华为 USG 的 IPS 配置框架是什么
华为 USG 系列把 IPS 配置拆成三层：先让特征库保持最新，再建一个 IPS 配置文件（profile）集中定义检测范围与动作，最后在安全策略中按源/目的区域引用该配置文件。这种设计的实用之处在于配置文件可复用——多个安全策略引用同一个 profile，调整动作时只需改一处。要记住配置是「引用生效」，改动策略后如果漏了绑定步骤，检测会静默失效。
基本信息
| 配置顺序 | 特征库更新 → 建 IPS 配置文件 → 安全策略绑定 → 日志外发 |
|---|---|
| 配置文件视图 | profile type ips，具体类别与动作子命令随版本不同 |
| 策略绑定 | 在 security-policy 规则中引用 profile |
| 验证方式 | 触发测试流量，确认威胁日志产生并到达日志平台 |
| 授权依赖 | IPS 属于内容安全功能，需有效 License |
典型使用场景
- DMZ 区服务器对外提供服务的入口检测
- 内网到内网的横向移动检测，关注探测与漏洞利用类特征
- 互联网出口对下载类流量的恶意软件检测
- 按区域差异化策略：对外服务区用严格配置，办公区用宽松配置
- 测试与生产共用设备时，用不同 profile 区分检测强度
- 升级版本后复核 IPS 配置与绑定关系是否被完整保留
配置框架示意
配置框架示意
system-view
# 1. 确认特征库已升级到较新版本（在线或离线导入）
profile type ips name ips-dmz
# 进入后按 ? 提示选择特征类别、规则集与动作（告警或阻断）
# 建议初期统一使用告警动作，观察误报后再改阻断
quit
# 2. 在安全策略中引用配置文件
security-policy
rule name dmz-in
source-zone untrust
destination-zone dmz
profile ips ips-dmz
action permit
quit
quit
# 3. 检查配置：display profile type ips 相关命令，随版本提示为准配置环节核对
| 环节 | 核对内容 | 失效表现 |
|---|---|---|
| 特征库 | 版本号与发布日期是否为当前 | 新特征无法检测，老特征仍在 |
| 配置文件 | 类别与动作设置符合预期 | 检测范围与设计不一致 |
| 策略绑定 | 目标策略确实引用了该 profile | 完全没有告警产生 |
| 日志外发 | 威胁日志到达平台且时间连续 | 设备侧有记录但平台看不到 |
| 授权 | License 在有效期内 | IPS 功能不可用或无法升级 |
上线初期先用告警动作，观察一个完整业务周期确认误报可控后，再切换阻断，避免大范围误拦。
华为不同版本的 IPS 配置路径与命令差异明显，跨版本升级后要复核配置文件与策略绑定是否被保留，以设备实际命令提示为准。