？”型 → IDS

相关术语

• 加密与SSL/TLS（加密基础）
• 认证与授权的区别（认证与授权的区别）
• TCP/IP的端口号（TCP/IP协议基础）

学习技巧

用“层”、“防御对象”、“动作”三个轴将四种设备整理成表格，更容易理清思路。将FW比作入口的门卫、WAF比作Web应用的专属保安、IDS比作监控摄像头、IPS比作监控摄像头+警报器，这种拟人化记忆也很有效。结合DMZ、多层防御等概念来理解，能灵活应用。

总结

如果能区分四种设备的工作层和防御对象，就能稳定拿下高频题目。想系统练习技术类内容，请访问技术类汇总；想进行实战模拟，请前往模拟考试。