| 观察模式 | 只记录告警，业务无感知 |
|---|---|
| 拦截模式 | 按动作处置流量 |
| 切换标准 | 观察期告警结构化明确、误报已处置、业务方确认 |
切换检查
切换检查
1. 观察期不少于两周且覆盖业务高峰
2. 告警 TOP 规则已逐条研判
3. 例外列表已评审
4. 切换后 24 小时加强值守切换动作属于策略行为变更，按变更流程审批与记录。
检测模式：观察与拦截切换
新上线或规则调整后先用观察模式积累基线，再逐步切换到拦截，是控制误报风险的标准做法。
易错点
- 观察期过短会漏掉低频但关键的业务行为
- 切换后没有值守安排，误拦可能在数小时后才被发现
数据来源与参考
- NIST SP 800-94（运行模式）
- 华为 USG6000 产品文档：检测模式