出海 IPS 怎么选？我们踩了两年坑，把自建 Suricata 和 AWS、Cloudflare 的账都算了一遍

先说结论，省得你划到最后：年营收 500 万美元以下、安全团队不超过 20 人的出海业务，绝大多数情况下不该自建 IPS，也不该单独买一套 IPS 设备，而应该把钱先花在 CDN/WAF 上，再叠一层云厂商原生的防火墙跑 IDS 模式，最后才考虑真正的阻断型 IPS。这个顺序听着反常识，因为它是我们用两年时间加一笔真金白银换来的。下面所有价格是我 2024 年上半年从各云厂商官网和销售那儿拿到的公开数据，你看到的时候大概已经变了，请按自己时间点的官网价重算一遍，但量级和结构的结论不会差太多。

一、那晚 2 点 17 分，我们的新加坡节点被打穿了

2023 年 9 月，我们做的是面向东南亚的 DTC 独立站，主力节点在 AWS 新加坡 ap-southeast-1，两台 c5.2xlarge 扛后端，前面挂 ALB 加一套 WAF 规则。那天凌晨两点十七分，PagerDuty 响了，商品详情页 P99 从 380ms 跳到 9 秒，加购接口大面积超时。我们第一反应是数据库慢了，翻 RDS 的监控发现连接数根本没涨——因为流量压根没到应用层，ALB 那一层就快顶不住了。后来复盘，峰值大概 1.8 Gbps，是一种非常粗糙的四层混合攻击，SYN 加 UDP 反射，手法老旧，但对当时的我们完全有效。

问题出在哪？我们只有 WAF，没有 IPS 级别的异常流量检测。WAF 是七层的，它看得懂 HTTP 请求，看不懂一个畸形 TCP 包；而攻击者恰恰就躲在四层。这件事之后我花差不多三个月做选型，把自建、云原生、边缘三条路线全跑了一遍，也把账算清楚了一次。这篇文章就是那三个月的完整笔记，包括我们最后没选的那个方案为什么没选。

二、先把名词掰开：IPS、IDS、WAF、云防火墙根本不是一回事

我见过太多团队被销售带着走，最后买了个自己用不上的东西。先把边界划清楚。IDS 只告警不阻断，流量复制一份给它看，它喊但不拦；IPS 是串在链路上的，能做 drop，代价是它一旦判断错，你的正常业务跟着一起死；WAF 工作在七层，看的是 HTTP/HTTPS 请求内容，防 SQL 注入、XSS、恶意爬虫这一路；云防火墙是厂商打包出来的营销概念，本质上是安全组加网络 ACL 加七层策略的组合体，不同厂商给的东西差得很远。

真正的分水岭是部署位置。串行部署（inline）才能阻断，旁路部署（mirror/TAP）只能告警，而串行意味着你的可用性被绑在这套设备上——它挂了，业务就挂了。这就是为什么 90% 的中小出海团队最后都把 IPS 跑成了 IDS 模式，只出告警不自动阻断，然后靠人看告警。不是他们不想拦，是不敢拦。

还有个更现实的坑：TLS 1.3 加上 ECH 普及之后，七层流量对你基本是黑盒。想在海外业务上做 TLS 中间人解密来看签名，一来证书要下发到客户端，你的独立站用户会看到证书告警；二来东南亚、欧洲的合规要求摆在那儿，做 MITM 的合规成本比设备本身贵得多。所以我们讨论 IPS 的时候，实际上讨论的是四层和流量行为层面的检测，别被“AI 智能识别攻击特征”这种话术带偏。

三、三条路线，我们实测的成本和吞吐

路线 A：自建 Suricata，看起来最便宜，实际最贵

我们第一版就是自建。两台 c5.2xlarge（8 vCPU / 16GB），Suricata 6.0.9，AF_PACKET 模式，cluster_flow，8 个 worker 线程。实测单机跑到 2 Gbps 左右就开始出现内核丢包，suricatasc -c dump-counters 里的 kernel_drops 一直在涨，再往上加流量，检测就形同虚设了。想上到 8 Gbps 得换 DPDK 或者 XDP，AWS 上要给网卡开 SR-IOV，折腾起来一个熟练工程师也得两三天。

成本上，两台 c5.2xlarge 的一年预留实例在新加坡区大概 4,000 美元，加 EBS 和跨 AZ 流量费，一年基础设施支出约 5,000 美元，折合人民币三万多。看着很便宜对吧？但你得配一个能把 ET Open 那四万多条规则调明白的人。深圳一个中级安全运维 2024 年的综合人力成本（含社保公积金和年终）在 30 万到 40 万人民币之间。加起来，自建 IPS 的真实年成本是 33 万人民币以上。

路线 B：云原生防火墙，账单清楚，但你得会算

AWS Network Firewall 的定价是两块钱：端点费 0.395 美元/小时/可用区，流量处理费 0.065 美元/GB。我们按两个 AZ 部署算，端点费就是 0.79 美元/小时，一年 6,920 美元。流量按每月 10TB 算，10,240GB 乘以 0.065 等于 665 美元/月，一年约 8,000 美元。两项合计一年大概 14,900 美元，折合人民币 10.7 万左右。

