一、DMZ 里放什么，有一条判断标准

DMZ 的位置决定了它能放什么。判断标准只有一条： 这台机器上有没有不该被外人看到的数据——有就不放。

按这条标准，可以放的和严禁放的泾渭分明：

• 可以放公司官网、电商前台、邮件网关、对外 DNS、供客户下载的 FTP、VPN 网关。
• 严禁放数据库服务器、财务系统、工资表、员工办公终端、源代码仓库。

还有一条容易被忽略的操作要求：DMZ 里的服务器不要保存敏感数据。 需要用到内网数据时，通过接口去内网取，而不是把数据同步一份过来放着。 因为一旦同步过来，DMZ 就不再是【可以牺牲的地带】了。

二、看门的两个角色：IDS 与 IPS

流量进出的地方要有人盯着。设备名字只差一个字母，做事风格完全相反：

• IDS（入侵检测系统）——只看不动。它从流量旁路接一条线过去复制一份， 发现问题就记日志、发告警，但不会去动那个包。
• IPS（入侵防御系统）——边看边拦。它串在流量中间， 发现是攻击就直接把包丢掉，业务请求当场被中断。

两者的取舍点在于【误判的代价】：

• IDS 误判，代价是多一条没人看的告警。
• IPS 误判，代价是一个正常用户被挡在门外，甚至整条业务被打断。

所以业界的常规做法是先用 IDS 跑一段时间，把规则调到误报可接受，再切到 IPS。 直接上 IPS 的结果往往是【上线第一天就把自己的业务拦了】。

三、它们靠两种办法认攻击

认攻击有两条思路，各有各的毛病：

• 签名型——拿已知攻击的特征去比对。准，但只认识见过的东西， 对全新的攻击手段（零日攻击）完全无感。目前装得最多，约占 54%。
• 异常型——先学出一个【正常长什么样】的基线，偏离就报。 能认新招，但特别容易多报，因为正常业务本身就有波动。约占 46%，而且增长更快。

误报是这类设备的老毛病。有数据说受误报困扰的组织在 24% 到 45% 之间， 近四成企业抱怨每天上百条告警把运维拖垮了—— 这也是为什么近几年的新设备都在往 AI 检测上靠， 目标是【既保住检出率，又把误报压下来】。

有意思的是，这个品类的市场规模并不大：2026 年全球 IDPS 约 39.1 亿美元， 年复合增速约 6.8%，明显低于防火墙和 WAF。 原因也合理——它往往被打包进防火墙一起卖，很少单独采购。

四、UTM：把几个盒子打包成一台

既然入侵检测、入侵防御、防病毒、内容过滤这些功能经常一起用， 厂商干脆把它们做进一台设备，这就是统一威胁管理（UTM）。

它的好处很直白：一台机器、一个管理界面、一份日志， 对没有专职安全团队的中小企业来说，这是唯一现实的选择。

代价也有：

• 单点风险——一台机器承担全部功能，它挂了，所有防护一起挂。
• 性能稀释——功能越多，同样的硬件能扛的流量越小。
• 反而更信任它——界面只有一个，容易让人误以为【配好了就万事大吉】。

所以在 IDC 的市场口径里，UTM 和【基于 UTM 平台的防火墙】是被放在一起统计的。 今天买一台企业级防火墙，它十有八九就是 UTM。

五、动手 Demo：把检测方式占比和误报代价算一遍

检测方式的占比、以及误报的代价，都可以用简单比例来看：

sig, anom = 54, 46        # 签名型与异常型的部署占比（%）
print("  两种方式合计 = %d%%" % (sig + anom))
print("  网络型 + 主机型 = %d%%（无线型约 14%%）" % (47 + 29))
print("  IDPS 市场 39.1 亿美元，只有 WAF 的三分之一多一点")

实跑输出：

--------------------------------------------------------------------
DMZ 里放什么，由谁来看门
--------------------------------------------------------------------
  DMZ 是把对外服务从内网里挪出来，所以第一件事是分清什么能放、什么不能放。

