两台版本不同，结果就不同
双机环境里，主备两台设备的特征库版本必须保持一致。版本不同意味着检测能力不同：切换发生时，原本被拦截的攻击可能被放过，或者原本正常的流量被新特征误拦。这类问题在故障排查中特别费时，因为表现出「同一件事两台设备结果不一样」。核对方式很直接——分别查看两台的特征库版本号与发布日期并记录，升级后必查，日常月度核对一次。
基本信息
| 核对内容 | 主备两台设备的特征库版本号与发布日期 |
|---|---|
| 核对频率 | 每次特征库升级后必查，日常每月例行核对一次 |
| 差异处置 | 尽快把落后的设备补齐升级，记录差异期间的暴露风险 |
| 记录要求 | 版本号与升级时间写入特征库台账，供事件复盘引用 |
| 相关核对 | 软件版本一致性、授权有效期一致性同样需要一并确认 |
典型使用场景
- 特征库升级完成后：确认两台设备都已生效，未出现只升一台的情况
- 月度例行检查：与软件版本、授权状态一并核对形成检查记录
- 主备切换后：确认切换前后的检测能力一致，避免规则版本落差
- 事件复盘：确认告警产生时对应的是哪一版特征库
- 升级失败排查：一台升级成功另一台失败时，定位失败原因并补齐
- 更换设备或扩容后：新设备加入双机前先对齐特征库版本
核对步骤
核对步骤
1. 分别登录两台设备，查看特征库版本号与发布日期 # 不要只信同步日志
2. 记录两台版本与时间差，写入台账
3. 若存在差异：评估差异期间的暴露风险并安排补升级
4. 补升级后再次核对，确认两台版本号完全一致
5. 同步核对软件版本与授权有效期，避免只关注特征库
6. 更新台账并把本次核对结果纳入月度检查记录核对项读法
| 核对项 | 含义 | 不一致的后果 |
|---|---|---|
| 特征库版本号 | 检测特征集合的版本标识 | 切换后检测能力变化，告警结果无法对比 |
| 发布日期 | 该版本特征的发布时间 | 时间差越大，检测能力的缺口越明显 |
| 升级结果 | 升级是否在两台设备上均成功生效 | 只成功一台时形成静默的版本落差 |
| 软件版本 | 设备系统软件版本 | 版本不一致可能影响双机同步与切换行为 |
| 授权状态 | 授权有效期与许可范围 | 授权异常会导致特征库无法继续更新 |
特征库版本号是事件复盘中的关键信息：确认告警产生时间点对应哪一版规则，才能解释「为什么当时没检出」。台账里保留版本与时间对照表，复盘时省下大量追溯工作。