WAF、EDR 和 SOC/SIEM：了解每家公司都应该具备的多层保护。

WAF、EDR 和 SOC/SIEM 分别保护公司不同且互补的部分。WAF（Web 应用程序防火墙）保护 Web 应用程序免受 SQL 注入和 XSS 等攻击；EDR（端点检测与响应）直接在设备（笔记本电脑、服务器）上监控和响应威胁；而 SOC/SIEM 则集中监控整个基础架构并进行事件响应，全天候 24 小时运行。. 

这三层防御体系互不取代；它们共同构成纵深防御体系，遵循 NIST 网络安全框架周期：识别、保护、检测、响应和恢复。.

WAF（Web应用程序防火墙）：保护Web应用程序

Web应用防火墙（WAF）是位于用户（包括黑客和机器人）和应用服务器之间的安全层，它会在恶意HTTP/HTTPS流量到达系统之前对其进行过滤。其主要功能包括：

• 针对OWASP Top 10中列出的最常见攻击媒介（例如 SQL 注入和跨站脚本攻击）提供保护。
• 检测和阻止机器人和恶意脚本发起的访问。
• 防止 分布式拒绝服务 (DDoS) 攻击。

另请阅读： 什么是渗透测试？渗透测试如何帮助保护公司？

EDR（端点检测与响应）：保护设备

WAF 保护应用程序的“入口点”，而 EDR 则专注于端点 （笔记本电脑、台式机和服务器）， 它利用机器学习和人工智能技术来检测异常行为，包括无文件威胁 （ 即不会留下传统恶意文件以供识别的威胁）。预期结果包括：

• 提高了 对高级威胁的检测能力。
• 通过自动响应降低平均响应和恢复时间 (MTTR) 。
• 跨 Windows、Mac 和 Linux 系统实现无缝修复自动化。

SOC/SIEM：持续监控中心

安全运营中心 (SOC) 配备安全信息和事件管理 (SIEM) 系统，集中收集和处理来自整个基础设施的遥测数据和事件，全天候 24 小时运行。这包括：

• 基于 MITRE ATT&CK 等公认框架和异常行为识别的主动威胁检测。
• 应对安全事件，部署专家进行遏制和补救活动。
• 集中处理和查看 所有受监控资产。

这三层是如何相互补充的。

公司应该从哪里起步？

虽然没有强制顺序，但通常的起点是 威胁分析，即发现和评估网络上暴露的 URL 和 IP 的安全状况，识别漏洞并确定风险优先级，然后再决定首先实施哪些保护层。

您可能还对以下内容感兴趣： 网络安全和网络攻击的演变

常见问题解答

小型公司是否需要同时部署所有三层安全防护（WAF、EDR 和 SOC/SIEM）？ 这取决于系统的风险暴露程度和关键性。理想情况下，应该首先进行威胁分析，了解最大的风险所在，并根据分析结果确定防护层的优先级，而不是毫无根据地一股脑地全部部署。

WAF 和网络防火墙是一回事吗？ 不是。网络防火墙保护的是整个网络流量，在网络层面上控制未经授权的访问。而 WAF 则专门针对 Web 应用程序，专注于防御利用应用程序代码或行为漏洞的攻击。

在EDR（端点检测与响应）的语境下，“无文件威胁检测”是什么意思？ 这类攻击不依赖于传统的恶意文件安装到系统中，而是直接在内存中运行或利用设备上已有的合法工具，因此需要基于行为的检测，而不仅仅是文件签名检测。

SOC/SIEM 能取代 WAF 和 EDR 吗？ 不能。SOC/SIEM 集中监控和响应，但它依赖于 WAF 和 EDR 等层生成的数据和警报才能获得完整的可见性；这三者是互补的，而不是替代的。

作者： Skyone