2. 网络拓扑基础：IDP部署的典型网络拓扑及其对策略命中率的影响
IDP（入侵检测与防御）设备的部署位置直接决定了其能“看到”什么流量，进而从根本上影响策略的命中率与误报率。根据设备与业务流量的关系，主流部署模式分为串联、旁路和混合模式三种。每种模式在检测能力、阻断能力和性能开销上存在显著差异。
2.1 串联模式（Inline Mode）
串联模式将IDP设备以物理或逻辑方式直接插入网络路径中，所有进出流量必须经过设备。该模式既能检测也能实时阻断攻击，是“防御”能力的基石。
核心特征：流量必须经过IDP，设备成为网络路径中的“瓶颈”或“网关”。
对策略命中率的影响
- 命中率最高：设备能100%检测到所有经过的流量，包括南北向和东西向（如果部署在核心交换路径上），策略覆盖全面。
- 误报影响大：误报可能导致合法流量被阻断，造成业务中断。因此策略必须经过严格调优，误报容忍度极低。
- 性能瓶颈：设备吞吐量必须大于链路带宽，否则会丢包或增加延迟，导致策略无法完整检测所有数据包。
2.2 旁路模式（Passive / Tap Mode）
旁路模式通过端口镜像（SPAN/TAP）将流量复制一份给IDP设备，设备不参与数据转发。该模式仅用于检测，无法在线阻断。
适用场景：合规审计、威胁监控、取证分析。适合对业务连续性要求极高、不允许引入额外延迟的环境。
对策略命中率的影响
- 命中率受限于镜像完整性：如果交换机端口镜像配置不全（如只镜像了入方向流量），IDP将丢失一半的会话信息，导致策略无法匹配完整攻击链。
- 误报率较低：由于不参与阻断，即使策略误报也不会影响业务，可以容忍更宽松的检测规则，从而降低漏报。
- 无法防御实时攻击：检测到攻击时只能告警，无法在线阻断，策略的“防御”命中率实际为零。
2.3 混合模式（Hybrid Mode）
混合模式结合了串联和旁路的优点，通常采用“串联检测+旁路阻断”或“分层部署”架构。例如，在核心链路串联部署轻量级IDP用于快速阻断已知攻击，同时在旁路部署深度检测引擎用于分析未知威胁。
注意：混合模式增加了运维复杂度，需要协调两个检测引擎的策略同步，避免策略冲突或重复告警。
典型部署架构对比
| 对比维度 | 串联模式 | 旁路模式 | 混合模式 |
|---|---|---|---|
| 流量可见性 | 100%（所有流量） | 依赖镜像配置（通常80-95%） | 接近100%（组合覆盖） |
| 实时阻断能力 | 支持 | 不支持 | 支持（串联部分） |
| 策略命中率 | 高（95%+） | 中（60-85%） | 高（90%+） |
| 误报影响 | 严重（可能断网） | 轻微（仅告警） | 中等（需分级处理） |
| 性能开销 | 高（需线速处理） | 低（仅分析副本） | 中高（需负载均衡） |
| 故障风险 | 单点故障（需HA） | 无影响 | 部分影响（串联链路） |
2.4 拓扑选择对Crossplane策略调优的启示
在Crossplane策略编排中，拓扑信息是策略命中率计算的前置输入。不同拓扑下，策略的“有效检测范围”差异巨大：
- 串联模式：策略命中率 = 检测到的攻击数 / 实际经过的攻击数。由于流量完整，分母接近真实值，命中率可信度高。
- 旁路模式：策略命中率 = 检测到的攻击数 / 镜像流量中的攻击数。分母可能远小于真实攻击数，导致命中率虚高。Crossplane需引入“镜像覆盖率”修正因子。
- 混合模式：策略命中率需按检测引擎分层统计，最终加权计算。Crossplane策略需定义“阻断策略”和“检测策略”两套独立基线。
关键结论：在复核IDP策略命中率时，必须首先确认部署拓扑。旁路模式下报告的“高命中率”可能是镜像不全导致的统计偏差，需要结合流量采样比进行归一化处理。