堡壘機，IPS，IDS

IPS：

  入侵防御系統(IPS: Intrusion Prevention System)是電腦網絡安全設施，是對防病毒軟件(Antivirus Programs)和防火牆(Packet Filter, Application Gateway)的解釋。 
  入侵防御系統(Intrusion-prevention system)是一部能夠監視網絡或網絡設備的網絡資料傳輸行為的計算機網絡安全設備，能夠即時的中斷、調整或隔離一些不正常或是具有傷害性的網絡資料傳輸行為。

常用的攻擊檢測方法有兩種：

• 一種方法是通過定義攻擊行為的數據特征來實現對已知攻擊的檢測，其優勢是技術上實現簡單、易於擴充、可迅速實現對特定新攻擊的檢測和攔截；但僅能識別已知攻擊、抗變種能力弱。
• 另一種方法是通過分析攻擊產生原理，定義攻擊類型的統一特征，能准確識別基於相同原理的各種攻擊、不受攻擊變種的影響，但技術門檻高、擴充復雜、應對新攻擊速度有限。
  https://www.pconline.com.cn/images/html/viewpic_pconline.htm?//img0.pconline.com.cn/pconline/1411/30/5805197_2.jpg&channel=8970

IDS：

  入侵檢測系統（intrusion detection system，簡稱“IDS”）是一種對網絡傳輸進行即時監視，在發現可疑傳輸時發出警報或者采取主動反應措施的網絡安全設備。
 *  它與其他網絡安全設備的不同之處便在於，IDS是一種積極主動的安全防護技術。
 * 對IDS的部署，唯一的要求是：IDS應當掛接在所有所關注流量都必須流經的鏈路上。在這里，"所關注流量"指的是來自高危網絡區域的訪問流量和需要進行統計、監視的網絡報文。

這些位置通常是：

• n1.服務器區域的交換機上；
• n2.Internet接入路由器之后的第一台交換機上；
• n3.重點保護網段的局域網交換機上;

堡壘機：

  也叫做運維安全審計系統，它的核心功能是 4A：
  * 身份驗證 Authentication
  * 賬號管理 Account
  * 授權控制 Authorization
  * 安全審計 Audit
  簡單總結一句話：堡壘機是用來控制哪些人可以登錄哪些資產（事先防范和事中控制），以及錄像記錄登錄資產后做了什么事情（事后溯源.）。

DMZ區：

  DMZ是英文“demilitarized zone”的縮寫，中文名稱為“隔離區”，也稱“非軍事化區”。
  * 它是為了解決安裝防火牆后外部網絡的訪問用戶不能訪問內部網絡服務器的問題，而設立的一個非安全系統與安全系統之間的緩沖區。
  該緩沖區位於企業內部網絡和外部網絡之間的小網絡區域內。在這個小網絡區域內可以放置一些必須公開的服務器設施，如企業Web服務器、FTP服務器和論壇等。
  * 另一方面，通過這樣一個DMZ區域，更加有效地保護了內部網絡。因為這種網絡部署，比起一般的防火牆方案，對來自外網的攻擊者來說又多了一道關卡。

六條訪問控制：

• 1.內網可以訪問外網內網的用戶顯然需要自由地訪問外網。在這一策略中，防火牆需要進行源地址轉換。
• 2.內網可以訪問DMZ此策略是為了方便內網用戶使用和管理DMZ中的服務器。
• 3.外網不能訪問內網很顯然，內網中存放的是公司內部數據，這些數據不允許外網的用戶進行訪問。
• 4.外網可以訪問DMZDMZ中的服務器本身就是要給外界提供服務的，所以外網必須可以訪問DMZ。同時，外網訪問DMZ需要由防火牆完成對外地址到服務器實際地址的轉換。
• 5.DMZ不能訪問內網 很明顯，如果違背此策略，則當入侵者攻陷DMZ時，就可以進一步進攻到內網的重要數據。
• 6.DMZ不能訪問外網此條策略也有例外，比如DMZ中放置郵件服務器時，就需要訪問外網，否則將不能正常工作。