为什么需要固定窗口
特征库升级是高频变更：厂商可能每天都在发布新特征，而新特征天然带有误报风险。把升级放进固定的变更窗口，配合升级后的观察期与回退预案，才能既保持检测能力及时跟上，又不让业务在毫无准备的情况下承受误拦。中大型部署还可以分批升级，先在非核心区域验证，再推到核心链路。
基本信息
| 升级频率 | 跟随厂商发布节奏，叠加自身变更窗口，避免工作日高峰执行 |
|---|---|
| 升级方式 | 在线自动更新（需通外网）或离线包导入（内网隔离环境） |
| 执行范围 | 双机环境先升备用再升主用，避免双机特征库版本不一致 |
| 观察期 | 升级后 24 至 48 小时重点跟踪误报、性能与业务连通性 |
| 回退前提 | 保留上一版本特征库文件，明确导入路径与验证方法 |
典型使用场景
- 日常例行升级：按周或按厂商发布节奏，在低峰窗口批量执行
- 紧急漏洞响应：出现高危在野利用漏洞时临时加急升级，需额外审批并通知业务方
- 内网隔离环境：通过离线包方式导入，先校验文件完整性再上传设备
- 升级后出现大面积误报：按预案回退到上一版本，先恢复业务再分析原因
- 双机环境：两台设备特征库版本需保持一致，否则切换后检测能力出现落差
- 升级前需确认设备授权在有效期内，授权过期会导致特征库无法更新
窗口执行清单
窗口执行清单
1. 确认变更窗口与审批已完成，业务方已知情
2. 记录升级前特征库版本号与日期（留档作为回退比对依据）
3. 备份当前配置与上一版本特征库文件
4. 先升级备用设备，观察 10-30 分钟无异常后再升主用
5. 升级后抽查关键业务连通（登录、支付、接口调用）
6. 24 小时内跟踪误报与 CPU 变化，异常则执行回退升级前后核对项
| 核对项 | 升级前 | 升级后 |
|---|---|---|
| 特征库版本 | 记录当前版本号与发布日期 | 确认版本号已变化且与预期一致 |
| 配置完整性 | 导出并留存配置备份 | 核对策略、例外、白名单未被重置 |
| 业务连通 | 记录关键业务当前时延 | 抽测关键业务，时延无异常放大 |
| 告警质量 | 记录近 24 小时告警量基线 | 对比告警量，突增优先怀疑新特征误报 |
| 双机状态 | 确认主备同步正常 | 确认两台特征库版本一致、同步正常 |
升级后无人观察，是误报影响业务的常见原因。观察期与升级动作同等重要：至少要有人看告警量与 CPU 曲线，出现大面积误拦时能立刻回退。
双机环境两台设备特征库版本不一致时，切换会导致检测能力跳变，排查起来非常费时。升级时逐台确认版本号，别只依赖同步日志里的「成功」字样。