核心要点（TL;DR）
- 主机防护、WAF、堡垒机防护对象不同，不能互相替代。
- 部署顺序建议：主机防护→WAF→堡垒机，先堵入侵再管入口。
- WAF只处理HTTP流量，绕过端口的攻击需主机防护兜底。
- 堡垒机解决的是运维审计与权限收敛，不是防外部攻击。
很多运维在云主机上买完安全产品才发现：WAF报了告警，主机里却早已被植入挖矿脚本；堡垒机审计了登录记录，却查不出是谁在服务器上跑了恶意命令。问题不在产品本身，而在于把主机防护、WAF、堡垒机当成了可互相替代的三件套。本文从攻击面出发，拆解三者能力边界，给出可落地的部署顺序、验证命令与选型清单。
一、三者到底各管什么：一张表看清边界
选型第一步不是比参数，而是明确防护对象。三者分别对应主机内部、Web流量、运维入口三个不同层面。
| 能力项 | 主机防护（HIDS） | WAF | 堡垒机 |
|---|---|---|---|
| 防护对象 | 主机内部进程、文件、登录 | HTTP/HTTPS请求流量 | 运维人员与登录入口 |
| 典型威胁 | 挖矿、反弹Shell、webshell落地 | SQL注入、XSS、CC攻击 | 账号共用、误操作、越权 |
| 部署位置 | 主机内Agent | 流量入口（反代/DNS） | 运维通道前置 |
| 盲区 | 不解析HTTP语义 | 非Web端口完全看不到 | 不检测主机内行为 |
结论很直接：WAF防的是“从网站进来”，主机防护防的是“进来之后”，堡垒机管的是“人怎么进来”。三者是纵深关系，不是替代关系。
二、主机防护：入侵检测的最后一道兜底
主机防护的核心价值是发现“已经进入主机”的异常。常见能力包括文件完整性监控、异常进程检测、暴力破解识别、基线检查。
部署后建议做一次有效性验证，而不是看控制台绿灯就放心：
# 1. 查看Agent进程是否运行
ps -ef | grep -i agent | grep -v grep
# 2. 制造一次文件变更，观察是否产生告警
echo test >> /etc/hosts.test
# 3. 检查SSH爆破是否被记录（用错误密码尝试几次）
ssh wronguser@127.0.0.1 -p 22若以上操作均无任何事件产生，优先排查Agent状态与告警通道，而不是继续加购其他产品。主机防护的检查清单：
- 文件完整性监控是否覆盖
/etc、/var/www、/root/.ssh等关键目录； - 是否开启登录异常与暴力破解告警；
- 告警是否推送到人（短信/IM），而非只躺在控制台；
- 是否定期执行基线检查并给出修复项。
三、WAF：只解决Web流量的那一段
WAF擅长处理SQL注入、XSS、恶意爬虫与CC攻击，但它有一个硬边界：只解析HTTP/HTTPS流量。攻击者通过SSH爆破、Redis未授权、数据库弱口令进入主机时，WAF不会产生任何记录。
接入WAF后建议做两步验证：
# 1. 确认域名解析已指向WAF回源地址
dig +short example.com
# 2. 用无害payload验证拦截是否生效
curl -i "https://example.com/?id=1%20and%201=1"同时必须配合端口收敛，否则WAF形同虚设：
- 安全组只放行80/443，SSH与数据库端口限制来源IP；
- 源站IP不直接暴露公网，避免绕过WAF直连；
- 管理后台路径加访问控制，不只依赖WAF规则。
四、堡垒机：管住运维入口与操作审计
堡垒机解决的是“谁能登录、登录后做了什么”。当团队超过两人共用root、或需要合规审计时，堡垒机价值才真正体现。它不能替代主机防护，因为恶意进程不会因为登录经过堡垒机就消失。
落地时的最小检查项：
- 所有主机SSH仅允许堡垒机IP访问，禁止直连；
- 开启命令审计与录屏，保留期满足合规要求；
- 高危命令（如
rm -rf、dd）配置二次确认或阻断； - 账号一人一号，禁用共享账号。
若主机已部署主机防护，堡垒机的审计日志可与主机侧登录事件交叉比对，快速定位“谁在什么时间执行了异常操作”。
五、选型与部署顺序：先堵入侵，再管入口
预算有限时，按攻击发生概率排序投入，而不是按产品知名度：
- 先上主机防护：云主机被入侵后最常见的是挖矿与勒索，主机侧检测能最快止损；
- 再上WAF：有对外Web业务就必须有流量层过滤，同时完成端口收敛；
- 最后补堡垒机：多人运维或合规要求时部署，收敛入口并留审计。
在主机防护的入侵检测与告警联动上，可关注 AegisX 提供的异常进程、文件变更与登录行为监控能力，将其作为主机侧兜底，再与WAF、堡垒机形成分层防护。
行动建议
今天就做三件事：登录云控制台确认主机防护Agent在线并做一次文件变更测试；检查安全组是否仍对公网开放22/3306/6379端口；梳理当前是否有两人以上共用同一登录账号。三件事做完，你对现有防护缺口的判断会比任何参数对比表都准确。
常见问题（FAQ）
云主机只装WAF不装主机防护可以吗？
不建议。WAF只过滤到达Web端口的HTTP流量，攻击者通过SSH爆破、Redis未授权、漏洞反弹Shell等方式进入主机后，WAF完全看不到。主机防护负责文件落地、进程行为、登录异常等主机内部检测，是WAF的必要补充，两者防护层次不同。
堡垒机和主机防护功能重叠吗？
不重叠。堡垒机管的是“人怎么进主机”，做运维入口收敛、命令审计、录屏回溯；主机防护管的是“主机里发生了什么”，做入侵检测与文件监控。堡垒机能降低内部误操作与账号滥用风险，但无法发现已进入主机的恶意进程。
小网站预算有限，三个只能选一个先上哪个？
优先主机防护。云主机被入侵后最常见的是挖矿、勒索与数据窃取，主机防护能第一时间发现异常进程与文件变更。Web漏洞可先用免费WAF或云厂商基础防护过渡，堡垒机在多人运维时再补。
怎么验证主机防护是否真的生效？
可做无害测试：在主机上创建测试文件并修改内容，观察是否产生文件变更告警；用非白名单IP尝试SSH登录失败，检查是否记录暴力破解事件。若长时间无任何告警，需检查Agent状态与告警通道配置。
WAF部署后还需要做端口收敛吗？
需要。WAF只保护80/443等Web端口，数据库、Redis、SSH等端口暴露在公网仍是高危面。建议用安全组只放行必要端口，管理端口限制来源IP，Web以外的服务不直接暴露公网，形成WAF加网络层收敛的双重防护。