观察模式要产出结论
观察模式下所有规则都是「记录不拦截」，请求照常到达业务。它的价值不在于开启本身，而在于这段时间积累了什么：哪些规则命中了业务流量、命中参数是什么、哪些属于误报。观察期结束时必须拿出一份明确的结论报告，说明哪些规则可以开拦截、哪些需要加例外、哪些继续观察，否则切换到拦截时会集中暴雷。
基本信息
| 适用平台 | 厂商 WAF 控制台、开源引擎（如 ModSecurity 的记录模式） |
|---|---|
| 效果 | 全量记录日志，不阻断任何请求 |
| 建议周期 | 覆盖业务全周期，常见两周以上并包含月末与结算类时段 |
| 产出物 | 误报清单、白名单草案、规则调整计划、切换范围建议 |
典型使用场景
- WAF 新上线：业务对 WAF 完全陌生，先用观察模式摸清命中情况
- 规则集升级：新规则上线前先观察，避免升级即误拦
- 业务改版前后：接口参数变化可能触发新误报，两侧各观察一段
- 分批启用：按接口或按业务线分批开启拦截，控制影响范围
- 汇报与评审：用观察期数据说明拦截范围选择的依据
观察期动作
观察期动作
1. 每日查看拦截候选日志，按规则 ID 与接口聚合统计
2. 对高频命中的规则与业务方逐条确认是否为正常请求
3. 记录误报对应的规则、参数与出现时间，形成清单
4. 调整规则阈值或加例外后，再在观察模式下验证是否还有命中
5. 周期结束输出结论报告，明确可开拦截的规则范围与剩余风险观察期统计维度
| 维度 | 作用 | 异常信号 |
|---|---|---|
| 按规则 ID | 定位噪声规则 | 少数规则贡献大部分告警 |
| 按接口 | 识别业务集中区 | 某接口持续大量命中 |
| 按参数 | 判断误报粒度 | 集中在个别参数上 |
| 按时间 | 发现周期性业务 | 月末与结算时段集中出现 |
观察期是把「全量开启」拆解成可控步骤的过程，结束条件应是产出一份能做决策的报告，而不是简单等到某个日期。