云防火墙入侵防御系统（IPS）用于对网络流量中的入侵行为进行检测与防护，支持基础防御、虚拟补丁、威胁情报和智能防御等能力。通过对攻击行为的识别与拦截，降低漏洞被利用和业务受损风险。本文将介绍 IPS 防御功能的相关配置。 :::tip * IPS 引擎位于访问控制策略之后，仅对访问控制放行的流量进行深度包检测（DPI），识别并拦截潜在的网络攻击行为；被访问控制策略拦截的流量不再进入 IPS 检测流程。 * IPS 引擎支持对云防火墙接入的所有流量进行检测，包括互联网边界、VPC 边界、NAT边界。 ::: ## 引擎检测模式 **云防火墙 IPS 引擎启用后，默认运行在观察模式。用户可根据业务场景和安全需求，选择不同的引擎运行模式。** * **观察**：启用观察模式后，系统仅对攻击行为进行记录和告警，不对流量进行拦截。威胁情报、基础防御和虚拟补丁等检测能力均以观察方式运行，适用于规则评估和业务影响确认场景。 * **拦截**：启用拦截模式后，系统将在检测到恶意流量时进行阻断，防止入侵行为对业务造成影响。根据防护强度的不同，拦截模式支持以下级别： * **拦截\-宽松**：防护粒度较粗，仅启用低误报规则，适合对业务稳定性要求高、需严格控制误报的场景 * **拦截\-中等**：防护粒度适中，在安全覆盖与误报控制之间取得平衡，适合日常运维的常规防护场景。 * **拦截\-严格**：防护粒度精细，启用更全面的规则集，相比中等模式可能存在更高的误报概率，适合对安全防护要求较高、可接受少量误报的场景。 * **自定义模式**：支持针对不同防火墙类型或不同防火墙实例配置独立的防护模式，满足多业务、多场景的差异化防护需求。 ![图片](https://p9-arcosite.byteimg.com/obj/tos-cn-i-goo7wpa0wc/aee1d3b4c5934692933cf0a5eb09139d =1658x) :::tip 问：我已经开启了严格模式，为什么基础防御和虚拟补丁，还是有很多策略是【观察】动作？答：严格模式并不代表所有规则都会拦截，部分基础防御和虚拟补丁规则仍以“观察”方式运行，是为了降低误报风险并保障业务稳定性。可通过观察模式下的告警情况，评估业务影响后，可手动将确认无误报的规则调整为拦截动作。 ::: ## 规则配置点击基础防御和虚拟补丁，查看详情按钮，进入到规则配置页面。集中查看和管理云防火墙内置的安全规则集，统一配置规则的启用状态及处置动作（拦截或观察），在保障业务稳定运行的同时，实现对各类网络攻击的有效防护。 ![图片](https://p9-arcosite.byteimg.com/obj/tos-cn-i-goo7wpa0wc/00f8d9e28b1843a4b04fea0dd8c3587e =1399x) * **集中管理**：在同一页面内统一查看、搜索和管理互联网防火墙、VPC 防火墙及 NAT 防火墙的基础防御规则。 * **灵活动作配置**：支持为每条规则单独配置启用状态及处置动作（拦截或观察），满足不同业务场景下的防护策略需求。 * **批量操作**：支持对多条规则进行批量启停及动作调整，显著提升规则配置和运维效率。 * **策略一键重置**：提供“一键重置”能力，可将全部规则快速恢复至系统推荐的默认配置，降低配置风险。 ### 规则详情概述页面的规则列表详细展示了每条基础防御规则的属性，主要字段说明如下： |配置项 |说明 | |---|---| |**规则 ID** |系统为每条规则分配的全局唯一标识符。 | |**规则名称** |对规则所覆盖的攻击行为或威胁类型的可读描述。例如，“疑似反弹 shell 执行 crontab \-l 命令”。 | |**规则类型** |规则所属的攻击技术分类。例如，“命令与控制”、“安全工具”、“弱口令”等。 | |**危险等级** |评估规则所防御威胁的潜在风险程度。系统通过不同颜色进行可视化标记，例如，高危（红色）、中危（橙色）。 | |**默认动作** |系统会根据规则的**风险等级、规则类型及检测精确度**等因素，为每条规则预置推荐的处置动作。该处置动作为系统官方推荐策略，**不可由用户修改**。|\ | |通过筛选功能，您可以查看规则在不同检测模式下的推荐处置情况，包括：|\ | ||\ | |* **观察模式**下生效的规则|\ | |* **仅在拦截\-严格模式**下生效的规则|\ | |* **仅在拦截\-严格 / 中等模式**下生效的规则|\ | |* **仅在拦截\-严格 / 中等 / 宽松模式**下生效的规则|\ | ||\ | |该筛选能力可帮助您快速了解不同规则在各防护模式下的生效范围，便于评估防护策略与业务影响。 | |**当前动作** |用户为规则实际配置的处置动作，将覆盖默认动作。可选项包括：|\ | ||\ | |* **拦截**：当检测到匹配的攻击流量时，立即阻断该流量。|\ | |* **观察**：当检测到匹配的攻击流量时，仅记录安全告警，不执行阻断操作。|\ | ||\ | |当前动作为自定义动作时，动作旁会有标签标识【自定义】 | |**规则开关** |控制单条规则的启用或禁用状态。关闭后，该规则将不再对任何流量进行检测。 | ### 操作指引 * **查询** 你可以通过页面上方的搜索框，输入**规则 ID** 或**规则名称**（支持模糊匹配）来快速定位到你关心的特定规则。 * **修改单条规则** * **修改动作**：在目标规则行的 **当前动作** 列中，直接点选“拦截”或“观察”即可。 :::tip 问：为什么云防火墙有的规则，只有【观察】动作，无法自定义修改成【拦截】模式？答：某些规则在初期仅提供“观察模式”，暂不支持自定义为拦截。这是因为这些规则上线后需要一段时间进行运营优化和效果验证，待规则成熟并经过充分验证后，拦截动作将开放使用。 ::: * **启停规则**：在目标规则行的 **规则开关** 列中，单击开关滑块即可启用或禁用该规则。 * **批量修改规则** 1. 在规则列表行首勾选需要操作的规则，支持单条选择、多条选择、选择当前页或选择全部页。 2. 页面底部的批量操作栏将实时显示已选中的规则数量。 3. 单击 **批量更改动作** 或 **批量更改开关**。 4. 在弹出的对话框中选择期望的处置动作或开关状态，并单击 **确定** 完成操作。 * **全部重置** 单击页面右上角的「全部重置」，可将所有规则恢复为系统默认处置动作。该操作将作用于全部规则，请谨慎执行。 ## 白名单 IPS白名单用于将可信流量、已知安全事件或特定业务流量排除在入侵防护检测之外。通过设置白名单，可以有效减少误报对业务的干扰，确保关键服务稳定运行。同时，它有助于提升防护策略的准确性，让运维人员能够更专注于真正的安全风险。 ### 适用范围防护白名单功能对以下安全模块生效，配置的规则将被这些模块信任并放行： * **基础防御** * **虚拟补丁** * **智能防御** :::tip 防护白名单当前**不**支持对**威胁情报**模块的加白。来自威胁情报库中恶意 IP 或域名的流量，即使符合白名单规则，仍可能被拦截。 ::: ### 白名单配置 ![图片](https://p9-arcosite.byteimg.com/obj/tos-cn-i-goo7wpa0wc/80dda767367d4cfd84f1d4dfdf76ed2b =1538x) |**配置项** |**说明** | |---|---| |生效防火墙 |选择白名单需要生效的防火墙类型以及防火墙实例。 | |方向 |（仅互联网边界和 NAT 边界）定义需要放行的流量方向，可选**入站**或**出站**。 | |策略 IP 类型 |选择规则基于的 IP 协议版本，`IPv4` 或 `IPv6`。后续访问源/目的的 IP 地址类型需与此保持一致。 | |访问源类型 |选择访问源的定义方式：|\ | ||\ | |* **IP**：直接输入单个 IP 地址或 CIDR 网段。|\ | |* **地址簿**：从预先创建的地址簿中选择。 | |访问源 |输入具体的源 IP 地址或选择地址簿。 | |访问目的类型 |选择访问目的的定义方式：|\ | ||\ | |* **IP**：直接输入单个 IP 地址或 CIDR 网段。|\ | |* **地址簿**：从预先创建的地址簿中选择。 | |访问目的 |输入具体的目标 IP 地址或选择地址簿。 | |协议 |选择需要放行的网络协议。`ANY` 代表所有协议。 | |目的端口类型 |选择目的端口的定义方式：|\ | ||\ | |* **端口**：直接输入单个端口号或端口范围（0\-65535）。|\ | |* **地址簿**：从预先创建的端口地址簿中选择。 | |目的端口 |输入具体的端口号或范围。默认值为 `0/65535`，代表所有端口。 | |备注信息 |为规则添加描述信息，建议填写清晰的业务场景或申请事由，方便后续审计与管理。 | ## 常见问题 ### **切换到“拦截”模式后，是否会影响正常业务？** 云防火墙的检测规则经过海量业务流量的验证，误报率极低。但理论上任何基于规则的检测都存在误报可能。因此，我们强烈建议遵循“先观察，后拦截”的最佳实践。在**观察**模式下充分验证后，再切换至**拦截**模式。如果业务对连续性要求极高，可以从**拦截\-宽松**模式开始，逐步提升至**中等**或**严格**。 ### **“虚拟补丁”和系统本身安装的安全补丁有何区别？** * **系统补丁**：直接修复操作系统或应用程序代码层面的漏洞，是最彻底的修复方式，但通常需要重启服务，影响业务连续性。 * **虚拟补丁**：在网络层面识别并拦截针对特定漏洞的攻击流量，无需触碰业务系统本身。它是一种快速、临时的应急防护措施，为你在从容安排和测试系统级补丁争取了宝贵时间。 ### **如何处理因规则导致的业务误报？** 如果怀疑正常业务流量被防火墙误拦截，建议按以下步骤处理： 1. 将**拦截模式**的级别从**严格**降级至**中等**或**宽松**，观察问题是否解决。 2. 如果问题依旧，可暂时切换回**观察模式**，以保障业务连续性。 3. 前往“安全告警”页面，找到被误报的告警记录。 4. 利用告警详情中的信息，在**防护白名单**页面创建精确的白名单规则，以放行特定的源/目的 IP、端口或协议组合。 5. 添加白名单后，重新开启**拦截**模式。