| 告警 | 记录日志，不影响流量，适合观察期 |
|---|---|
| 阻断 | 丢弃命中报文，阻止攻击完成 |
| 重置 | 主动断开 TCP 会话，对业务影响最大 |
动作选择建议
动作选择建议
扫描探测类 → 告警（避免误伤扫描器与企业自检）
确证漏洞利用类 → 阻断
持久化后门通信类 → 阻断 + 重置
业务敏感区域 → 先告警观察再升级动作重置动作在负载均衡或长连接场景可能引发连锁重连，评估后再启用。
IPS 动作：告警、阻断与重置
不同动作给出的处置强度不同；告警仅记录、阻断丢包、重置会中断会话，需按风险级别匹配动作。
易错点
- 对合法业务链路上启用重置可能造成用户端反复掉线
- 不同厂商对阻断的粒度不同（单包/会话），测试确认实际效果
数据来源与参考
- NIST SP 800-94（响应动作）
- 深信服 AF 产品手册：IPS 动作设置