不同控制有不同責任
防火牆依政策控制流量；IDS 觀察並提出警示；IPS 可在流量路徑上執行阻擋。實際產品可能整合多種能力，所以要核對目前部署的位置、模式與規則，而不是只看產品名稱。
蜜罐可提供誘餌資產上的互動線索，但它看到的也只有自身可見的部分。此章雖沿用官方章節名稱，入門單元著重防禦驗證；不提供繞過真實監控的操作。
把預期與觀察放在同一張表
矩陣列出來源、目的地、協定、動作及預期結果，再記實際允許／阻擋與是否警示。合法服務被誤擋是可用性問題；禁止流量被允許是政策問題；事件發生卻沒告警可能是偵測或收集問題。
沒有警示時先核對感測器是否看到事件、規則是否適用、時鐘與傳送流程是否正常。不要在沒有這些證據時，把安靜的儀表板當成沒有攻擊的證明。
例子：允許網頁、拒絕管理埠
虛構政策允許訪客至 443，拒絕訪客至管理埠，並要求記錄拒絕事件。合成結果顯示兩者都被拒絕，但只有管理埠有日誌。
管理埠的阻擋符合政策；443 的阻擋破壞合法功能。若只測禁止案例，就會漏掉這個問題。日誌是否完整還要比對宣告的記錄需求。
判斷：至少需要一個允許案例與一個拒絕案例，以及各自的觀測證據。
離線練習：控制矩陣
只填合成表格，不改防火牆或監控設定。
- 建立訪客→443 與訪客→管理埠兩列。
- 填入預期、實際結果與日誌是否存在。
- 指出需要修正的規則與需要補查的觀測。
預期結果
443 應恢復合法存取；管理埠拒絕保留；記錄要求另行核對。
自行檢核
為何「所有流量都擋掉」不一定代表驗收成功？
結束與清理
保留矩陣；沒有真實規則需要回復。