先观察再拦截
检测模式是 IPS 上线过程中最容易出事的一步：直接开拦截，可能因为业务特征被误判造成大面积访问失败；长期停在观察模式，又等于只有日志没有防护。标准做法是先用观察模式跑满业务周期，把命中的规则逐条研判清楚，再分批切换拦截，切换后安排值守观察。
基本信息
| 适用平台 | 华为 USG 的 IPS 防护、深信服 IPS、开源检测引擎 |
|---|---|
| 观察模式 | 命中规则只记录告警，不改动流量 |
| 拦截模式 | 按规则动作处置流量（丢弃、重置等） |
| 切换标准 | 观察期覆盖业务高峰、告警已研判、例外已评审、业务方确认 |
典型使用场景
- 新设备上线：对现网流量完全不了解时，先观察再决定拦截范围
- 规则集升级：新规则可能命中历史业务流量，升级后先观察
- 业务改版：接口与参数结构变化可能引发新的误报，改版前后各观察一段
- 分批开启：先对低风险规则开拦截，高误报规则继续观察
- 合规交付：把观察期数据与切换记录作为安全能力交付的证明材料
切换检查
切换检查
1. 观察期不少于两周，且覆盖业务高峰与月末批处理等特殊时段
2. 告警量 TOP 的规则逐条研判，明确是攻击还是业务特征
3. 例外列表经过评审，注明原因与复核时间
4. 选择低峰窗口切换，切换后 24 小时加强值守
5. 切换动作按变更流程审批与记录，保留回退开关两种模式对比
| 维度 | 观察模式 | 拦截模式 |
|---|---|---|
| 流量影响 | 无，只记录 | 按动作处置 |
| 误报代价 | 仅日志噪声 | 直接中断业务 |
| 适用阶段 | 上线初期与规则调整后 | 基线清晰、例外评审完成 |
| 运维重点 | 统计与研判 | 值守与快速回退 |
检测模式切换属于策略行为变更，按变更流程审批；把回退方式提前准备好，比事后解释为什么业务中断更容易被接受。