国家互联网应急中心《2013年中国互联网网络安全报告》显示，2013年我国境内感染木马僵尸网络的主机为1135万个，被篡改的网站数量为24034个。

面对层出不穷的互联网攻击，我们应该如何进行防御？今天小编为大家对比两款入侵防护设备：ips和下一代防火墙。

ips是一种可实时检测多种网络攻击，并对指定的网络攻击进行阻断的安全防御系统，能够预先对入侵活动和攻击性的网络流量进行拦截，它诞生于防火墙和ids（入侵检测系统）无法满足网络安全防护的时代。

下一代防火墙是一款能够为用户提供有效地应用层一体化安全防护的高性能防火墙，能够准确识别用户、应用、内容和威胁，并且集成了多种安全防护功能，其中便包括入侵防御功能。下一代防火墙的概念于2009年由gartner首次提出，由于传统防火墙已无法有效抵御新型互联网攻击，gartner认为有必要将防火墙升级为“下一代防火墙”，以应对当前和未来新一代的网络安全威胁。

由于ips是基于已知漏洞特征库对网络攻击行为进行检测和拦截，对于未公布的0day漏洞等攻击，并不能进行很好地防御。下一代防火墙各安全模块间的智能联动，使其入侵防御功能优于ips。下面让小编就深信服下一代防火墙（ngaf）的入侵防御功能展开介绍，为您呈现下一代防火墙的入侵防御特色。

深信服下一代防火墙的入侵防御优势

衡量入侵防御功能主要看特征库的完善程度、更新频率、对威胁的识别率，以及能否有效防御web漏洞攻击等方面的内容。

完善的漏洞特征库

根据cve标准，ips产品需要满足能够收录近5年重要的操作系统漏洞及应用系统漏洞，特征库要大于4000条，深信服下一代防火墙的特征库远高于此数字。同时，我们还是微软mapp成员，每月可提早发布微软漏洞并更新特征库，确保您的网络免受新的微软系统漏洞攻击。

快速的威胁更新

对于特征库的更新，深信服安全团队每天都有专业工程师收集0day漏洞，在特征库原有数目的基础上，保持每2周一次的更新补充。遇到重大安全威胁，我们会在24小时内对威胁进行分析并及时更新特征库，保障您的网络安全。

9月24日，redhat安全团队发现了一个远胜“心脏出血”的bash漏洞，该漏洞允许黑客通过操控服务器获取系统管理员权限。为确保用户的网络安全，深信服安全团队及时启动应急响应机制，迅速对漏洞进行分析和特征提取，并于9月25日早上更新ips特征库。深信服对bash漏洞做出的快速响应，获得了用户的一致好评。

先进的特征识别方式

ips基于数据包的传统dpi识别模式，其检测方式具有较高的误报率，处理效率低下。深信服下一代防火墙ngaf除提供ips传统匹配方式，还为您提供应用内容的深度识别，它能有效提高数据包扫描效率，增加扫描准确性，降低误报率。

完整的web攻击防御体系

深信服下一代防火墙ngaf在原有的4000余条漏洞特征库的基础上，额外提供超过2000条的web漏洞攻击特征识别库，帮您识别和防御基于web 框架漏洞的攻击，还提供多种防逃逸防绕过的检测手段，避免攻击包绕过检测进入内网。ips由于没有专门的独立特征识别库和防逃逸防绕过检测，很难对web漏洞进行高安全级别的防护。

apt攻击、僵尸网络的防御

深信服下一代防火墙ngaf可实现建立双向威胁检测模型，其僵尸网络检测隔离功能，通过对外发流量进行检测，可判断您网络中的服务器或终端是否感染了病毒木马。ngaf的智能联动功能，通过各安全模块间的联动，为apt攻击防护提供从主机层、网络层到应用层的l2-l7层入侵防御，通过关联分析准确定位出apt攻击，从而阻断黑客的攻击行为。

面对全新的互联网环境，ips的时代已经一去不返。为应对当前与未来新一代的网络安全威胁，下一代防火墙应运而生。深信服下一代防火墙完善的入侵防御功能，能够有效抵御新型黑客攻击，为您的网络保驾护航。

专业安全防护，深信服一直在您身边！