许多企业认为：

“我们已经部署了防火墙和杀毒软件，所以是安全的。”

然而，一旦发生数据泄露或安全事件，才发现现有防护体系并不足够。

问题的根本原因在于——很多团队并未真正理解 NSM、AV、IPS、IDS、EDR 各自的定位，以及它们之间应如何协同工作。

本文将系统性拆解每个组件的作用，并展示现代企业安全架构的完整蓝图。

---

为什么单一安全产品无法满足现代防御需求？

当今的网络攻击具有以下特征：

• 利用加密流量（Encrypted Traffic）隐藏行为
• 无文件攻击（Fileless Attack）
• 基于行为的攻击技术
• 利用系统合法工具（Living-off-the-land）
• 专门绕过传统签名检测

没有任何一个安全产品可以覆盖所有攻击面。

因此，现代安全体系必须采用：

多层可视化（Layered Visibility）+ 多层控制（Layered Control）

接下来，我们逐层分析。

---

1. NSM（Network Security Monitoring）

网络可视化层

NSM 主要负责对网络流量进行深度分析与长期存储，用于威胁检测与事后取证调查。

与 IPS 不同，NSM 的核心目标不是“阻断”，而是：

监控、记录、分析与取证支持。

可以把 NSM 理解为企业网络的“监控摄像系统”。

NSM 收集的数据类型

• 全量数据包捕获（PCAP）
• NetFlow / 流量元数据
• DNS 日志
• HTTP 日志
• SSL/TLS 元数据
• 防火墙日志
• IDS 告警信息

NSM 的核心价值

• 发现内网横向移动（Lateral Movement）
• 识别数据外泄行为（Data Exfiltration）
• 分析 DNS 隧道技术
• 支持数字取证
• 提供历史流量回溯能力

当攻击者绕过防火墙和杀毒软件时，NSM 通常是揭示“真实攻击路径”的关键系统。

---

2. AV（Antivirus）

终端基础防护层

AV 部署在终端设备上，例如：

• Windows
• macOS
• Linux
• 服务器
• 办公终端

主要通过“特征码（Signature）”检测已知恶意软件。

AV 的优势

• 检测已知恶意程序
• 阻止基础型勒索软件
• 隔离感染文件

AV 的局限

• 对无文件攻击能力有限
• 难以检测 PowerShell 滥用
• 难以发现凭证窃取（Credential Dumping）
• 对高级持续性威胁（APT）防护不足

AV 是必要的，但远远不够。

---

3. IPS（Intrusion Prevention System）

实时阻断层

IPS 部署在网络路径中，采用 Inline 模式：

Internet → Firewall → IPS → Internal Network

它实时检测并拦截恶意流量。

IPS 的主要作用

• 阻断恶意 IP
• 防御漏洞利用攻击
• 丢弃异常数据包
• 阻止 C2（命令与控制）通信

IPS 是企业网络的“第一道防线”。

但其重点在“阻断”，并非深度取证分析。

---

4. IDS（Intrusion Detection System）

告警监测层

IDS 负责检测异常流量并生成告警，但不会主动阻断。

适用于对误拦截敏感的生产环境。

可以理解为网络的“报警系统”。

---

5. EDR（Endpoint Detection & Response）

终端高级行为分析层

EDR 是 AV 的升级版本。

它不仅关注文件，还监控：

进程行为、系统调用、用户操作轨迹。

EDR 可检测的行为

• 异常 PowerShell 执行
• 凭证窃取行为
• 异常进程链
• 横向移动技术

EDR 的能力

• 检测
• 阻断
• 调查分析
• 隔离受感染终端

如果 AV 是“门卫”，那么 EDR 更像“安全调查员”。

---

对比表

系统	部署位置	检测	阻断	调查能力	核心定位
AV	终端	Yes	Yes	低	已知恶意软件
EDR	终端	Yes	Yes	高	行为检测
IDS	网络	Yes	No	中	告警监测
IPS	网络	Yes	Yes	中	入侵防御
NSM	网络	Yes	通常No	极高	深度可视化
SIEM	日志层	Yes	No	关联分析	统一管理

---

现代安全架构如何协同工作？

成熟的企业安全架构通常包含：

Endpoints → AV / EDR
Network → IDS / IPS
Traffic Visibility → NSM
Central Log Correlation → SIEM
Automation & Orchestration → SOAR

各层之间相互补位，形成完整防御闭环。

---

System Diagram

flowchart TB
  Internet["Internet"] --> FW["Firewall"]
  FW --> IPS["IPS (Inline Blocking)"]
  IPS --> LAN["Internal Network (LAN)"]

  LAN --> EP["Endpoints / Servers"]
  EP --> AV["AV (File/Signature Protection)"]
  EP --> EDR["EDR (Behavior + Response)"]

  LAN --> IDS["IDS (Alerting)"]
  LAN --> NSM["NSM (Zeek/PCAP/Flow Visibility)"]

  FW --> SIEM["SIEM (Correlation)"]
  IPS --> SIEM
  IDS --> SIEM
  NSM --> SIEM
  AV --> SIEM
  EDR --> SIEM

  SIEM --> SOAR["SOAR (Automation/Orchestration)"]
  SOAR --> RESP["Response Actions
- Block IP / isolate host
- Create ticket
- Notify SOC
- Run playbook"]

  classDef layer fill:#fff,stroke:#999,stroke-width:1px;
  class Internet,FW,IPS,LAN,EP,AV,EDR,IDS,NSM,SIEM,SOAR,RESP layer;

---

管理层视角：为什么必须升级架构？

当有人说：

“我们已经有防火墙和杀毒软件。”

应该进一步思考：

• 谁能检测内网横向移动？
• 谁能识别加密 DNS 隧道？
• 谁能还原攻击时间线？
• 谁能将终端与网络日志进行关联分析？

答案通常是：NSM + EDR + SIEM + SOAR 的协同体系。

---

总结

• AV 保护文件层
• EDR 保护行为层
• IPS 阻断已知网络威胁
• IDS 提供异常告警
• NSM 提供深度可视化与取证能力
• SIEM 统一关联与分析

现代企业安全不再是单一产品的选择。

而是构建多层防御、可视化与自动响应能力的整体架构。

这，才是企业数字化时代真正的安全韧性基础。