和保安

为了更好的理解两款产品差异性，我们先用这个（WAF）和保安（IPS）比喻来描述。

大楼保安需要对所有进出大楼人员进行检查，一旦发现人员则禁止他入内，但如果混进“貌似忠良”的坏人去撬***柜等***行为，大楼保安是无能为力的。

则是指别、更“贴身”的保护。他通常只保护特定的人员，所以事先需要理解被保护人的身份、习惯、喜好、作息、弱点等，因为被保护人的工作是需要去面对不同的人，去不同的场合，的职责不能因为***就阻止、改变他的行为，只能去预见可能的风险，然后量身定做合适的保护方案。

这两种角色的区别在于保安保护的是整个大楼，他不需要也无法知道谁是需要保护的人，则是明确了被保护对象名单，需要深刻理解被保护人的个性特点。

滤防火墙

滤防火墙控制OSI的三、四层，一般是通过***来匹配数据包内容，以决定哪些包被允许和哪些包被拒绝。

优点：

能以很快的速度处理数据包

易于匹配绝大多数的3、4层报头信息

缺点：

***过多导致配置复杂

不能阻止应用层的攻击

不能检测和阻止某些类型的TCP/IP攻击，比如TCP SYN泛洪和IP欺骗

状态检测防火墙

控制OSI的三、四、五层

状态检测防火墙工作在数据链路层和网络层之间，对于新建的应用连接，它从这里截取数据包提取出的信息，并根据对应的安全策略及过滤规则处理数据包，生成状态表，这样防火墙确保了截取和检查所有通过网络的原始数据包。然后将相关信息组合起来，进行一些逻辑或数算，获得相应的结论，进行相应的操作，如允许数据包通过、拒绝数据包、认证连接，加密数据等。状态检测防火墙虽然工作在协议栈较低层，但它检测所有应用层的数据包，从中提取有用信息，如IP地址、端口号等，这样安全性得到很大提高。另外在这种防火墙中一旦一个连接建立起来，惠州下一代防火墙，就不用再对这个连接做更多工作，系统可以去处理别的连接，执行效率明显提高。

状态检测防火墙实现了基于UDP应用的安全，通过在UDP通信之上保持一个虚拟连接来实现。防火墙保存通过网关的每一个连接的状态信息，允许穿过防火墙的UDP请求包被记录，当UDP包在相反方向上通过时，依据连接状态表确定该UDP包是否被***的，若已被***，则通过，否则拒绝。如果在的一段时间内响应数据包没有到达，连接超时，则该连接被阻塞，这样所有的攻击都被阻塞。状态检测防火墙可以控制无效连接的连接时间，避免大量的无效连接占用过多的网络资源，可以很好的降低攻击的风险。