隨著網路攻擊手法日新月異，單一防火牆已不足以因應。本文深入解析防火牆核心功能、入侵偵測系統 (IDS) 六大能力與三種偵測技術，並說明入侵防禦系統 (IPS) 如何透過網路設備聯動實現主動封鎖。

防火牆四大核心功能

1. 存取控制：限制未授權通訊進出內部網路，過濾不安全服務與非法用戶。
2. 隱藏拓撲：防止入侵者接近防禦設施、掃描內部網路結構。
3. 訪問限制：限定用戶僅能存取特定站點/資源 (如封鎖社群媒體、惡意網站)。
4. 安全稽核：記錄通訊日誌，為監控 Internet 安全提供依據。

入侵偵測系統 (IDS) 定位與六大理想功能

IDS 部署於防火牆之後，旁路監聽 (僅需一個監聽埠)，不轉發流量，被動收集感興趣封包進行分析。理想 IDS 應具備：

1. 用戶與系統活動監控分析
2. 系統配置與脆弱性稽核
3. 異常行為模式統計分析
4. 關鍵系統/資料檔案完整性監測評估
5. 作業系統安全稽核與管理
6. 入侵模式識別與響應：切斷連線、記錄事件、發出警報

三大主流偵測技術

技術	原理	適用階段	優缺點
特徵庫比對 (Signature-based)	預先定義攻擊特徵碼 (如 Snort 規則)，封包匹配即告警	即時偵測	準確率高、誤報低；無法偵測未知攻擊 (0-day)，需持續更新規則庫
統計基準分析 (Anomaly-based)	建立正常流量基線 (頻率、連線數、頻寬)，偏離基線即判定異常	即時偵測	可發現未知攻擊；誤報率高，需長時間學習基線
完整性分析 (Integrity-based)	計算關鍵檔案/系統狀態雜湊值，定期比對發現竄改	事後分析/稽核	確切發現已發生入侵；非即時，無法防禦進行式攻擊

從 IDS 到 IPS：主動防禦與網路設備聯動

IPS (Intrusion Prevention System) = IDS 偵測能力 + 主動響應能力。部署模式為串聯 (Inline)，流量必經 IPS。

1. 交換器/防火牆將流量資訊 (NetFlow、sFlow、鏡像埠) 上報 IPS。
2. IPS 分析流量內容，發現攻擊特徵 (如 SQL Injection、Buffer Overflow)。
3. IPS 發送控制指令給交換器/防火牆：精準關閉攻擊來源埠、封鎖攻擊者 MAC/IP、重設 TCP 連線 (RST)。
4. 達成「即時發現、即時阻斷」，將損失降至最低。

這種「偵測-決策-執行」閉環，是現代資安架構 (Security Fabric) 的核心，實現纵深防禦。