傳統狀態檢測防火牆擋不住應用層攻擊（利用 80/443 埠）；IDS 能發現但無法阻擋，且誤報多、分析耗時；IPS 能即時阻斷但誤判風險高、價格昂貴。本文主張「層層設防」，讓三者各司其職、互補長短。
三者定位差異
| 技術 | 部署模式 | 核心能力 | 局限 |
|---|
| 狀態防火牆 | 邊界第一道防線 | 網路層存取控制、NAT、VPN | 無法深度檢測應用層攻擊 |
| IDS（入侵檢測） | 旁路/鏡像埠，被動監控 | 應用層特徵/行為檢測、安全審計、事後追蹤 | 無法阻斷、誤報量大、分析耗時 |
| IPS（入侵防禦） | 串聯部署，主動阻斷 | 即時阻擋應用層攻擊、減少內部 IDS 警報 | 誤判可能中斷合法業務、價格高、大型網路難全覆蓋 |
IDS 的困境與 IPS 的崛起
- Gartner 曾建議以 IPS 取代 IDS，但業界共識：IDS 在審計、合規、事後鑑識仍不可替代。
- IDS/IPS 核心檢測引擎相同，皆面臨誤報/漏報困擾。
- 多數企業將 IPS 以「IDS 模式」（僅監控）部署，避免誤判影響業務。
最佳實踐：IDS 攜手 IPS，各取所長
- 邊界/核心區部署 IPS：阻擋蠕蟲、DoS、已知漏洞利用，大幅降低內部 IDS 警報量（案例：警報減少 99%）。
- 內部子網部署 IDS：專注監控、審計、威脅獵捕、合規留證，無須擔心阻斷業務。
- 自動化與智能化：廠商推動自動調優（TippingPoint UnityOne 分鐘級部署）、關聯分析去噪（Cisco/Symantec/ISS 審計功能）。
補充防線
- Web 應用防火牆 (WAF)：專防 Web 應用竊取，補足防火牆/IPS 盲區。
- 主機型 IPS (HIPS)：部署於關鍵伺服器，攔截系統呼叫、檔案變更、權限異動。
- 新一代防火牆：整合 App-ID、User-ID、Content-ID，以軟體實現深度檢測（Check Point、NetScreen）。
結論
面對當前威脅，「防火牆 + IPS + IDS + WAF + HIPS」多層協同，而非單一產品取代，才是企業網路安全的最佳手段。重新認識 IDS 定位，善用其審計與威脅可視化價值，配合 IPS 前端阻斷，構建彈性防禦體系。