WAF 部署基线是什么
WAF 上线要经历「观察 → 收敛 → 阻断」三步：先以观察（日志）模式运行，收集误报与覆盖情况；梳理业务例外后逐步切换到阻断；最后把规则集版本、例外清单与日志流向固定成基线。最常见的失败形态是上线两年仍停在观察模式——拦截记录一堆，实际从未阻断。
基本信息
| 运行模式 | 日志/观察模式、阻断模式 |
|---|---|
| 规则集 | 使用厂商推荐集或开源 CRS，并记录版本 |
| 日志 | 接入集中日志或 SIEM，对高频拦截与规则命中趋势告警 |
| 例外管理 | 每条例外要有原因、申请人与到期时间 |
上线步骤
上线步骤
1. 记录模式(log)：只记录不拦截，统计误报与覆盖
2. 例外梳理：业务白名单与误报规则逐条确认
3. 阻断模式：核心规则先阻断，观察一周
4. 定期回顾：新增规则、过期例外、绕过迹象复盘
5. 变更管理：规则集升级与例外调整走变更记录典型使用场景
- 新上线 WAF：按观察-收敛-阻断推进，避免直接阻断造成业务中断
- 误报治理：用观察期数据整理例外清单，逐条确认必要性
- 应急介入：漏洞爆发时用虚拟补丁规则临时拦截
- 规则升级：评估新规则集对现网流量的影响
- 复盘绕过：分析攻击者是否利用了编码或协议差异绕过规则
模式与判断标准
| 模式 | 作用 | 何时切换 |
|---|---|---|
| 观察/日志 | 统计误报与覆盖 | 上线初期与规则大版本升级后 |
| 阻断 | 实际拦截 | 例外梳理完成后，从核心规则开始 |
| 混合 | 核心阻断 + 次要观察 | 业务复杂度高时的过渡状态 |
WAF 是纵深防御的一层：暴露面收敛与补丁仍是主控制，长期把 WAF 当兜底不是设计目标，也不能替代修复。
应急期临时加的虚拟补丁规则要设到期时间：长期堆积会让规则集臃肿、误报增加，最终又退回观察模式。