规则评审是做什么的
WAF 规则评审是按固定周期把设备上生效的规则集、例外清单与自定义规则逐条过一遍，判断每条规则与当前业务形态是否仍然匹配。它不是「把规则全打开」，而是把规则数量控制在与真实攻击面相符的范围内：既覆盖实际风险，又不因无差别拦截持续制造误报。适用对象包括云端 WAF、硬件 WAF，以及 ModSecurity + OWASP CRS 这类自建方案。
基本信息
| 评审周期 | 每季度一次；业务变更频繁或有促销活动前加一次 |
|---|---|
| 输入材料 | 规则命中统计、误报台账、例外清单、自定义规则清单 |
| 输出 | 保留/调整/下线三条结论，含责任人与完成时间 |
| 参与方 | 安全运营整理，业务方确认业务特征 |
| 留档 | 评审记录归档，作为等保审计与年度评估材料 |
典型使用场景
- 季度例行治理：把新增规则与新增例外一起过一遍，避免规则集只增不减
- 业务改版后：页面结构或接口参数变化，原有规则可能失效或开始误报
- 误报投诉集中出现时：定位是哪条规则、哪类参数触发，决定收窄还是加例外
- 外部审计或等保检查前：证明规则有依据、例外有评审记录
- 更换产品或大版本升级后：重新评估默认规则集与业务的匹配度
评审记录表样
评审记录表样
# 导出为表格，便于季度之间对比
# 规则ID, 命中次数, 误报次数, 结论, 责任人, 完成时间
9xxxx, 1240, 0, 保留, 张工, 2026-10-20 # 命中高且无误报
9xxxx, 860, 12, 收窄到评论接口, 李工, 2026-10-20 # 全站开启误报多
CUST-07, 3, 30, 下线并改用白名单, 王工, 2026-10-20 # 自定义依据已不存在
# 结论必须落到动作与时间，只写「继续观察」等于没有评审异常信号对照
| 现象 | 含义 | 处理方向 |
|---|---|---|
| 某规则命中量突然翻倍 | 业务改版或攻击尝试增加 | 看来源 IP 与 URL 分布再决定是否调优 |
| 某规则长期零命中 | 业务形态已变或规则失效 | 评估下线，减少规则集冗余 |
| 例外条目无原因无责任人 | 历史遗留，风险无法评估 | 限期内补依据，否则删除 |
| 规则集版本与记录不一致 | 更新未留痕 | 补齐版本变更记录，恢复可追溯 |
评审周期不必强求统一：金融、政务等监管要求高的场景按月，一般业务按季度即可，关键是周期固定并且留档。
优先用厂商提供的规则命中统计与误报标记功能，比人工翻日志准确；自建 ModSecurity 可对审计日志按 rule id 聚合统计。