随着网络技术发展，网络威胁无孔不入，网络攻击手段呈现复杂性及多变性的趋势。要建立防御体系应从通信网络、网络边界、局域网络内部、各种业务应用平台等各个层次落实各种安全措施，形成纵深防御体系。单靠一种或几种安全设备就想保护整个网络是不可能的事情。因此，为了满足不同防护需求的安全设备应运而生。有的设备是为了严防非授权访问。有的设备是为了实时检测，拦截攻击行为。有的设备是为了自查自审，发现自身存在的问题。每一种安全设备分工都不同，设备缺失肯定会使防御体系失效造成安全隐患。另外这些网络安全设备部署方式也尤其重要，通常需对网络进行控制设备采用串行接入，而审计类设备采用旁挂，串行时设备故障可能产生网络故障，而旁挂设备只影响自身功能。本文介绍常见的网络安全设备及其作用。
防火墙
防火墙是一个有软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。防火墙其主要功能实现是限制对IP及端口的访问，基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。防火墙部署位置一般为外联出口或者区域性出口位置，对内外流量进行安全隔离。部署方式常见如下 ：
入侵检测系统IDS
IDS（Intrusion Detection System）入侵检测系统是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。我们做一个比喻——假如防火墙是一幢大厦的门锁，那么IDS就是这幢大厦里的监视系统。一旦小偷进入了大厦，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。专业上讲IDS就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。与防火墙不同的是，IDS入侵检测系统是一个旁路监听设备，不需要跨接在任何链路上，无须网络流量流经它便可以工作。因此，IDS基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主。
入侵防御系统IPS
IPS(Intrusion Prevention System)入侵防御系统是在入侵检测系统IDS的基础上发展起来的，它不仅具有IDC检测攻击行为的能力，而且具有防火墙拦截攻击并且阻断攻击的功能。IPS提供多个端口，以透明模式工作,其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问，IPS设备常被串接在主干路上，对内外网异常流量进行监控处理，部署位置常见如下 ：
Web应用防护系统WAF
WAF（Web Application Firewall）Web应用防护系统用以监视和阻止与Web应用程序之间的HTTP流量。WAF与常规防火墙的区别在于，WAF工作在应用层，WAF能够过滤特定Web应用程序的内容。通过检查HTTP流量，它可以防止源自Web应用程序安全漏洞的攻击，例如SQL注入、跨站点脚本，文件包含和安全性错误配置等。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，从而对各类网站站点进行有效防护。因为WEB服务器是WAF所保护的对象，部署时要使WAF尽量靠近WEB服务器。
漏洞扫描设备
漏洞扫描设备是基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测行为。漏洞扫描设备可以对网站、系统、数据库、端口、应用软件等一些网络设备应用进行智能识别扫描检测，并对其检测出的漏洞进行报警提示管理人员进行修复。同时可以对漏洞修复情况进行监督并自动定时对漏洞进行审计提高漏洞修复效率。
网闸
网闸又叫信息交换与安全隔离系统，用以实现不同安全级别网络之间的安全隔离，并提供适度可控的数据交换的软硬件系统，在网络隔离级别上高于防火墙。它一般由内网主机、外网主机和隔离硬件的“2+1”架构组成，能够创建一个内、外网物理连接但逻辑隔离的网络环境。网闸是与防火墙完全不同的安全技术，防火墙在保证连通的情况下尽可能安全，而网闸在保证安全的情况下尽可能支持数据交换。
网闸和防火墙的区别：
简单理解，我们把网络的边界比喻为一条河，河两边分别为内网外网。防火墙类似于一座桥，桥两头设立了检查站（策略），检查进出车辆（数据）信息是否符合准入条件（五元组等），放行后车辆需要自己开过去，防火墙只是检查和控制准入，相当于原本正常的路上设了一道检查站。网闸就像是河上的一条摆渡船，河这边的人想去对岸，必须先上船，这个期间对面的人也只能等船靠岸后再乘船过河。这个船就是网闸自己起的一个代理，内网数据不能直接与外网通信，需要先与网闸的代理ip建立通信，外网只能访问网闸的代理ip。
安全审计设备
网络安全审计通过对网络数据的采集、分析、识别，实时动态监测通信内容、网络行为和网络流量，发现和捕获各种敏感信息、违规行为，实时报警响应，全面记录网络系统中的各种会话和事件，实现对网络信息的智能关联分析、评估及安全事件的准确定位，为整体网络安全策略的制定提供权威可靠的支持。
- 内容审计：可对网页内容、邮件、数据库操作、论坛、即时通讯等提供完整的文本、图片和音视频内容检测、信息还原功能；并可自定义关键字库，进行细粒度的审计追踪。
- 行为审计：根据设定的行为审计策略，对网站访问、邮件收发、数据库访问、远程终端访问、文件上传下载、即时通讯、论坛、移动应用、在线视频、P2P 下载、网络游戏等网络应用行为进行监测，对符合行为策略的事件实时告警并记录。
- 流量审计：支持基于智能协议识别的流量分析功能；实时统计出当前网络中的各种协议流量，进行综合流量分析，提供详细的流量报表；可以统计指定协议流量的IP TOP N，为流量管理策略的制定提供可靠支持。
