自定义规则的价值与代价
厂商特征库覆盖的是通用攻击，而企业内部特有协议的滥用、内部接口被异常调用、特定格式数据外发，厂商并不认识。自定义特征规则让设备按自定义匹配条件识别这类行为。代价是维护责任转移给自己：规则要有人写、有人测、有人评审、有人退役，否则它会变成新的误报来源和新的性能负担。
基本信息
| 适用场景 | 内部系统特征、特殊业务协议、监管合规要求 |
|---|---|
| 规则要素 | 匹配字段与位置、方向、阈值、动作 |
| 动作选择 | 告警或阻断，建议先以告警观察 |
| 上线流程 | 测试验证误报后灰度告警，稳定再考虑阻断 |
| 维护要求 | 纳入版本管理与定期评审，标注作者与范围 |
| 迁移要求 | 纳入配置备份与设备更换的迁移清单 |
典型使用场景
- 检测内部特有协议被越权使用或异常调用
- 按监管要求检测特定格式的数据外发行为
- 覆盖厂商库未包含的内部系统高危接口访问
- 在特定业务端口上识别异常载荷模式
- 事故复盘后把已发生的行为固化为检测规则
编写流程
编写流程
1. 明确要检测的行为与特征串 # 匹配条件
2. 测试环境验证误报率与漏报情况 # 验证
3. 灰度上线为告警模式，观察命中真实性 # 灰度
4. 观察稳定后按需升级为阻断并走变更 # 收紧
5. 标注作者、生效范围与评审时间 # 可维护
6. 纳入配置备份与设备迁移清单 # 防丢失自定义规则的风险控制
| 风险 | 控制手段 |
|---|---|
| 误报多 | 先在测试环境与告警模式验证，特征串尽量精确 |
| 漏报 | 定期用真实场景样本回归验证 |
| 无人维护 | 标注作者与评审周期，纳入规则清单 |
| 设备更换丢失 | 纳入配置备份与迁移清单 |
| 性能开销 | 控制规则数量与匹配范围，评估设备负载 |
自定义规则也要标注作者与生效范围，否则它会变成没人敢删、也没人维护的规则。
特征串过于宽泛会引发大量误报甚至影响业务：必须先在测试环境用真实流量验证，再决定是否启用阻断。