| 适用 | 老旧系统、不能停机维护的业务 |
|---|---|
| 本质 | 缓解措施而非根治，漏洞依然存在 |
| 要求 | 修复计划必须并行推进，不可长期依赖 |
实施要点
实施要点
1. 确认虚拟补丁覆盖的具体漏洞编号与利用方式
2. 以阻断动作上线并验证业务正常
3. 同步推进系统补丁或升级计划
4. 补丁完成后评估下线虚拟规则虚拟补丁覆盖的流量特征有限，绕过方式出现后期防护会失效。
本包目录（400 条）
防火墙策略52 条NAT 与发布75 条
IPS 与 IDS66 条
- IDS 与 IPS 的区别
- IPS 特征库基础
- IPS 串联部署要点
- IPS 动作：告警、阻断与重置
- IPS 配置文件（profile）
- IPS 旁路部署（IDS 模式）
- 告警研判流程
- 暴力破解检测
- Bypass 机制与失效策略
- IPS 误报处理流程
- 检测模式：观察与拦截切换
- 僵尸网络与回连检测
- 特征库在线升级
- 安全策略绑定 IPS 检测
- 特征分类与启用策略
- IPS 例外与白名单
- IPS 性能与容量评估
- WebShell 通信检测
- IPS 与 WAF 的分工
- 华为 USG 的 IPS 配置框架
- 特征库离线升级
- 告警日志字段与内容
- 威胁情报联动
- 从告警到处置的闭环
- 特征库版本核对
- 流重组与会话还原
- 挖矿与异常外连检测
- 加密流量检测与解密合规
- 检测性能瓶颈排查
- 深信服 AF 的 IPS 配置
- 检测设备部署位置选择
- 规则灵敏度与阈值
- 硬件 Bypass 与双机组合
- 分片报文与入侵检测
- IPS 对接 SIEM
- DNS 隧道检测
- 虚拟补丁防护
- IPS 规则调优循环
- 双机场景 IPS 配置同步
- IPS 与防火墙策略的分工
- 东西向流量检测
- 防护有效性验证方法
- 自定义特征规则
- IP 信誉库使用
- 文件信誉检测
- 分区域灰度上线 IPS
- 告警取证与报文留存
- H3C 安全设备的入侵检测配置
- 特征库升级风险控制
- 威胁日志留存要求
- 威胁日志周审
- 编码与混淆的检测视角
- 沙箱联动检测
- 不解密场景的检测能力
- IPS 例行维护项
- 威胁事件分级处置
- IPS 报表与趋势分析
- TAP 与镜像口选择
- 授权与续期管理
- IPS 例行巡检清单
- IPS 告警去重与聚合
- IPS 性能基线建立
- 特征库升级窗口安排
- 威胁态势概览与值守
- 特征库回退操作
- 特征库版本差异核对
虚拟补丁防护
对暂无法打补丁的系统，用 IPS 规则阻断对应漏洞利用路径，为修复争取时间窗口。
易错点
- 把虚拟补丁当成永久方案，系统漏洞长期不修
- 虚拟补丁规则未覆盖全部利用变体时仍有可乘之机
数据来源与参考
- NIST SP 800-40（补丁管理与缓解措施）
- CVE 公开漏洞信息（引用公开发布的技术说明）