适用场景

WAF 不是装完就完事：规则需要按业务持续调优，新漏洞出现时需要快速上虚拟补丁，否则要么漏拦要么误拦。

配置步骤（白名单与规则治理）

# 1) 白名单粒度：源 IP + URL + 参数 + 规则 ID
# 2) 有效期：临时白名单设置到期时间
# 3) 复核：每月复核白名单，清理过期条目
# 4) 记录：每条白名单的原因与申请人

关键参数与建议

  • 日志分析：每日看拦截 Top 规则与来源，识别真实攻击与误拦
  • 规则调优：按业务加白，白名单精确到 URL+参数+规则 ID
  • 虚拟补丁：新漏洞（如反序列化、注入）快速上线拦截规则，为修复争取时间
  • 版本管理：规则变更记录与回滚
  • 度量：拦截量、误报率、虚拟补丁覆盖漏洞数

容易踩的坑

  • 白名单按 IP 段加，范围过宽等于绕过
  • 临时白名单不过期，长期存在
  • 无原因记录，后人不敢删

验证与巡检

# 证据：白名单清单（含原因、申请人、到期时间）
  • 巡检：白名单数量可控、月度复核记录

小结

WAF 运营的核心动作是"每周复盘一次拦截日志"。不看的 WAF 很快会因为误报被业务方要求关闭。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。