特征分类与启用策略是什么
IPS 特征库不是一堆平铺的规则，而是按类别组织：漏洞利用、恶意软件、扫描探测、协议异常、可疑行为等。设备通常允许按类别启用、设置动作（告警或阻断）。分类的意义在于平衡两件事——检测覆盖面与性能开销，同时给误报治理留出粒度：某个类别误报多，可以把该类别保持告警，只对确证高风险的类别开启阻断。
基本信息
| 常见类别 | 漏洞攻击、恶意软件、扫描探测、协议异常、可疑行为 |
|---|---|
| 动作类型 | 告警（记录）、阻断（丢弃）、复位连接 |
| 启用原则 | 先全类别告警运行，再对重点类别开阻断 |
| 性能关系 | 启用类别与规则越多，CPU 与会话处理开销越高 |
| 厂商差异 | 类别的划分口径与命名随厂商与版本变化，以设备实际为准 |
典型使用场景
- 新设备上线：全类别以告警模式运行一段时间，摸清本网真实告警画像
- 对外发布服务前置防护：针对 Web 漏洞利用类特征开启阻断
- 内网横向移动关注：启用扫描探测与可疑行为类，先告警观察
- 误报治理：某类告警持续误报，先下调该类别动作而不是关闭全部检测
- 性能受限场景：在资源紧张时优先保证高风险类别启用，低频类别降级为告警
- 应急期间：临时收紧某类特征的动作为阻断，事件结束后按变更流程恢复
启用思路
启用思路
# 1. 初始阶段全部类别以告警模式运行，至少覆盖一个业务周期
# 2. 统计各类别告警量、来源分布与误报比例
# 3. 对确证无害且风险高的类别（如已知漏洞利用）开启阻断
# 4. 高误报类别保持告警，用例外与白名单收敛误报
# 5. 每次调整记录：类别、动作、时间、原因、观察结果
# 6. 定期回看阻断类别的命中情况，确认未影响业务类别与建议动作
| 类别 | 风险特征 | 建议动作 |
|---|---|---|
| 漏洞利用 | 针对已知 CVE 的攻击尝试 | 观察无业务影响后开阻断 |
| 恶意软件 | 木马通信、下载行为 | 阻断并按主机侧排查联动 |
| 扫描探测 | 端口扫描、漏洞扫描 | 先告警，确认内网扫描器来源后收敛 |
| 协议异常 | 畸形报文、非标准交互 | 告警为主，避免误伤自研协议 |
| 可疑行为 | 异常外连、隧道特征 | 告警并纳入人工研判 |
一次性把全部类别切成阻断，等于把特征库里的所有误报风险一次性投放到生产，出现大面积业务异常时也很难判断是哪一条规则引起的。
类别开关与例外列表要一起管理：只调整类别动作而不更新例外，原先被例外压住的误报会重新出现。