Inną kontrowersyjną metodą wczesnego wykrywania zagrożeń, a w zasadzie opóźniania skutków potencjalnych włamań jest tworzenie wydzielonych podsieci "udających" sieć wewnętrzną. Metoda ta, nazwana w jęz. angielskim honeypot, czyli "garniec miodu", może być źródłem praktycznej wiedzy na temat nowych zagrożeń i technik hakerów, co czyni ją użyteczną dla firm zawodowo zajmujących się bezpieczeństwem. Dla zwykłej firmy stosowanie takich rozwiązań jest jednak zbyt ryzykowne - jeżeli system honeypot nie został poprawnie przygotowany, intruz może przejąć nad nim kontrolę, a następnie dokonywać za jego pomocą jawnych ataków na sieci innych firm. W efekcie właściciel sieci honeypot będzie mieć trudności z wytłumaczeniem, że włamania nie dokonali pracownicy firmy.

Razem czy osobno

Filtracja pakietów czy kontrola typu statefull inspection, realizowana na poziomie trzeciej warstwy OSI, nie powodują znaczącego obniżenia wydajności systemów informatycznych. Ograniczenie się jedynie do tych metod nie pozwala jednak na wykonywanie precyzyjnej kontroli działania aplikacji sieciowych (np. uwierzytelniania użytkowników, blokowania niedozwolonych poleceń, kontroli dostępu do określonych danych itp.).

Systemy zaporowe funkcjonujące na poziomie aplikacji, określane jako firewall proxy lub application gateway, mają w tym zakresie większe możliwości, powodują jednak stosunkowo duże opóźnienia w działaniu aplikacji. Mają też pewne dodatkowe ograniczenia wynikające z faktu, że funkcjonują jako procesy w systemie operacyjnym, np. ograniczona liczba deskryptorów plików dla jednego procesu, ograniczona liczba procesów na maszynie firewall, ograniczone możliwości synchronizacji stanu procesów w klastrowych rozwiązaniach zaporowych.

Większość obecnych na rynku rozwiązań ma charakter hybrydowy - integruje filtrację pakietów w trybie statefull inspection, application gateway oraz funkcje IDS. Ponadto większość systemów zaporowych jest już standardowo wyposażana w moduły kryptograficznej ochrony transmisji umożliwiające tworzenie sieci VPN. Odpowiednie zabezpieczenia są aktywowane w zależności od potrzeb, aby zapewnić wymagany poziom ochrony bez niepotrzebnego obciążania wydajności.

Producenci rozwiązań zaporowych implementują w nich coraz to nowsze techniki programowego i sprzętowego przyspieszania pracy zabezpieczeń. Przyspieszenie programowe polega na wykonywaniu podstawowych algorytmów kontroli ruchu sieciowego na poziomie jądra systemu operacyjnego. Podejście sprzętowe opiera się na implementacji algorytmów zabezpieczeń w specjalizowanych układach scalonych ASIC (Application-Specific Integrated Circuit). Dzięki obu tym zabiegom w obecnych warunkach możliwe jest uzyskanie przepływności systemów zaporowych nawet rzędu 12 Gb/s. Ta wygoda ma oczywiście ponadprzeciętną cenę - z reguły na poziomie ok. 100 tys. USD i więcej. Żaden producent nie jest w stanie dostarczyć wszystkich rodzajów zabezpieczeń, toteż zawierają porozumienia, łącząc komplementarne względem siebie produkty w kompleksowe rozwiązania. Przykładem może być Check Point OPSEC, Cisco AVVID Partner Program czy NetScreen Global Security Alliance. Przejrzenie listy firm współpracujących w ramach poszczególnych programów może być bardzo pomocne w tworzeniu koncepcji bezpieczeństwa dla istniejących sieci oraz przy wyborze konkretnych rozwiązań na potrzeby nowych instalacji.