| 效果 | 全量日志、不阻断请求 |
|---|---|
| 周期 | 覆盖业务全周期（常见 2 周以上） |
| 产出 | 误报清单、白名单草案、规则调整计划 |
观察期动作
观察期动作
1. 每日查看拦截候选日志
2. 与业务确认是否为正常请求
3. 记录误报规则与参数
4. 调整规则或加白名单后再模拟验证观察期结束前输出结论报告，明确哪些规则可以开拦截。
WAF 观察模式
观察模式下规则只记录不拦截，用于上线初期积累误报数据，是防误拦的标准过渡手段。
易错点
- 观察期不分析日志，切换拦截时误报会集中爆发
- 观察期过短会漏掉低频业务（月结、报表类）
数据来源与参考
- OWASP WAF 部署最佳实践
- 深信服 WAF 产品手册：防护模式