凌晨两点，运维小李被一条告警吵醒：某台业务服务器访问量突然飙升，防火墙日志里满屏都是陌生 IP 的请求。传统特征库没有命中任何已知攻击，可服务已经变慢。问题出在——很多扫描和 DDoS 攻击并不靠“签名”识别，它们藏在一连串看似普通的数据包行为里。
1. 为什么特征匹配会漏掉网络扫描和 DDoS？
“主动防御”和“入侵防御”“木马检测”不同，它不是基于特征匹配，而是分析数据包的行为特征来检测和阻止网络扫描、DDoS 攻击等。对用户来说，这意味着不用等攻击特征入库，异常行为本身就能成为判断依据。小李遇到的正是这种情况：攻击没有明显特征，但访问节奏、来源分布已经不正常。
2. 外网和内网攻击策略，关键是“记录日志并封锁IP”
在检测选项里，可以分别配置外网攻击和内网攻击的策略。外网 IP 和内网 IP 来源不同，处理方式也可以不同。可选动作包括：仅记录日志；记录日志并封锁 IP，在指定时间段内自动禁止来自该 IP 的访问；忽略，不做处理也不记录日志。像小李这样希望尽快止血的场景，就可以对外网攻击选择“记录日志并封锁 IP”，既留下证据，又自动阻断来源。若担心误伤，还可设置例外的 IP 地址或网段，例如 192.168.1.20、192.168.1.20/24，对这些来源不检测。
3. 威胁日志让每一次封锁有据可查
主动防御会把攻击日志记录下来，包括时间、IP 地址、攻击类型以及对应的封锁 IP 等操作信息。事件告警还能决定是否把攻击事件记录到“事件查看器”模块。对运维来说，处理完攻击不是终点，能回看“谁在什么时候触发了什么类型攻击、系统做了什么动作”，才算真正闭环。
主动防御的价值，不是替代所有安全手段，而是在特征匹配失效时，用行为分析补上那一段空白。对外网、内网分别设置策略，再结合例外 IP 和威胁日志，才能既挡住扫描和 DDoS，又减少误封带来的麻烦。
