防火墙的攻击防范功能能够检测出多种类型的网络攻击，并能采取相应的措施保护内部网络免受恶意攻击，保证内部网络主机的正常运行

攻击防范功能可以抵御传统的单包攻击，也能防御常见的DDoS攻击

单包攻击主要包括扫描类攻击、畸形报文类攻击、特殊报文类攻击

扫描类攻击：一种潜在的攻击行为，并不具有直接的破坏行为，通常是攻击者发动真正攻击前的网络探测行为（如IP地址扫描攻击、端口扫描攻击等）

畸形报文类攻击：通常指攻击者发送大量有缺陷的报文，从而造成主机或服务器在处理这类报文时系统崩溃（ping of death攻击、Smurf攻击、fraggle攻击、land攻击等）

特殊报文类攻击：也是一种潜在的攻击行为，不具有直接的破坏行为，攻击者通过发送特殊控制报文探测网络结构，为后续发送真正的攻击做准备（icmp重定向攻击、tracert攻击等）

DDoS攻击是一种分布式的DoS攻击，DoS即拒绝服务，利用TCP/IP协议缺陷，通过占用协议栈资源或发起大量流量，导致链路拥塞，消耗目标主机性能或服务器资源、带宽资源等，致使无法向合法用户提供服务

DDoS即分布式拒绝服务，在DoS攻击的基础上，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍的提高拒绝服务攻击的威力，致使目标服务器无法提供正常服务