WAF 要验证什么
WAF 上线后需要定期验证规则是否真的生效。判断依据不是控制台里的开关状态，而是在授权测试环境或自建靶场中发送带触发特征的请求，观察实际处置结果、日志记录与告警是否到位。验证还包括误拦截检查：正常业务参数被拦下的问题，往往比漏拦更容易引发事故和投诉。
基本信息
| 验证对象 | WAF 规则与策略的实际处置效果 |
|---|---|
| 验证环境 | 自建靶场或经授权的测试环境 |
| 验证内容 | 拦截动作、日志记录、告警通知、误拦截影响 |
| 记录字段 | 时间、规则 ID、触发 URL、客户端 IP、处置动作、是否告警 |
| 数据来源 | WAF 日志与 SIEM 告警记录 |
| 执行节奏 | 规则变更后回归验证，保留前后对比记录 |
| 例外管理 | 例外规则登记责任人与复核时间 |
验证项与判断
| 验证项 | 做法 | 期望结果 |
|---|---|---|
| 拦截动作 | 发送带明显特征的请求 | 被拦截并返回预期状态码 |
| 日志记录 | 查询 WAF 日志 | 完整记录规则 ID 与请求要素 |
| 告警通知 | 检查是否到达值班渠道 | 按等级触发对应通知 |
| 误拦截 | 用真实业务参数回归 | 正常请求不被拦截 |
| 规则更新 | 变更后重新验证 | 保留变更前后对比记录 |
| 例外规则 | 跟踪例外清单 | 有责任人、有复核时间 |
验证流程（授权环境）
验证流程（授权环境）
1. 准备自建靶场（如 OWASP Juice Shop）作为验证对象
2. 发送一条带明显特征标记的请求，确认被拦截与记录
3. 检查告警是否到达值班渠道、误拦截是否影响正常业务参数
4. 变更规则后回归验证，保留前后对比记录
5. 例外规则登记责任人与复核时间，避免长期无人回收记录的字段
记录的字段
时间 / 规则 ID / 触发 URL / 客户端 IP / 处置动作（拦截或观察）/ 是否产生告警
# 数据来源：WAF 日志与 SIEM 告警记录
# 验证记录与规则变更单关联，便于审计追溯典型使用场景
- WAF 上线与规则变更后的验收
- 季度安全设备有效性检查
- 重大活动前的防护能力确认
- 误拦截问题的排查与例外管理
- 告警链路演练，确认通知能到达值班
- 审计举证：规则清单与验证记录
只依赖厂商默认规则并不够：业务参数的特殊结构需要单独的例外与自定义规则，验证要覆盖这些例外，否则上线后可能直接拦掉正常业务。
验证必须在授权环境进行，不要在未授权目标上发送攻击特征请求。靶场与生产环境的规则版本要保持一致，否则验证结论无效。