防火墙把门，入侵入侵检测在屋里转悠。检测技术技术这两件事压根不是防火一回事。去年某电商平台被拖库，补充事后复盘发现攻击流量伪装成正常用户请求，入侵防火墙规则里那条“允许HTTP 443端口通行”成了帮凶。检测技术技术防火墙只认门牌号，防火不认进门的补充人揣着什么心思。入侵检测系统（IDS）干的入侵活，是检测技术技术盯着每个进门的人看他们是不是在翻抽屉。

防火墙的防火规则是死的。你告诉它“禁止外部访问3306端口”，补充它就照做。入侵但攻击者用80端口传SQL注入 payload，检测技术技术防火墙只能放行。防火IDS不一样，它把每个数据包拆开看，比对特征库。一个GET请求里带 UNION SELECT，防火墙觉得这是正常网页访问，IDS直接报警。这是互补，不是替代。

部署位置就说明问题。防火墙串在链路里，像收费站栏杆，不过杆不让走。IDS旁路接在交换机镜像口上，像路边蹲着的便衣。栏杆挡不住伪装成快递员的劫匪，便衣能认出来。某银行数据中心做过测试：关闭IDS只留防火墙，模拟攻击成功率37%；两套都开，成功率掉到4%。这个数字我记了很久。

有人觉得防火墙带IPS模块就够了。IPS是串行部署，发现攻击直接阻断，听起来更猛。但串行设备怕误判。把正常业务当攻击切了，运维电话会被打爆。所以IPS的规则往往调得很保守，只拦确定无疑的恶意流量。IDS旁路部署没这个顾虑，规则可以写得很细、很激进，漏报率压到最低。一个求稳，一个求全，两套逻辑叠起来才严密。

加密流量普及之后，防火墙更吃力了。TLS 1.3把SNI都加密了，防火墙只能看到“有人在跟某个IP通信”，看不到通信内容。IDS这时候靠流量指纹和元数据分析——包大小分布、时间间隔、TLS握手指纹——照样能识别出Cobalt Strike的 beacon。这是防火墙完全做不到的事。

我见过最离谱的案例是一家医院。防火墙日志干干净净，IDS却每天报几百条内网扫描。查了一周才发现，是某台打印机被植入挖矿程序，在内网横向探测。防火墙只管南北向流量，东西向流量它压根不关心。IDS把东西向也纳入监控，才揪出这毛病。边界防御和内部检测，缺一个都漏风。

说入侵检测是防火墙的补充，不是贬低IDS。恰恰相反，防火墙管的是“谁能进来”，IDS管的是“进来的人在干嘛”。这两句话没法互相翻译。你可以在防火墙上加应用识别、加用户认证，但流量行为分析这件事，防火墙的架构就做不了——它要维持会话状态、要做NAT转换，没那么多CPU cycle去跑异常检测模型。

选型的时候别听销售吹“下一代防火墙融合IDS”。融合版IDS的检测规则往往阉割过，性能也打折。真要防 APT，IDS得独立部署，规则库单独更新，告警单独分析。防火墙当门卫，IDS当监控探头，各干各的活，日志在SIEM里碰头。这才叫补充。

(责任编辑：百科)