IPS 告警事件分析技能（alibabacloud-cfw-ips-event）用于查询和分析阿里云云防火墙 IPS（入侵防御系统）检测到的安全事件与告警，帮助快速定位威胁并提供加固建议。
一、用途与定位 该技能面向云防火墙 IPS 告警的排查与分析场景。根据技能说明，它被设计为以 Aliyun CLI 的 cloudfw 命令作为主要数据源，不依赖本地日志文件、SIEM 导出或直接的主机访问，也不需要 SSH 或直接连接服务器 IP。其架构为：云防火墙服务 → IPS 引擎 → 事件检测 + 攻击分析 + 防护配置；能力级别为查询（只读）。数据仅通过 Aliyun CLI 命令（aliyun cloudfw ...）获取，不使用日志文件、数据库、服务器访问或 SIEM。
二、主要能力 技能说明列出以下核心能力：
- 告警总览——IPS 告警统计，包括攻击次数、拦截次数和严重程度分布；
- 告警事件详情——IPS 告警事件明细列表，含源/目的、攻击类型和处理状态；
- 被攻击最多的资产排行；
- 攻击类型分析——攻击类型与应用的分布；
- IPS 配置状态——当前 IPS 运行模式、规则开关和规则库版本；
- 修复建议——基于告警数据给出按优先级排序的安全建议。
三、使用方式与前置条件 前置条件包括：Aliyun CLI 版本需 >= 3.3.3（可用 aliyun version 校验，未安装或版本过低可用官方安装脚本更新）；需运行插件更新命令以确保插件为最新；每条 aliyun CLI 命令都必须带有指定的 --user-agent 参数；在执行前需开启 AI 模式，并在任意退出点（成功、失败、异常、用户取消、会话结束等）关闭 AI 模式。 认证方面要求阿里云凭据。安全规则明确：绝不读取、回显、打印或展示 AK/SK 值；绝不要求用户在对话或命令行中直接输入 AK/SK；绝不使用带明文凭据值的配置命令；仅可通过 aliyun configure list 检查凭据状态。若不存在有效凭据，则在此停止，需在会话之外配置凭据后重新运行。 权限方面需进行 RAM 权限预检查，可对比参考的 RAM 策略文件，最少权限亦可附上系统策略 AliyunYundunCloudFirewallReadOnlyAccess；若缺少权限则中止并提示用户。 参数方面：RegionId 为必填，仅两个取值——cn-hangzhou（中国大陆）与 ap-southeast-1（香港/海外）；StartTime/EndTime 为多数 API 所需的时间范围（Unix 秒级时间戳）；PageSize 默认 50，CurrentPage 默认 1。技能强调，用户已在请求中明确给出的参数应直接采用，不再重复询问；对具默认值的可选参数亦默认使用。输入校验为强制要求：RegionId 只能是 cn-hangzhou 或 ap-southeast-1；时间戳须为 10 位 Unix 秒且开始早于结束；CurrentPage 为正整数；PageSize 为 1-100；SrcIP/DstIP 仅接受合法 IPv4。禁止把原始用户文本拼接进 shell 命令，只能把通过校验的值传入固定 CLI 标志模板，校验失败即停止并返回明确的校验错误。
四、工作流 技能定义了 7 个核心步骤，均使用 cloudfw 插件，并需带 --user-agent 与 --region 参数。技能强调这是只读查询，不会修改任何云资源；执行前需与用户确认执行计划（将执行哪些步骤及目标区域）。意图路由表用于优化范围，若意图不明确则默认执行全部步骤 1-7： 步骤 1：IPS 告警统计总览； 步骤 2：IPS 告警事件详情（分组列表，可按方向、源 IP、目标 IP、漏洞等级过滤；提及具体服务器或 IP 被攻击时用 --DstIP 过滤查询，无需访问服务器本身；检查 TotalCount，超过 50 则翻页）； 步骤 3：被攻击最多资产排行； 步骤 4：攻击类型排行（需 Direction 参数，否则报错；如需出方向攻击类型，再以 --Direction out 调用一次）； 步骤 5：被攻击应用排行； 步骤 6：IPS 防护配置状态； 步骤 7：IPS 规则库版本。 时间参数获取方式：单独运行 date 命令取得时间戳数值后再作为字面数字传入，技能明确不要在 CLI 命令内使用 $(date +%s) 形式的 bash 变量替换。默认范围：用户说“今天”则起点为 24 小时前，“最近”/“本周”为 7 天前，未指定则默认 7 天前，结束时间始终为当前时间戳。
五、容错与报告 技能规定“失败继续”：单个 API 调用失败不终止整个流程，记录该步骤错误后继续下一步，并呈现已成功采集的数据。对瞬时错误（网络超时、限流、服务不可用、HTTP 500/502/503）最多重试 2 次、间隔 3 秒；对永久性错误（如参数无效、禁止访问、AccessKey 无效）不重试。调用前须显式设置 CLI 超时（连接超时 10、读取超时 30 秒）。若无告警事件，则告知用户在指定时间范围内未检测到 IPS 告警事件，并仍执行步骤 6、7 报告 IPS 配置状态。步骤间存在依赖说明：步骤 1 应首先运行以提供上下文，步骤 2-7 相互独立。最终报告围绕“谁在攻击”“什么被攻击”“响应是否有效”三个维度组织，包含告警态势总览、高危告警事件（需立即处理）、攻击热点分析、攻击来源分析和修复建议；对失败步骤标注“N/A（错误：简要说明）”，即使部分步骤失败也始终呈现摘要报告。
六、限制 技能未提供关于收费、价格或具体修复操作步骤的说明；其能力限定为只读查询，不执行任何资源变更。技能说明未提及除 Aliyun CLI cloudfw 命令之外的数据源或平台支持范围。