上线步骤
上线步骤
1. 记录模式(log)：只记录不拦截，统计误报与覆盖
2. 例外梳理：业务白名单与误报规则逐条确认
3. 阻断模式：核心规则先阻断，观察一周
4. 定期回顾：新增规则、过期例外、绕过迹象复盘| 规则集 | 使用厂商推荐集或开源 CRS，并记录版本 |
|---|---|
| 日志 | 接入 SIEM，对高频拦截与规则命中趋势告警 |
| 例外管理 | 每条例外有原因、申请人与到期时间 |
WAF 是纵深的一层：暴露面收敛与补丁仍是主控制，WAF 长期兜底不是设计目标。
WAF 部署基线与运行模式
WAF 上线要经历『观察→收敛→阻断』：先以观察模式运行收集误报，再逐步切阻断；规则集、例外与日志流向要形成基线，避免长期停留在观察模式。
易错点
- WAF 上线两年仍在观察模式：拦截记录一堆但从未真正阻断
数据来源与参考
- OWASP ModSecurity CRS 文档
- 主流云 WAF 文档（观察/拦截模式）