双机特征库为什么要对齐
入侵防御、WAF、反病毒等防护依赖特征库（规则库）识别威胁，双机热备时两台设备各自持有本地特征库。只升级一台会形成版本落差：切换瞬间规则版本突变，误报与漏报同时波动，某些流量可能从「已拦截」变成「放行」。特征库升级因此要与软件升级一样纳入变更管理，有顺序、有观察、有记录。
基本信息
| 一致性要求 | 两台特征库版本一致，升级时间尽量贴近 |
|---|---|
| 推荐顺序 | 先升备机观察，再升主机（或按风险取舍） |
| 观察窗口 | 升级后 24 小时关注误报、命中量与告警总量 |
| 同步机制 | 部分平台规则库随双机同步下发，需确认本环境行为 |
| 记录项 | 版本号、升级时间、执行人、异常反馈 |
| 失败处理 | 保留上一版本，避免规则库不完整导致功能异常 |
典型使用场景
- 每月或每季度的例行特征库升级窗口
- 紧急漏洞披露后，厂商发布高危规则时的快速升级
- 新增业务出现误报，需要评估规则版本带来的影响
- 双机演练或割接前确认两台规则版本一致
- 审计核查：证明防护规则处于有效且受支持的版本
升级流程
升级流程
1. 备机升级特征库并观察告警与误报变化 # 先动备机
2. 观察无异常后切换业务，或直接升级主机 # 灰度控制
3. 主机升级完成后核对两台版本号一致 # 一致性
4. 记录版本号、升级时间与执行人到台账 # 留痕
5. 24 小时内持续关注误报与业务侧反馈 # 观察升级风险与应对
| 风险 | 表现 | 应对 |
|---|---|---|
| 新规则误报 | 正常业务被拦截或告警激增 | 先观察模式，确认后再切拦截 |
| 只升一台 | 切换后规则版本突变 | 两台版本对齐后才算完成 |
| 升级中断 | 规则库不完整或功能异常 | 保留旧版本以便回退 |
| 引擎版本不匹配 | 新规则库无法加载 | 按厂商配套关系先升引擎 |
升级前先看厂商说明里的配套关系：部分规则库要求特定的引擎或系统版本，跨版本强升会加载失败。
同一个窗口内不要既升特征库又改策略配置，出异常时分不清是规则库还是配置导致。