许多企业认为：

“我们已经部署了防火墙和杀毒软件，所以是安全的。”

然而，一旦发生数据泄露或安全事件，才发现现有防护体系并不足够。

问题的根本原因在于——很多团队并未真正理解 NSM、AV、IPS、IDS、EDR 各自的定位，以及它们之间应如何协同工作。

本文将系统性拆解每个组件的作用，并展示现代企业安全架构的完整蓝图。

为什么单一安全产品无法满足现代防御需求？

当今的网络攻击具有以下特征：

利用加密流量（Encrypted Traffic）隐藏行为
无文件攻击（Fileless Attack）
基于行为的攻击技术
利用系统合法工具（Living-off-the-land）
专门绕过传统签名检测

没有任何一个安全产品可以覆盖所有攻击面。

因此，现代安全体系必须采用：

多层可视化（Layered Visibility）+ 多层控制（Layered Control）

接下来，我们逐层分析。

1. NSM（Network Security Monitoring）

网络可视化层

NSM 主要负责对网络流量进行深度分析与长期存储，用于威胁检测与事后取证调查。

与 IPS 不同，NSM 的核心目标不是“阻断”，而是：

监控、记录、分析与取证支持。

可以把 NSM 理解为企业网络的“监控摄像系统”。

NSM 收集的数据类型

全量数据包捕获（PCAP）
NetFlow / 流量元数据
DNS 日志
HTTP 日志
SSL/TLS 元数据
防火墙日志
IDS 告警信息

NSM 的核心价值

发现内网横向移动（Lateral Movement）
识别数据外泄行为（Data Exfiltration）
分析 DNS 隧道技术
支持数字取证
提供历史流量回溯能力

当攻击者绕过防火墙和杀毒软件时，NSM 通常是揭示“真实攻击路径”的关键系统。

2. AV（Antivirus）

终端基础防护层

AV 部署在终端设备上，例如：

Windows
macOS
Linux
服务器
办公终端

主要通过“特征码（Signature）”检测已知恶意软件。

AV 的优势

检测已知恶意程序
阻止基础型勒索软件
隔离感染文件

AV 的局限

对无文件攻击能力有限
难以检测 PowerShell 滥用
难以发现凭证窃取（Credential Dumping）
对高级持续性威胁（APT）防护不足

AV 是必要的，但远远不够。

3. IPS（Intrusion Prevention System）

实时阻断层

IPS 部署在网络路径中，采用 Inline 模式：

Internet → Firewall → IPS → Internal Network

它实时检测并拦截恶意流量。

IPS 的主要作用

阻断恶意 IP
防御漏洞利用攻击
丢弃异常数据包
阻止 C2（命令与控制）通信

IPS 是企业网络的“第一道防线”。

但其重点在“阻断”，并非深度取证分析。

4. IDS（Intrusion Detection System）

告警监测层

IDS 负责检测异常流量并生成告警，但不会主动阻断。

适用于对误拦截敏感的生产环境。

可以理解为网络的“报警系统”。

5. EDR（Endpoint Detection & Response）

终端高级行为分析层

EDR 是 AV 的升级版本。

它不仅关注文件，还监控：

进程行为、系统调用、用户操作轨迹。

EDR 可检测的行为

异常 PowerShell 执行
凭证窃取行为
异常进程链
横向移动技术

EDR 的能力

检测
阻断
调查分析
隔离受感染终端

如果 AV 是“门卫”，那么 EDR 更像“安全调查员”。

对比表

系统	部署位置	检测	阻断	调查能力	核心定位
AV	终端	Yes	Yes	低	已知恶意软件
EDR	终端	Yes	Yes	高	行为检测
IDS	网络	Yes	No	中	告警监测
IPS	网络	Yes	Yes	中	入侵防御
NSM	网络	Yes	通常No	极高	深度可视化
SIEM	日志层	Yes	No	关联分析	统一管理

现代安全架构如何协同工作？

成熟的企业安全架构通常包含：

Endpoints → AV / EDR
Network → IDS / IPS
Traffic Visibility → NSM
Central Log Correlation → SIEM
Automation & Orchestration → SOAR

各层之间相互补位，形成完整防御闭环。

System Diagram

flowchart TB
  Internet["Internet"] --> FW["Firewall"]
  FW --> IPS["IPS (Inline Blocking)"]
  IPS --> LAN["Internal Network (LAN)"]

  LAN --> EP["Endpoints / Servers"]
  EP --> AV["AV (File/Signature Protection)"]
  EP --> EDR["EDR (Behavior + Response)"]

  LAN --> IDS["IDS (Alerting)"]
  LAN --> NSM["NSM (Zeek/PCAP/Flow Visibility)"]

  FW --> SIEM["SIEM (Correlation)"]
  IPS --> SIEM
  IDS --> SIEM
  NSM --> SIEM
  AV --> SIEM
  EDR --> SIEM

  SIEM --> SOAR["SOAR (Automation/Orchestration)"]
  SOAR --> RESP["Response Actions
- Block IP / isolate host
- Create ticket
- Notify SOC
- Run playbook"]

  classDef layer fill:#fff,stroke:#999,stroke-width:1px;
  class Internet,FW,IPS,LAN,EP,AV,EDR,IDS,NSM,SIEM,SOAR,RESP layer;