IPS 例外与白名单是什么
例外是给确认无害的流量开的一个口子：按规则、按源目的地址或按业务端口，把特定组合从检测或阻断中排除，避免持续误报干扰值守与日志分析。例外本质上是留白，属于放行动作，必须走确认与审批流程。设计良好的例外有两个特征：粒度尽量窄（能限定到具体地址与端口就不放整个网段），且带复核日期，避免临时例外悄悄变成永久放行。
基本信息
| 例外维度 | 按规则、按源或目的地址、按业务端口、按方向 |
|---|---|
| 处理流程 | 误报确证 → 记录原因 → 设置最小粒度例外 → 到期复核 |
| 审批要求 | 属于放行动作，需业务与安全双方确认 |
| 记录字段 | 规则标识、来源、目的、原因、设置人、复核日期 |
| 替代手段 | 优先修正应用行为或调整检测动作，其次才考虑例外 |
典型使用场景
- 自研接口报文特征与某条规则相似，反复触发误报
- 内部扫描器与漏洞管理平台的正常扫描被当作攻击告警
- 备份或同步工具的大流量上传触发异常行为类规则
- 特定业务网段需要在维护窗口临时放宽检测，窗口结束即恢复
- 特定管理平台的健康检查请求被误判为扫描
- 加密流量检测场景中，非标端口业务需要按端口做例外
例外记录示例
例外记录示例
# 规则标识：某漏洞利用类规则
# 来源：192.168.30.0/26（内部接口测试网段）
# 目的：业务系统 A 的 8443 端口
# 原因：自研接口的请求体特征与规则匹配，业务确认无害
# 设置人：张三 审批人：李四 复核日期：2026-12-01
# 复核动作：到期确认业务行为是否已修正，能取消则取消例外粒度对照
| 粒度 | 示例 | 风险 |
|---|---|---|
| 最窄 | 单条规则 + 单一源地址 + 单一端口 | 风险最低，维护量略高 |
| 中等 | 单条规则 + 一个业务网段 | 网段内其他异常流量一并被放行 |
| 最宽 | 整个类别对全部来源放行 | 等价于关闭该类检测，不建议使用 |
设置例外前先判断能不能从另一侧解决：修正应用报文特征、调整检测动作等级，往往比在检测设备上开口子更干净。
例外按网段设置过宽时，该网段内的其他异常流量也会被一并放行，形成检测盲区。