采用网络防火墙抵御由于网络内存在的安全漏洞而存在的潜在网络攻击，通过防火墙过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS 协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP 选项中的源路由攻击和ICMP 重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。具体可以体现在以下方面:
(1)强化网络安全策略
通过以防火墙为中心的安全方案配置，能将所有安全软件(如口令、加密、身份认证、审计等)配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其他的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。①服务访问策略。服务访问策略是高层的策略，明确定义了受保护网络允许和拒绝的网络服务及其使用范围，以及安全措施(如认证等)。两种典型的服务访问策略是:不允许外部网络访问内部网络，但允许内部网络访问外部网络:允许外部网络访问部分内部网络服务。②防火墙设计策略。防火墙设计策略是低层的策略，描述了防火墙如何根据高层服务访问策略来具体地限制访问和过滤服务等，即它必须针对具体的防火墙来定义过滤规则等，以实现服务访问策略。在设计该策略前，设计者应先从两个防火墙设计的基本策略中选择其一，并根据它和服务访问策略以及经费来选择合适的防火墙系统结构和组件。这两个基本防火墙设计策略是:允许所有除明确拒绝之外的通信或服务:担绝所有除明确允许之外的通信或服务。
(2) 监控审计
如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出自忘记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够我挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。
(3)防止内部信息泄露
通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴露了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger ， DNS 等服务。Finger 显示了主机的所有用户的注册名、真名，最后登录时间和使用shel1类型等。但是Finger 显示的信息非常容易被攻击者所获悉。攻击者可以知道-个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS 信息，这样一台主机的域名和IP 地址就不会被外界所了解。
(4) 数据包过滤
网络上的数据都是以包为单位进行传输的，每一个数据包中都会包含一些特定的信息，如数据的源地址、目标地址、源端口号和目标端口号等。防火墙通过读取数据包中的地址信息来判断这些包是否来自可信任的网络，并与预先设定的访问控制规则进行比较，进而确定是否需对数据包进行处理和操作。数据包过滤可以防止外部不合法用户对内部网络的访问，但由于不能检测数据包的具体内容，所以不能识别具有非法内容的数据包，无法实施对应用层协议的安全处理。
(5) 网络地址转换
网络IP 地址转换是一种将私有IP 地址转化为公网IP 地址的技术，它被广泛应用于各种类型的网络和互联网的接入中。网络IP 地址转换一方面可隐藏内部网络的真实IP地址，使内部网络免受黑客的直接攻击，另一方面由于内部网络使用了私有IP 地址，从而有效解决了公网IP 地址不足的问题。
(6) 虚拟专启网络
除了安全作用，防火墙还支持具有Internet 服务特性的企业内部网络技术体系VPN(虚拟专用网)。虚拟专用网络将分布在不同地域上的局域网或计算机通过加密递信，虚拟出专用的传输通道，从而将它们从逻辑上连成一个整体，不仅省去了建设专用通信线路的费用，还有效地保证了网络通信的安全。
防火墙是实施访问控制策略的系统，对流经的网络流量进行检查，拦截不符合安全策略的数据包。入侵检测技术(IDS)通过监视网络或系统资源，寻找违反安全策略的行为或攻击迹象，并发出报警。传统的防火墙旨在捏绝那些明显可疑的网络流量，但仍然允许某些流量通过，因此防火墙对于很多入侵攻击仍然无计可施。绝大多数IDS 系统都是被动的，而不是主动的。也就是说，在攻击实际发生之前，它们往往无法预先发出警报。而入侵防护系统(IPS) 那倾向于提供主动防护，其设计宗旨是预先对入侵活动和攻击性网络流量进行拦截，避免其造成损失，而不是简单地在恶意流量传送时或传送后才发出警报。IPS 是通过直接嵌入到网络流量中实现这一功能的，即追过一个网络端口接收来自外部系统的流量，经过检查确认其中不包含异常活动或可疑内容后，再通过另外一个端口将它传送到内部系统中。这样一来，有问题的数据包，以及所有来自同一数据流的后续数据包，都能在IPS 设备中被清除掉。