这个数字的意思是：如果你的自建方案需要一个专职人力去维护，那 AWS 托管方案其实比自建便宜三分之二。决策的关键不是你喜不喜欢托管，而是你有没有人能专职调规则。没有，就直接买托管。

路线 C：CDN 边缘防护，最该先买的其实是这个

Cloudflare 的 Magic Firewall 属于企业版功能，官方不公开报价，业内普遍说法是企业版起价在每月两千美元量级，销售第一句话会问你年营收多少。Akamai 和 Imperva 的量级类似，甚至更高。它贵，但它解决的是我们那晚真正的问题——流量在到达你的源站之前就被边缘节点清洗掉，源站根本感受不到压力。对你源站的延迟影响接近于零，这是它比串行 IPS 最大的优势，因为串行 IPS 每跳都会加 1 到 3 毫秒，在跨区域调用里这个数字会被放大。

四、如果你非要自建，这是我们已经验证过的参数

我不劝所有人都别自建，有些团队确实有数据合规或者定制规则的硬需求。下面是我们最终稳定跑下来的一份配置，Suricata 7.0.x，只保留核心部分：

af-packet:
  - interface: eth0
    cluster-id: 99
    cluster-type: cluster_flow
    defrag: yes
    use-mmap: yes
    tpacket-v3: yes
    ring-size: 20000
    block-size: 262144

threading:
  set-cpu-affinity: yes
  cpu-affinity:
    - management-cpu-set: [ 0 ]
    - receive-cpu-set: [ 1 ]
    - worker-cpu-set: [ 2,3,4,5,6,7 ]

几个踩过的点：ring-size 别用默认值，我们调到 20000 之后丢包率明显下降；block-size 给到 262144 而不是默认的 32768，大包场景下性能差别很大；CPU 亲和性一定要开，不然 worker 线程会互相抢核。规则集上，ET Open 全量开我们测出来一天两百多条告警，真正需要人工看的不到五条，所以最后是把 scanning 类和 policy 类整批关掉，只留 exploit、malware、trojan 这几个分类。

监控上盯三个指标就够：kernel_drops、decoder.pkts 和单条规则的命中频次。丢包率超过 0.1% 就说明你的机器已经跑不动了，这时候加规则是没意义的，得先加机器或者换抓包方式。

五、我的三个反直觉观点，可能得罪人

第一，IPS 最大的敌人不是黑客，是误报。签名型 IPS 的检测原理决定了它一定会误杀——一个正常的批量下单脚本，在流量特征上和 CC 攻击非常像。误杀一个真实订单损失的是确定的钱，没拦住一次攻击损失的是概率。理性决策下，大多数团队都应该把 IPS 跑在告警模式，然后靠人或者自动化剧本去处置。买设备的时候别被“自动阻断率 99.9%”这种参数忽悠，去问它的误报率是多少，销售一般答不上来。

第二，对出海业务来说，签名型 IPS 的边际价值在快速下降。传统 IPS 打的是已知漏洞的利用流量，但现在真正让我们掉钱的是 API 逻辑漏洞——越权查别人的订单、优惠券被批量刷、爬虫把你的价格全扒走。这些在流量层面是合法请求，没有任何签名能识别，只能靠业务风控。你花在 IPS 签名库上的预算，可能不如花在 API 网关的鉴权和限流上。

第三，采购顺序应该是 CDN/WAF → 云原生防火墙 IDS → 主机层 HIDS → 最后才考虑独立 IPS。我见过太多公司反过来，先买一套 IPS 设备，再补 WAF，最后发现四层攻击照样打进来，因为设备根本没串在正确的链路上。顺序错了，钱就是白花的。

六、五步选型清单，照着走不用想太多

第一步，先搞清楚你的攻击面在哪。翻过去三个月的 WAF 日志，看被拦最多的是哪类请求；再看 CloudWatch 或者云监控里的异常流量峰值。如果峰值从没超过 1 Gbps，你的问题大概率不是 IPS。

第二步，算清楚你的专职人力。有没有人能每周花 4 小时以上维护规则集？没有就排掉所有自建方案，别犹豫。

第三步，按流量算托管成本。把月流量（GB）乘以单价，加端点费，跟自建的人力成本对比。多数情况下你会得到和我一样的结论。

第四步，先在预发环境跑两周 IDS 模式，统计告警总量和真实威胁比例。这个比例低于 5% 的话，直接上自动阻断会是一场灾难。

第五步，做好降级预案。任何串行的安全设备都要能一键 bypass，我们最后在 ALB 前面加了一层可切换的旁路，出事的时候三秒钟摘掉 IPS，业务优先。

最后说句实话，出海的安全预算永远是有限的。别追求一步到位买最贵的那套，先保证你在被打的时候业务能活着，再考虑能拦住多少。那晚我们的损失不是流量费，是三个小时的订单和之后一整周的客户投诉。