特征库升级流程是什么
IPS、WAF、反病毒等能力依赖特征库识别威胁，特征库的新旧直接决定设备能不能发现新出现的攻击。升级方式分在线与离线：在线由设备直连厂商服务器按计划任务更新，离线则下载升级包后本地导入，适合内网或不允许出网的环境。升级不是下载完就结束——升级后要核对版本号与发布日期，观察一段时间内误报变化，双机环境两台都要完成。
基本信息
| 在线升级 | 设备直连厂商升级服务器，按计划任务定期执行 |
|---|---|
| 离线升级 | 下载升级包后本地导入，适用于内网与隔离环境 |
| 升级对象 | IPS 特征库、WAF 规则库、反病毒库、应用识别库 |
| 核对内容 | 升级后查看版本号与发布日期，确认与预期一致 |
| 影响观察 | 升级后关注新增规则命中量与是否有新误报 |
典型使用场景
- 重大漏洞披露后紧急更新特征库，尽快获得检测能力
- 内网隔离环境：定期从外部下载升级包并带入内网导入
- 双机环境：一台完成升级后同步到另一台，保持版本一致
- 例行维护：按固定节奏升级并在周检中查看版本新鲜度
- 升级后业务投诉：判断是新规则误报还是其他原因
- 回退场景：升级引入严重误报时，回退到上一版本特征库
升级与观察
升级与观察
# 1. 升级前记录当前特征库版本与发布日期
# 2. 执行升级：在线任务或离线导入升级包
# 3. 核对新版本号与发布日期是否与公告一致
# 4. 观察 24 小时告警变化，逐条处理新增误报
# 5. 双机环境在第二台重复同样操作并核对版本一致
# 6. 把版本、时间、结果写入维护记录，作为验收凭据方式对照
| 方式 | 适用环境 | 注意事项 |
|---|---|---|
| 在线升级 | 设备可访问厂商升级服务器 | 需放行相应地址与端口，注意升级任务时间 |
| 离线升级 | 内网隔离或不允许出网 | 升级包来源可信，导入前后核对版本 |
| 双机升级 | 主备部署环境 | 两台都要升级，避免切换后能力不一致 |
| 回退 | 新版本引入误报时 | 保留上一版本升级包以便快速回退 |
特征库升级频率高，建议固定节奏并把版本新鲜度纳入周巡检查项，避免长时间停留在旧版本却无人察觉。
升级后立即离开不观察，新版本引入的误报会被当成业务故障排查，处置时间成倍拉长。