🛡️ 云防火墙专题
云防火墙与安全组怎么分工、防护范围如何界定、日志能否满足等保要求，把边界防护的选型问题一次讲清。
3层防护边界
6项选型维度
5家主流厂商
6个月日志留存要求
📋
什么是云防火墙
云防火墙是部署在云上的网络边界安全产品，对进出云上资源的流量做统一管控。它区别于传统硬件防火墙的地方在于：无需自建机房设备，策略随业务弹性扩缩，并且能直接读取云平台的资产与流量信息，实现东西向与南北向流量的统一可视。
对已经上云的企业，云防火墙通常是网络边界防护的第一道关卡。它与安全组的分工是：安全组做实例级的基础访问控制，云防火墙做跨VPC、跨账号的统一策略管理与入侵防御，两者互补而非替代。
🔍
选型要看哪些点
云防火墙产品之间差异主要在防护范围、入侵防御深度与日志合规能力三方面。
维度一
防护范围
是否支持互联网边界、VPC边界、主机边界三层防护；能否跨账号、跨地域统一管理；是否覆盖混合云与多云环境。业务分布在多个VPC或多账号时，这项决定管理成本。
维度二
入侵防御能力
IPS规则库规模与更新频率、虚拟补丁覆盖的漏洞数量、对常见Web攻击与恶意扫描的识别率。规则库更新是否收费、是否支持自定义规则也很关键。
维度三
日志与合规
日志留存时长是否满足等保要求（通常不少于6个月）、是否支持日志投递到自有SLS或第三方SIEM、审计报表能否直接用于等保测评材料。
维度四
策略管理与可视化
是否提供流量拓扑图、策略冗余检测、命中率分析。策略数量多时，缺少可视化会让运维难以判断哪条规则真正生效。
维度五
性能与扩展
吞吐量、新建连接数是否随业务增长弹性扩展；开启入侵防御后性能衰减幅度。部分产品开启全量检测后吞吐会明显下降，需实测确认。
维度六
计费模式
按带宽、按实例数还是按防护流量计费；是否包含在安全托管服务中。业务流量波动大时，计费模式对总成本影响明显。
📚
专题文章
❓
云防火墙常见问题
安全组工作在实例层面，做基础的网络访问控制，规则简单且分散在各个实例上；云防火墙工作在VPC与互联网边界层面，提供跨账号、跨VPC的统一策略管理，并集成了入侵防御（IPS）、流量可视化、日志审计等能力。两者互补，通常同时使用。
需要。WAF防护的是Web应用层的HTTP/HTTPS流量，云防火墙防护的是网络层的全协议流量，包括非Web端口、东西向VPC间流量、出方向的外联访问。两者防护位置和对象不同。
会有一定衰减，具体幅度取决于产品实现与开启的检测项。部分产品在全量检测模式下吞吐下降较明显，选型时建议实测确认，或选择支持按需开启检测项的产品。
多数主流云防火墙提供合规报表与日志留存能力，日志留存时长满足等保要求的6个月。但测评时需要的是完整的审计证据链，建议确认产品是否支持日志投递到自有存储或SIEM，以便长期留存与取证。
开始评估你的云防火墙方案
按业务架构与合规要求匹配合适的边界防护方案