| 分析维度 | 攻击类型 TOP、来源 TOP、URL TOP、规则 TOP |
|---|---|
| 输出 | 封禁建议、加固建议、规则调优建议 |
| 频率 | 周报为主，重大事件即时分析 |
常见洞察
常见洞察
1. 单一来源高频命中 → 考虑封禁
2. 多个来源打同一 URL → 该功能可能被探测
3. 某规则命中量异常高 → 检查误报或真实攻击分析结论要转成动作：封禁、加固、规则调整或业务确认。
WAF 日志分析
按攻击类型、来源、目标 URL 与规则命中做统计，识别持续扫描源与主要攻击面。
易错点
- 只统计不行动，分析报告无法产生实际安全收益
- 把扫描类噪声当重大事件，会消耗大量研判精力
数据来源与参考
- OWASP 日志与监控备忘
- NIST SP 800-92（日志分析）