防火墻和IPS屬于訪問控制類產(chǎn)品，而IDS屬于審計類產(chǎn)品。我們可以用一個簡單的比喻，描述三者的不同和關(guān)系——將網(wǎng)絡(luò)空間比喻成一個大廈，那么防火墻相當(dāng)于門鎖，有效隔離內(nèi)外網(wǎng)或不同安全域，IDS相當(dāng)于監(jiān)視系統(tǒng)，當(dāng)有問題發(fā)生時及時產(chǎn)生警報，而IPS則是巡視和保證大廈安全的安保人員，能夠根據(jù)經(jīng)驗，主動發(fā)現(xiàn)問題并采取措施。

防火墻較多應(yīng)用在轉(zhuǎn)發(fā)、內(nèi)網(wǎng)保護(hù)（NAT）、流控、過濾等方面；IDS和IPS主要針對一些攻擊情況。一般的防火墻只能做到3-4層的保護(hù)，對于5-7層的應(yīng)用保護(hù)很一般，而5-7層的保護(hù)正式IDS和IPS的長處。

防火墻通常采用串行接入，部署在網(wǎng)絡(luò)邊界，用來隔離內(nèi)外網(wǎng)；IDS通常采用旁路接入，在網(wǎng)絡(luò)中的位置一般選擇為：盡可能靠近攻擊源、盡可能靠近受保護(hù)資源，這些位置通常是：服務(wù)器區(qū)域的交換機(jī)上；Internet接入路由器滯后的第一臺交換機(jī)上；重點保護(hù)網(wǎng)段的局域網(wǎng)交換機(jī)上。IPS通常采用Inline接入，在辦公網(wǎng)絡(luò)中，至少需要在以下區(qū)域部署：辦公網(wǎng)與外部網(wǎng)絡(luò)的連接部位（入口/出口）；重要服務(wù)器集群前端；辦公網(wǎng)內(nèi)部接入層；工作機(jī)制不同

防火墻是重要的網(wǎng)絡(luò)邊界控制設(shè)備，主要通過策略5要素（源、目的、協(xié)議、時間、動作，各廠家根據(jù)定義不同，會有所擴(kuò)展）實現(xiàn)對網(wǎng)絡(luò)的訪問控制。

IDS主要針對已發(fā)生的攻擊事件或異常行為進(jìn)行處理，屬于被動防護(hù)。以NIDS為例：NIDS以旁路方式，對所監(jiān)測的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行獲取、還原，根據(jù)簽名進(jìn)行模式匹配，或者進(jìn)行一系列統(tǒng)計分析，根據(jù)結(jié)果對有問題的會話進(jìn)行阻斷，或者和防火墻產(chǎn)生聯(lián)動。IDS的致命缺點在于阻斷UDP會話不太靈，對加密的數(shù)據(jù)流束手無策。

IPS針對攻擊事件或異常行為可提前感知及預(yù)防，屬于主動防護(hù)。根據(jù)設(shè)置的過濾器，分析相對應(yīng)的數(shù)據(jù)包，通過檢查的數(shù)據(jù)包可以繼續(xù)前進(jìn)，包含惡意內(nèi)容的數(shù)據(jù)包就會被丟棄，被懷疑的數(shù)據(jù)包需要接受進(jìn)一步的檢查。IPS的阻斷方式較IDS更為可靠，可以中斷攔截UDP會話，也可以做到確保符合簽名規(guī)則的數(shù)據(jù)包不漏發(fā)到被保護(hù)區(qū)域。IPS致命的缺點是同樣硬件的情況下，性能比IDS低的多。實際應(yīng)用中，誤殺和漏殺和IDS一樣，主要是簽名庫決定的。但是隨著UDP協(xié)議的廣泛使用，IPS在UDP上的誤殺率可能會高于IDS。

三者在網(wǎng)絡(luò)中相互配合，各司其職，實際使用中，需要根據(jù)具體網(wǎng)絡(luò)需求進(jìn)行評估和選擇，有效發(fā)揮各設(shè)備優(yōu)勢，盡量避免缺點和不足，保證網(wǎng)絡(luò)的安全運行。