检测能力随策略生效
在安全设备上，IPS 检测不是全局开关，而是绑定在安全策略上：只有命中该策略的流量才会被送去做检测。理解这一点很关键，否则会出现「明明开了检测却没有告警」的情况——流量根本没走到那条策略上。绑定前要先梳理哪些流量需要检测，再按风险分级设定检测强度。
基本信息
| 适用平台 | 华为 USG 的安全策略与内容安全联动、深信服 AF 的策略绑定 |
|---|---|
| 生效条件 | 流量命中安全策略，且该策略绑定了 IPS 配置文件 |
| 范围划分 | 按区域对与业务重要程度区分检测强度 |
| 验证方式 | 用厂商提供的测试用例或已知样本确认检测与日志都正常 |
典型使用场景
- 互联网进入 DMZ：对外发布区域是重点检测方向，通常配置高强度并拦截
- 互联网进入内网：风险最高方向，检测应以阻断为主
- 内网访问互联网：以告警与重点类别阻断为主，降低误拦影响
- 内网互访：按关键系统选择性检测，兼顾横向移动发现与性能开销
- 新增业务上线：新策略绑定检测前先确认流量画像，避免上线即误拦
检测范围梳理清单
检测范围梳理清单
互联网 → DMZ 高强度检测（命中即阻断）
互联网 → 内网 高强度检测（命中即阻断）
内网 → 互联网 中强度（告警为主，重点类别阻断）
内网互访 按关键系统选择性检测
# 每类流量标注：谁负责研判、告警送到哪里、误报如何处理绑定检查项
| 检查项 | 期望结果 | 异常表现 |
|---|---|---|
| 策略命中 | 流量确实走该策略 | 开了检测却完全没有告警 |
| 配置文件引用 | 策略已绑定正确配置 | 检测强度与预期不符 |
| 日志输出 | 告警送达平台 | 有检测无记录 |
| 性能余量 | 高峰转发无丢包 | 高峰时检测失效 |
全流量都开高强度检测会同时带来性能压力与误报成本，按风险分级是更可持续的做法，尤其在内网互访这类大流量方向上。