为什么要做防护自检
WAF 上线后最危险的状态不是「没拦住」，而是「以为拦住了」：规则被误关、白名单放得过宽、日志没外发、告警没送达——这几种情况下控制台看上去一切正常，实际防护已经形同虚设。自检就是用无害的测试请求走完整条链路，确认检测触发、动作执行、日志落盘、告警送达四个环节都还在工作。
基本信息
| 验证内容 | 检测触发、动作执行、日志落盘、告警送达 |
|---|---|
| 使用载荷 | 合规测试用例，不使用真实攻击载荷 |
| 执行频率 | 每季度一次，重大变更后追加 |
| 责任分工 | 安全团队执行，业务方知悉并授权 |
| 记录要求 | 测试时间、用例、结果与缺陷整改项 |
| 闭环要求 | 发现链路缺陷后限期修复并复测 |
典型使用场景
- 季度安全检查中的防护有效性验证
- WAF 上线验收与规则大改后的回归测试
- 告警平台改造或值班方式变更后的链路验证
- 误报调优过程中确认防护动作仍在执行
- 合规审计要求证明防护措施持续有效运行
自检链路
自检链路
1. 发送可控测试请求 # 前提是已授权
2. 确认 WAF 检测到并执行了拦截动作 # 检测与动作
3. 确认日志平台收到对应记录 # 日志链路
4. 确认告警通知送达值班人 # 告警链路
5. 任一环节失败即记录缺陷并限期修复 # 闭环自检覆盖的链路环节
| 环节 | 失败时的表现 |
|---|---|
| 检测 | 测试请求未被识别，规则未生效或被误关 |
| 动作 | 识别了但未拦截，动作被改回观察模式 |
| 日志 | 拦截了但日志未外发，事后无据可查 |
| 告警 | 日志有了但通知未送达，值班完全不知情 |
自检要覆盖整条链路：只测「有没有拦截」会漏掉日志与告警环节，而这两处恰恰最容易在平台改造后失效。
测试必须在授权范围内执行并提前报备；使用真实攻击载荷既违反合规要求，也可能触发真实的应急响应流程。