**引入全新的主机体验 AWS WAF**

现在，您可以使用更新的体验访问控制台中任意位置的 AWS WAF 功能。有关更多详细信息，请参阅[使用控制台](https://docs.aws.amazon.com/waf/latest/developerguide/working-with-console.html)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 监控和调整您的 AWS WAF 保护措施
<a name="web-acl-testing-activities"></a>

监控和调整您的 AWS WAF 保护措施。

**注意**  
要遵循本节中的指导，您需要大致了解如何创建和管理 AWS WAF 保护包 (Web ACLs)、规则和规则组。本指南前面部分将介绍该信息。

监控 web 流量和规则匹配以验证保护包（web ACL）的行为。如果您发现问题，请调整规则以进行更正，然后进行监控以验证调整。

重复以下步骤，直到保护包（web ACL）根据需要管理您的 web 流量。

**监控和调整**

1. 

**监控流量和规则匹配情况**

   确保流量畅通，并且您的测试规则正在找到匹配的请求。

   请查看以下信息，了解您正在测试的保护：
   + **日志**：访问与 web 请求匹配的规则的相关信息：
     + **您的规则**：保护包（web ACL）中具有 Count 操作的规则列在 `nonTerminatingMatchingRules` 下。带有 Allow 或 Block 的规则列为 `terminatingRule`. 根据规则匹配的结果，带有 CAPTCHA 或 Challenge 的规则可以是终止的，也可以是非终止的，因此列在两个类别之一下。
     + **规则组**：在 `ruleGroupId` 字段中标识规则组，其规则匹配的分类与独立规则的分类相同。
     + **标签**：`Labels` 字段中列出了规则已应用于请求的标签。

     有关更多信息，请参阅 [保护包（web ACL）流量的日志字段](logging-fields.md)。
   + **Amazon CloudWatch 指标** — 您可以访问保护包 (Web ACL) 请求评估的以下指标。
     + **您的规则**：指标按照规则操作进行分组。例如，如果在 Count 模式下测试规则，则其匹配项列为保护包（web ACL）的 `Count` 指标。
     + **您的规则组**：您的规则组指标列在规则组指标下。
     + **其他账户拥有的规则组**：规则组指标通常只有规则组的所有者可见。但是，如果覆盖了某个规则的规则操作，则该规则的指标将列示在保护包（web ACL）指标下。此外，任何规则组添加的标签都会列示在您的保护包（web ACL）指标中 

       规则组中的计数操作规则不会发出 Web ACL 维度指标， RuleGroup仅发出 “规则” 和 “区域” 维度。即使在 Web ACL 中引用了规则组，这也适用。

       此类别中的规则组 [AWS 的托管规则 AWS WAF](aws-managed-rule-groups.md)、[AWS Marketplace 规则组](marketplace-rule-groups.md)、[识别其他服务提供的规则组](waf-service-owned-rule-groups.md) 以及其他账户与您共享的规则组。通过 Firewall Manager 部署保护包（web ACL）时，WebACL 中使用计数操作的任何规则均不会在成员账户中显示其指标。
     + **标签**：评估期间添加到 web 请求的标签列在保护包（web ACL）的标签指标中。您可以访问所有标签的指标，无论这些指标是由您的规则和规则组添加的，还是由其他账户拥有的规则添加的。

     有关更多信息，请参阅 [查看 web ACL 的指标](web-acl-testing-view-metrics.md)。
   + **保护包 (Web ACL) 流量概述仪表板** — 访问 AWS WAF 控制台中的保护包 (Web ACL) 页面并打开 “流量**概述” 选项卡，即可访问保护包 (Web ACL) 已评估的 Web 流量**摘要。

     流量概述控制面板提供了在评估您的应用程序网络流量时 AWS WAF 收集的 Amazon CloudWatch 指标的近乎实时的摘要。

     有关更多信息，请参阅 [保护包的流量概述仪表板 (Web ACLs)](web-acl-dashboards.md)。
   + **采样的 web 请求**：访问与 web 请求样本相匹配的规则的信息。示例信息通过保护包（web ACL）中规则的指标名称来标识匹配的规则。对于规则组，该指标标识规则组参考语句。对于规则组内的规则，该示例在中列出了匹配的规则名称 `RuleWithinRuleGroup`。

     有关更多信息，请参阅 [查看 web 请求示例](web-acl-testing-view-sample.md)。

1. 

