规则命中查看与 ID 定位是什么
WAF 的每条告警都带规则标识（ID 或编号），这个标识是处理误报的入口：用它可以查到规则的描述、严重级别、匹配位置与历史调整记录。日常工作中最有价值的一步是按规则标识统计命中量——命中量大且集中在少数正常业务路径上的规则，就是误报治理的重点对象。定位到具体规则之后，例外设计才有明确的粒度，而不是笼统地放宽整个路径。
基本信息
| 命中信息 | 规则标识、规则描述、匹配位置（参数或头部）、动作 |
|---|---|
| 主要用途 | 误报定位、规则动作调整、精确例外设置 |
| 统计方式 | 按规则标识聚合命中量，排序找出高频规则 |
| 记录要求 | 每次调整的记录：规则、原因、调整人、复核日期 |
| 版本管理 | 规则库升级可能重排或调整规则，需复核原有例外 |
典型使用场景
- 误报处理：确认是哪条规则拦了正常请求，再决定处理方式
- 批量调优：统计一周命中量，找出高误报规则集中处理
- 验证拦截效果：确认攻击请求命中的规则与预期一致
- 规则升级后回归：核对原有例外是否仍然有效
- 值守培训：用真实规则标识讲解检测逻辑，提升研判效率
- 审计说明：提供某次拦截的规则依据
排查动作
排查动作
# 1. 在日志中找到规则标识与命中的具体参数或字段
# 2. 查阅该规则的描述与严重级别，理解检测意图
# 3. 判断为误报时，按最小粒度添加例外（限定参数与路径）
# 4. 判断为真实攻击时，进入事件处置流程并排查来源
# 5. 记录调整原因、操作人与复核日期
# 6. 规则库升级后复核例外是否仍然有效命中信息与用途
| 信息 | 用途 | 缺失后果 |
|---|---|---|
| 规则标识 | 查规则详情与统计命中量 | 无法定位到具体检测点 |
| 匹配位置 | 确认是哪个参数触发 | 例外范围只能放宽到整条规则 |
| 动作 | 区分告警与拦截 | 把仅告警的事件当拦截事件处理 |
| 严重级别 | 排优先级 | 低危噪音淹没高危事件 |
例外要绑定规则标识来写：只说「这个接口有问题所以关掉检测」会让放行范围远超必要，出问题时也说不清放开了什么。
调整记录不留档，规则库升级后原例外可能被覆盖或语义变化，误报会重新出现且无人知道先前做过什么调整。