IPS 动作是什么
IPS 检测到命中特征后可以执行不同强度的处置：告警只记录日志，阻断丢弃命中报文，重置则主动断开 TCP 会话。动作强度与影响面对应：告警没有业务风险但需要人工跟进，重置最彻底却可能引发连锁重连。合理做法是按风险等级与业务重要性匹配动作：确证的漏洞利用与后门通信可以阻断甚至重置，扫描探测与业务敏感链路先告警观察。
基本信息
| 告警 | 记录日志，不影响流量，适合观察期与低风险事件 |
|---|---|
| 阻断 | 丢弃命中报文，阻止攻击完成，对连接有影响 |
| 重置 | 主动断开 TCP 会话，对业务影响最大，慎用于合法链路 |
| 粒度差异 | 不同厂商的阻断粒度不同（单包或整条会话），需实测确认效果 |
| 验证方式 | 在测试环境验证动作效果，观察期统计误报再决定升级 |
典型使用场景
- 上线观察期：规则动作先设为告警，统计误报后再升级
- 漏洞利用拦截：对高危利用类特征启用阻断
- 后门与外联处置：对已确认的恶意通信启用阻断并重置
- 业务敏感链路：先告警观察，避免误伤交互类业务
- 演练与验证：用模拟流量确认阻断与重置的实际效果
动作选择建议
动作选择建议
扫描探测类 → 告警（避免误伤扫描器与企业自检）
确证漏洞利用类 → 阻断
持久化后门通信类 → 阻断并考虑重置
业务敏感区域 → 先告警观察再评估升级
# 动作调整属于变更，需记录调整依据与影响范围动作对照
| 动作 | 影响 | 适用情形 |
|---|---|---|
| 告警 | 无，仅记录日志 | 观察期、低风险、来源不明 |
| 阻断 | 丢弃命中报文 | 确证利用、恶意通信 |
| 重置 | 断开会话，可能连锁重连 | 后门通信、必须立即止损 |
| 仅记录响应 | 不处置但保留证据 | 取证与溯源场景 |
| 来源封禁 | 结合黑名单处置 | 重复攻击来源 |
重置动作在负载均衡或长连接场景可能引发连锁重连：评估业务影响并先在测试环境验证，再决定是否在生产环境启用。