**配置缓解以解决误报**

   如果您确定某条规则正在生成误报，则通过在不应该出现误报的时候匹配 web 请求，则以下选项可帮助您调整保护包（web ACL）保护以缓解误报。

**更正规则检查条件**  
对于您自己的规则，您通常只需要调整用于检查 web 请求的设置即可。示例包括更改正则表达式模式集中的规范，调整在检查之前应用于请求组件的文本转换，或者切换到使用转发 IP 地址。有关导致问题的规则类型，请参阅 [在中使用规则语句 AWS WAF](waf-rule-statements.md) 下方的指南。

**更正复杂的问题**  
对于您无法控制的检查条件和某些复杂的规则，您可能需要进行其他更改，例如添加明确允许或阻止请求的规则，或者通过有问题的规则将请求排除在评估范围之外的规则。托管规则组通常需要这种缓解，但其他规则也可以。示例包括基于速率的规则语句和 SQL 注入攻击规则语句。

   如何减少误报，因使用案例而异。以下是常规方法：
   + **添加缓解规则**：添加一条规则，该规则在新规则之前运行，并明确允许导致误报的请求。有关 web ACL 中规则评估顺序的信息，请参阅 [设置规则优先级](web-acl-processing-order.md)。

     通过这种方法，允许的请求会被发送到受保护的资源，因此它们永远不会达到新的评估规则。如果新规则是付费托管规则组，则此方法还有助于控制使用该规则组的费用。
   + **添加带有缓解规则的逻辑规则**：使用逻辑规则语句将新规则与排除误报的规则相结合。有关信息，请参阅[在中使用逻辑规则语句 AWS WAF](waf-rule-statements-logical.md)。

     例如，假设您正在添加一个 SQL 注入攻击匹配语句，该语句会为某类请求生成误报。创建与这些请求相匹配的规则，然后使用逻辑规则语句组合这些规则，这样您就可以只匹配两个请求都不符合误报条件且确实符合 SQL 注入攻击条件的请求。
   + **添加范围缩小语句**：对于基于速率的语句和托管规则组引用语句，通过在主语句中添加范围向下语句，将导致误报的请求排除在评估之外。

     与范围缩小语句不匹配的请求永远不会到达规则组或基于速率的评估。有关范围缩小语句的信息，请参阅 [在中使用范围缩小语句 AWS WAF](waf-rule-scope-down-statements.md)。有关示例，请参阅[从机器人管理中排除 IP 范围](waf-bot-control-example-scope-down-ip.md)。
   + **添加标签匹配规则**：对于使用标签的规则组，请确定有问题的规则应用于请求的标签。如果您尚未在计数模式下设置规则组规则，则可能需要先将规则组规则设置为计数模式。添加一个标签匹配规则，该规则位于规则组之后运行，该规则与有问题的规则所添加的标签相匹配。在标签匹配规则中，您可以筛选要允许的请求和要阻止的请求。

     如果您使用这种方法，则在完成测试后，请在规则组中将有问题的规则保持在计数模式，并保留您的自定义标签匹配规则。有关标签匹配语句的信息，请参阅 [标签匹配规则语句](waf-rule-statement-type-label-match.md)。有关示例，请参阅 [允许特定的被阻止机器人](waf-bot-control-example-allow-blocked-bot.md) 和 [ATP 示例：针对缺失和被盗凭证的自定义处理](waf-atp-control-example-user-agent-exception.md)。
   + **更改托管规则组的版本**：对于版本控制的托管规则组，请更改您正在使用的版本。例如，您可以切换回已成功使用的最后一个静态版本。

     这通常是临时修复。在测试或暂存环境中继续测试最新版本时，或者在等待提供程序提供更兼容的版本时，您可以更改生产流量的版本。有关托管规则组版本的信息，请参阅 [在中使用托管规则组 AWS WAF](waf-managed-rule-groups.md)。

如果您对新规则可以根据您的需要匹配请求感到满意，请进入下一阶段的测试并重复此过程。在您的生产环境中执行测试和调整的最后阶段。