特征库离线升级是什么
离线升级是针对不允许设备直接访问互联网的场景设计的：在能上网的机器上下载升级包，校验后带入内网，导入设备生效。金融、能源等隔离网络的 IPS、WAF、反病毒特征库更新基本都靠这种方式。它比在线升级多出两个必须做好的环节——包与设备的匹配（型号、大版本不对会导入失败）和来源可信（跳过哈希校验就无法确认包没被篡改）。
基本信息
| 流程 | 下载升级包 → 校验哈希 → 导入设备 → 确认版本生效 |
|---|---|
| 匹配要求 | 升级包需与设备型号、软件大版本对应 |
| 校验方式 | 核对文件哈希或签名与厂商公布值一致 |
| 适用环境 | 内网隔离、涉密网络、不允许设备出网的场景 |
| 记录留档 | 升级时间、包名与版本、执行人、结果一并归档 |
典型使用场景
- 隔离网络设备遇到紧急漏洞披露，需要尽快导入检测特征
- 在线升级服务不可达：确认设备出网受限后改用离线方式
- 设备批量升级：多台同型号设备用同一个包依次导入
- 版本回退：升级包引入误报时，用上一个版本的包恢复
- 审计要求：需要说明升级包的来源与流转过程
- 升级失败排查：确认包与设备版本是否匹配
离线升级步骤
离线升级步骤
# 1. 在厂商支持站点下载与设备型号、版本匹配的升级包
# 2. 记录包名与版本，核对哈希或签名与公布值一致
# 3. 通过管理终端在设备上升级界面导入升级包
# 4. 等待升级完成，查看版本号与发布日期是否更新
# 5. 抽测一条已知特征或构造测试流量，确认检测生效
# 6. 双机环境在第二台重复操作，并核对两台版本一致失败原因对照
| 现象 | 可能原因 | 处理方向 |
|---|---|---|
| 导入直接失败 | 包与型号或大版本不匹配 | 换取对应版本的升级包 |
| 导入成功但版本未变 | 升级未真正生效或未重载 | 重新导入并查看版本与日志 |
| 升级后告警激增 | 新规则引入误报 | 评估误报并必要时回退 |
| 双机版本不一致 | 只升级了一台 | 另一台同步升级并核对版本 |
隔离网络里升级包的流转过程本身要有记录：从哪台机器下载、谁带入内网、经过哪些环节，才能证明包没有被替换过。
跳过哈希校验的升级包存在被篡改风险，而特征库升级包内容会被设备直接加载，是值得重点关注的一环。