漏洞防护软件：装上了照样中招，多半是规则没生效

装了个漏洞防护软件就等于上了保险，这个念头害过不少人。软件本身没什么问题，问题在于它到底有没有真正生效——规则库大半年没动过、部署在旁路只听不拦、业务参数塞在 JSON 里而规则只认 URL 查询串，这几种情况下，后台那个“已防护”的绿灯亮得再好看，攻击该进还是进。防护这东西从来不是装完就完事，它更像一道需要定期校准的门，门轴歪了，锁再好也白搭。

漏洞防护软件拦不住，先查流量到底走没走它

部署方式基本决定了一切。串在链路里做反向代理，流量是被强制经过的；旁路镜像部署只能看见、拦不住，很多人买了设备往交换机旁边一挂，以为就完事了。还有一种更常见的情况：防护本身做得挺好，但源站 IP 早就漏出去了，攻击者绕过防护节点直接打源站，前面那层堆得再厚也没用。

查法不复杂。找台外部机器直接访问源站 IP，看它是不是老实回包；再去翻防护日志，看刚才那次访问有没有被记下来。日志里没有，就说明流量压根没经过它，那后面所有关于规则的讨论都是空谈。这一步花不了几分钟，却能省掉一堆无效排查。

规则只认 URL，攻击藏在 body 里照样穿过去

现在的业务很少有纯 query string 的了。登录、注册、下单、上传、接口回调，真正的参数大多在 POST body 里，还是 JSON 格式。默认规则集要是不解析 application/json、不拆 multipart，攻击载荷就整段被当成普通文本放过去了，日志上干干净净，看起来一切正常。

还有编码层面的绕。URL 编码套一层、大小写混着写、参数名后面挂个分号、路径里塞个 ../，都能让靠字符串匹配的规则失效。规则做没做归一化处理，直接决定它能不能看懂变形之后的请求。这块没法靠猜，去看规则说明，或者自己在测试环境发几个无害请求试一下。

只告警不拦截，装的是摄像头不是门锁

观察模式上线是行业惯例，先跑一段看误报，再切成拦截。问题是很多人观察完了就忘了切，日志一天几十条，谁也没空逐条看。规则命中了、记了一笔、请求照样放行——攻击成功了，报表上还挺漂亮。这种“装了个摄像头”的状态，比完全不装更容易让人放松警惕。

隔一阵翻一眼策略的动作项，是 block 还是 log，这件事比升级规则库更要紧。要切动作，先在测试环境跑一遍，别在业务高峰直接动线上策略，那种时候出的乱子往往比漏洞本身还难收拾。顺带说一句，扫描器和防护软件不是一回事：前者帮你找洞，后者拦利用，两个都得有，谁也替不了谁。

授权和规则库，过期了没人当回事

漏洞防护软件靠规则库挡已知漏洞，库不更新等于拿旧地图找新路。授权到期之后更新就停了，界面上一般不会跳大红字，只在某个角落标个日期。建议把到期日记进日历，提前一个月处理。具体有效期、续费口径这些，以服务商或官方页面说明为准，别听转述。

虚拟补丁打错层，源站还敞着门

不少产品用虚拟补丁挡新披露的漏洞，不用改代码，听着很美。可虚拟补丁只在请求经过它的那一层有效。源站还开着公网访问，攻击者直连源站，补丁就等于没打。顺序应该是先把源站收口——安全组只放行防护节点的回源地址，其余一律拒绝，再谈规则覆盖了哪些漏洞。顺序反了，做多少都是白工。

误拦比漏拦更常见，一刀切最后都被关掉

规则调太严，正常用户提交带特殊字符的表单就被拦，业务方一投诉，运维图省事直接把策略关了，这下彻底裸奔。白名单拉得太宽也是同一个结果，等于放行。细一点的调法是按接口分策略，登录、上传、搜索各走各的规则集，别拿一个大而全的规则包打天下，那种包看着省事，实际谁都不敢动它。

想确认它真在干活，按这几步走

在测试环境发一批无害探测请求，带上典型攻击特征但打不到真实数据，看返回的状态码和拦截页面长什么样；同一个请求分别走防护和直连源站，对比两次结果；翻日志确认记录和动作；核对规则库版本号和更新时间；检查源站安全组是不是只允许防护节点回源；最后留一条业务侧反馈误拦的通道。这六步走一遍，比看任何防护评分都实在，评分这东西，谁都能做得很好看。

装上去只是起点。真正起作用的部分不在产品页的功能列表里，而在部署形态、策略动作、源站收口这几件不起眼的事上。哪天发现告警突然安静了，先别高兴，去查查是不是规则掉线了、授权过期了、还是流量悄悄换了条路走。