  可以放进 DMZ           严禁放进 DMZ
  ----------------------------------------
  公司官网、电商前台     数据库服务器
  邮件网关、对外DNS      财务系统、工资表
  供客户下载的FTP        员工办公终端
  VPN网关、API网关       源代码仓库
  ----------------------------------------

  判断标准只有一条：这台机器上有没有不该被外人看到的数据。有就不放。

  看门的有两个角色，名字只差一个字母，脾气完全不同：

                 IDS 入侵检测       IPS 入侵防御
  ---------------------------------------------------
  姿态           只看不动           边看边拦
  接法           旁路接一条线       串在流量中间
  发现攻击       记日志、告警       直接丢掉这个包
  误判的代价     多一条误报         正常的业务被打断
  适合           先观察、后调优     规则已经调准之后
  ---------------------------------------------------

  它们靠两种办法认攻击。签名型拿已知攻击的特征去比对，准但不认识新招；
  异常型先学出一个正常基线，偏离就报，能认新招但容易多报。

  检测方式               已部署占比     特点
  -------------------------------------------------------------
  签名型（特征比对）     约 54%         误报低，认不出零日攻击
  异常型（行为基线）     约 46%         能认新招，误报高
  -------------------------------------------------------------

  误报是这类设备的老问题：受误报困扰的组织在 24% 到 45% 之间，
  近四成企业说每天上百条告警把运维拖垮了。IDPS 市场的规模并不大：

  口径                规模            增速
  -------------------------------------------------------
  全球 IDPS 2026      39.1 亿美元     到 2035 年约 73 亿
  年复合增速          约 6.8%         低于防火墙与 WAF
  网络型 / 主机型     47% / 29%       无线型约 14%
  -------------------------------------------------------

  小算例：网络型加主机型 = 47% + 29% = 76%，剩下的 24% 才轮到无线和其他形态。
  一台防火墙加 IPS 加 UTM 打包成盒子，就是常见的统一威胁管理设备（UTM）。

47 + 29 = 76%，说明网络型和主机型两家就吃掉四分之三，剩下 24% 才轮到无线与其他形态。 而 39.1 亿美元这个体量，对比 WAF 的 101.3 亿，说明单独买检测设备的钱，远少于买应用防火墙的钱。 原因不复杂：它被打包进防火墙了。

30 秒实验

1. 查一个你常上的网站，看它的域名解析到哪家 CDN——很多 CDN 自带 WAF 与抗 DDoS。
2. 在你的电脑上装一个开源的入侵检测工具（比如 Suricata）跑一天，看它报多少条。
3. 翻一翻你路由器的管理界面，找找有没有【攻击防护】或【入侵检测】开关。

常见误区

1. 错误：IDS 和 IPS 是同一个东西的两个名字。——纠正：IDS 只看不动，IPS 边看边拦；一个旁路接，一个串接，误判的代价完全不同。
2. 错误：DMZ 的服务器可以放一份数据库副本，省得来回取。——纠正：放进 DMZ 就等于承认它可以被牺牲；需要数据时应该通过接口去内网取。
3. 错误：功能越多的安全设备越好。——纠正：功能多则性能稀释、单点风险集中；UTM 的价值在简化管理，不在功能数量。

• ☐ 下一节（9-4 穿透DMZ后的防守：DoS攻击、WAF、日志分析）

相关笔记

• 安全措施的物理结构 —— 上一节把网络切成三段，这一节专讲中间那段
• 穿透DMZ后的防守 —— 万一 DMZ 真的被打穿，下一节接着讲
• 服务器内部的安全（目录服务器、病毒防范） —— 服务器这一侧还要做什么
• 防火墙之后的缓冲地带 —— 同一套缓冲思路在云上的做法
• 外部入侵的检测和防御 —— 检测与防御的另一套讲法
• 🕸️ Web技术原理 · 索引