上周公司后台突然被扫了三百多个弱口令接口，幸亏新上的智能预警模块提前17分钟发了钉钉告警——不是靠人工盯日志，而是靠规则+行为模型自动识别的异常登录节奏。
它不是杀毒软件，是会看“眼神”的守门人
很多同事一听说“智能预警”，下意识就装个杀软或防火墙。其实真正在软件配置层落地的智能预警，核心就两点：数据能采、规则能调。比如 Nginx 日志里每秒 50 次 404 的请求，传统监控只报“访问失败”，而加了轻量级预警逻辑后，它会判断：“同一IP、高频错路径、无Referer、User-Agent异常”——四条凑齐，立刻触发邮件+企业微信推送。
三步配出你的第一道预警线（以 Prometheus + Alertmanager 为例）
不用改业务代码，只要在监控链路里加点“小心思”：
groups:
- name: network-risk-alerts
rules:
- alert: HighPortScanRate
expr: count_over_time(http_request_total{status=~"40[0-9]"}[5m]) > 80 and count(count by (src_ip) (http_request_total{status=~"40[0-9]"}[5m])) > 5
for: 2m
labels:
severity: warning
annotations:
summary: "疑似端口扫描行为"
description: "{{ $labels.src_ip }} 在5分钟内触发 {{ $value }} 次4xx响应，涉及{{ $value | humanize }}个不同路径"这段规则的意思很直白：5 分钟内，同一个 IP 触发超 80 次 4xx 错误，且错误路径数超过 5 个，就拉响警报。它不依赖签名库，也不等攻击完成——刚试探就拦。
别迷信“全自动”，得留个手动开关
我们上线后发现，某合作方定时爬取商品页会触发误报。解决方法不是关掉预警，而是在 Alertmanager 配置里加个静默标签：matchers: ['src_ip!="192.168.10.22"']。真正的智能，是知道什么时候该“信”，什么时候该“绕开”。
你手机里的银行 App，每次异地登录都要人脸识别；你家路由器后台，连续输错三次密码就锁 30 秒——这些都不是玄学，是可配置、可验证、可迭代的预警逻辑。关键不在堆算力，而在把“人怎么判断风险”的经验，翻译成软件听得懂的语言。