AV（防病毒）、IPS（入侵防御系统）、WAF（Web应用防火墙）对比笔记
1. 基本概念对比
| 安全组件 | 防护目标 | 工作层级 | 主要防御手段 | 典型部署位置 |
|---|---|---|---|---|
| AV（防病毒） | 终端/服务器恶意软件 | 应用层（L7） | 病毒特征库、行为分析、沙箱 | 终端/服务器安装 |
| IPS（入侵防御系统） | 网络攻击（漏洞利用、DDoS等） | 网络层（L3-L4）、应用层（L7） | 签名检测、异常流量分析 | 网络边界（串联/旁路） |
| WAF（Web应用防火墙） | Web应用攻击（SQL注入、XSS等） | 应用层（L7，HTTP/HTTPS） | 规则匹配（OWASP Top 10）、机器学习 | Web服务器前端（反向代理/云WAF） |
2. 核心功能对比
| 功能 | AV | IPS | WAF |
|---|---|---|---|
| 防护对象 | 文件、进程、内存 | 网络流量（TCP/IP） | HTTP/HTTPS流量 |
| 检测方式 | 特征码、启发式分析、沙箱 | 签名库、异常行为检测 | 规则匹配（正则表达式）、AI行为分析 |
| 典型防御目标 | 病毒、勒索软件、木马 | 漏洞利用、DDoS、暴力破解 | SQL注入、XSS、CSRF、API滥用 |
| SSL解密支持 | ❌（不涉及流量） | ✅（可选） | ✅（必须，否则无法检测HTTPS攻击） |
| 部署方式 | 终端安装（如EDR） | 串联/旁路（如NGFW集成） | 反向代理/云服务（如Cloudflare WAF） |
3. 典型攻击防护能力
| 攻击类型 | AV | IPS | WAF |
|---|---|---|---|
| 病毒/勒索软件 | ✅（核心功能） | ❌（不检测文件） | ❌ |
| DDoS（SYN Flood） | ❌ | ✅（L3-L4防护） | ❌ |
| SQL注入/XSS | ❌ | ✅（部分检测） | ✅（核心功能） |
| 暴力破解（SSH/RDP） | ❌ | ✅（可限制尝试次数） | ❌ |
| 恶意文件上传 | ✅（扫描文件） | ❌ | ✅（检测HTTP上传） |
| 零日漏洞利用 | ❌（依赖特征库） | ✅（行为分析） | ✅（AI/机器学习） |
4. 部署建议
（1）AV（防病毒）
适用场景：
终端安全（PC、服务器）
邮件附件扫描（如Exchange防病毒）
推荐方案：
传统AV（如卡巴斯基、赛门铁克）
EDR（终端检测与响应）（如CrowdStrike、Microsoft Defender ATP）
（2）IPS（入侵防御系统）
适用场景：
企业网络边界防护（如防火墙旁路）
数据中心防漏洞利用（如Struts2攻击）
推荐方案：
NGFW集成IPS（如Palo Alto、FortiGate）
独立IPS设备（如Cisco Firepower）
（3）WAF（Web应用防火墙）
适用场景：
Web服务器防护（如官网、电商平台）
API安全（防恶意Bot攻击）
推荐方案：
硬件/软件WAF（如F5 BIG-IP、Imperva）
云WAF（如Cloudflare、AWS WAF）