| 典型参数 | 触发次数、时间窗口、统计阈值 |
|---|---|
| 基线方法 | 统计正常业务在新规则下的触发情况 |
| 调整记录 | 参数变更与原因留档 |
调整示例
调整示例
扫描探测类规则：阈值适当放宽（避免正常扫描器与企业自检误报）
暴力破解类规则：阈值偏低更敏感，但需排除堡垒机与自动化脚本
默认参数：上线初期保持默认，收集数据后再调阈值调整不是一次性工作，业务变化后需要重新校准。
规则灵敏度与阈值
部分规则带触发阈值或灵敏度参数；阈值过低易误报，过高会漏报，需要按业务流量基线调整。
易错点
- 为消除误报把阈值调得过于宽松，检测能力随之下降
- 调整未记录时，下一个接手的人无法理解参数来源
数据来源与参考
- NIST SP 800-94（阈值与灵敏度）
- 深信服 AF 产品手册：规则参数