| 去重维度 | 源 IP + 规则 + 目的 在时间窗内合并 |
|---|---|
| 位置 | 设备侧抑制或平台侧聚合，二选一避免互相干扰 |
| 保留 | 合并后仍保留计数与首末次时间 |
聚合示例
聚合示例
规则 1055 命中：
源 203.0.113.5 → 72 次（10:00-10:30）
处置：研判为扫描行为，已联动封禁去重目标是让处置聚焦，而不是让告警消失：聚合计数是研判的重要依据。
IPS 告警去重与聚合
同一威胁源反复触发会产生重复告警：在检测设备或日志平台侧做聚合（同源同规则合并计数），降低处置负担。
易错点
- 两侧都做去重，计数对不上引发误判
- 聚合把不同源的攻击混在一起，错失真实事件
数据来源与参考
- 通用日志与告警治理实践