WAF规则误报率评估与持续调优，不能只看告警数量：一条规则命中多，不代表误报多；一次误拦截，也不一定说明整条规则都该关闭。可靠流程要把命中日志与业务结果对应起来，再按规则、路径和请求类型分组验证。以WordPress站点为例，编辑器保存文章时会提交HTML标签，严格的输入检测可能将合法内容判为风险请求。处理这类问题，应先确认请求语义，再决定调整范围。
先定义指标，再挑样本
评估前要区分“告警”和“阻断”。处于监测模式的规则即使匹配正常请求，也不等于已经误拦；在阻断模式下，只有确认本应放行、却被规则拒绝的请求，才计入误拦样本。可按已复核的正常请求计算样本误报率：误拦请求数÷已复核正常请求数。它反映抽样结果，不等同于全部流量的真实比例。
从WAF命中日志中记录时间、规则ID、请求路径、匹配字段、处置动作和请求结果。对隐私字段做脱敏，不必为分析保存完整口令、令牌或个人信息。样本标注分为“确认攻击”“确认正常”“暂无法判断”三类；证据不足的请求先搁置，不要强行归入误报。
按步骤完成标注与复核
- 划定分析范围：选定一段有代表性的时间，按规则ID和路径拆分样本，同时标记配置变更、版本发布等时间点。避免只抽取高频规则，否则容易漏掉低频但影响大的阻断。
- 检查上下文：结合请求方法、参数结构、响应状态及应用侧记录判断意图。WordPress文章保存请求中出现HTML，不足以单独证明请求安全；还要确认用户权限、字段用途，以及是否存在异常执行迹象。
- 双人复核疑难项：对可能改变规则动作的样本，请应用负责人或安全人员共同判定，并记录理由。意见不一致时保留“暂无法判断”，补充上下文后再处理。
- 计算并记录指标：分别统计确认正常请求中的误拦比例，以及命中样本中确认攻击的比例。前者帮助判断业务影响，后者反映这批命中的有效程度；两者分母不同，不可混用。
小范围调整，灰度验证
确认误报后，先找出触发条件：是特定参数、路径、请求方法，还是规则组中的某条检测。优先调整匹配范围或处置动作，并保留其他检测能力；直接关闭整组规则，可能同时放过真正攻击。若规则平台支持计数、仅记录或监测模式，可先用它观察命中变化；例如ModSecurity提供DetectionOnly运行模式，但实际配置仍应核对当前版本和部署方式。
灰度发布时，可从单一路径或一小部分流量开始，观察一个覆盖相关业务操作的周期。期间对比阻断数、应用错误、请求成功情况和新增攻击告警；周期长短取决于流量规律，低频业务需要更长观察窗口。出现异常阻断增加、应用操作失败，或攻击请求未被原有检测覆盖时，立即恢复旧配置。发布前保存规则版本和变更记录，确保回滚有据可查。
让调优形成闭环
为每次变更记录规则ID、样本依据、修改内容、审批人、灰度范围和验证结论。定期复查曾调整的规则，也要在应用字段、路由或WAF版本变化后重新抽样。WAF规则误报率评估与持续调优的目标不是把指标压到最低，而是在减少正常请求受阻的同时，维持有效检测；没有足够样本或结论不确定时，宁可继续观察，也不要仓促放宽规则。
常见问题
命中日志多，是否说明规则误报严重？
不是。命中量只表示匹配次数，需结合处置动作和人工标注结果判断。
样本很少时能否直接修改规则？
不宜仅凭少量样本做宽泛放行。先补充不同时间和请求类型的样本，并检查业务影响。
灰度后哪些情况应回滚？
出现确认的正常请求被阻断、关键操作异常，或检测覆盖明显下降时，应恢复原配置并复核。
