适用场景
IPS 的价值取决于准确率：规则太松等于没有，太紧业务先被打断。上线要经过观察期、调优期、阻断期三个阶段。
配置步骤（特征库更新与误报调优）
# 1) 观察期：只告警不阻断，统计 Top 告警
# 2) 逐条确认是否误报（结合业务访谈 + 抓包）
# 3) 误报处理：加例外 / 调整动作 / 关闭该规则，并记录原因
# 4) 阻断期：按规则分类逐批开启阻断（先高危后中危）关键参数与建议
- 优先串接部署（才能阻断），旁路部署只能检测告警
- 上线先观察模式跑 1~2 周，收集误报与业务特征后再开阻断
- 特征库定期更新并记录版本，大版本更新前先在测试环境验证
- 例外粒度尽量精确到 源+目的+端口+规则ID，不要按网段整体放行
- 串接设备必须有断电 Bypass，否则设备故障等于断网
容易踩的坑
- 一次性把所有规则改成阻断，业务系统直接被打断
- 例外写得太宽（按目的网段放行所有规则），等于留了大口子
- 调优记录缺失，下次特征库升级又把误报打回来
验证与巡检
# 每周统计：Top10 告警规则、已加例外、阻断命中记录- 巡检：误报率持续下降、阻断命中均有工单可追溯
小结
IPS 是精度换阻断能力的设备。先把误报压到可接受水平，再逐条打开阻断，永远不要在业务高峰期第一次开阻断。
> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。