防护模式为什么要复核
WAF 通常有观察与拦截两种模式：观察模式只记录不阻断，用于新业务上线时收集误报；拦截模式才真正阻断攻击。业务稳定后仍停留在观察模式，等于防护没有生效。复核就是定期盘点仍处于观察模式的对象、原因与预计切换时间，把这份清单当风险清单逐项推进到拦截。
基本信息
| 观察模式 | 只记录不拦截，用于上线磨合与误报收敛 |
|---|---|
| 拦截模式 | 实际阻断攻击，业务稳定后应切换到位 |
| 复核要点 | 盘点仍处观察模式的对象、原因与责任人 |
| 推进方式 | 把观察模式清单当作风险清单逐项跟踪 |
典型使用场景
- 业务上线磨合：观察期收集误报并补充例外
- 误报收敛后：确认不再新增误报，推动切换到拦截
- 季度风险盘点：梳理长期停留在观察模式的站点
- 变更后复核：站点配置调整后确认模式符合预期
- 审计说明：向检查方说明防护模式现状与切换计划
切换检查
切换检查
[ ] 观察期内误报已收敛，无新增高频例外
[ ] 业务方确认可以切换到拦截模式
[ ] 切换后 24 小时观察业务与告警，无异常
[ ] 记录切换时间、操作人与业务确认人
[ ] 更新站点清单中的防护模式状态模式与适用
| 模式 | 适用阶段 | 风险 |
|---|---|---|
| 观察 | 新业务上线与规则调优期 | 长期停留等于防护未生效 |
| 拦截 | 业务稳定后的常态 | 误报未收敛时切换会影响业务 |
| 按路径混合 | 部分接口风险高时 | 配置复杂，需逐条记录各路径模式 |
观察模式清单要写清责任人与预计切换时间，否则它会在季度复盘中反复出现，却始终没人推动。
观察期产生的拦截记录不要随手清理：切到拦截模式后回查这批数据，往往能发现当时被漏判的可疑请求。