Brandväggen granskar all trafik som kommer in eller går ut från nätverket enligt förutbestämda regler, som definieras av systemägaren, för att kunna avgöra om trafiken är tillåten eller inte. Eftersom data är olika känslig är det vanligt att man delar upp nät i olika säkerhetszoner. Ett sätt är att dela nätet innanför brandväggen i DMZ och internt nät.