入侵防范不符合是什么
入侵防范条款要求系统在关键网络节点处检测、防止或限制从外部和内部发起的网络攻击行为；三级系统还要求能发现新型攻击行为、记录攻击源 IP 等要素，并在发生严重入侵事件时提供报警。测评中的典型不符合有两类：一是边界与主机都没有检测能力，二是设备买了、策略没开或规则库长期不更新、告警没人处置，条款在实际防护上落空。
基本信息
| 条款依据 | GB/T 22239-2019 入侵防范（通信网络 / 计算环境） |
|---|---|
| 边界要求 | 关键网络节点检测并阻断外部、内部攻击 |
| 主机要求 | 最小安装，关闭非必需的系统服务与端口 |
| 三级加项 | 检测新型攻击、记录攻击源，严重事件报警 |
| 常见失分 | 设备部署后规则库不更新、告警无处置记录 |
典型使用场景
- 测评前自查：先看规则库版本与告警台账，再看设备是否在线
- 互联网边界防护：IPS/WAF 覆盖 Web 入口与公共出口
- 内网横向移动检测：东西向流量监测与主机层 HIDS/EDR
- 勒索软件、挖矿事件后的检测能力补强
- 三级安全管理中心的告警联动与集中分析
整改动作清单
整改动作清单
# 边界：IPS/IDS 覆盖互联网出口与关键业务路径
# 规则库：开启自动更新，留存当前版本与更新时间
# 主机：最小安装、关闭非必需端口与服务
# 运营：告警分级处置流程，处置过程出工单
# 证据：规则库版本截图、告警日志、处置记录检测能力与运营要求
| 位置 | 措施示例 | 可核查证据 |
|---|---|---|
| 网络边界 | IPS/IDS 覆盖关键路径 | 规则库版本可查、告警有处置记录 |
| 服务器主机 | HIDS/EDR 监测异常进程与登录 | 安装覆盖率清单、告警台账 |
| 应用入口 | WAF 防护 Web 入口 | 拦截日志与策略变更记录 |
| 日志告警 | 集中收集并按级别派单 | 告警工单闭环记录 |
联动模式设为观察（只记录不阻断）时，认定阻断能力需要给出依据与补偿措施，不能默认按阻断计。
新型攻击检测常依赖威胁情报联动或沙箱行为分析，具体是否具备以设备规格与已购许可为准，谈整改前先确认型号与授权。