WAF能不能审计操作？配置变更如何追溯

一、为什么要审计

安全防护最怕的不是外部攻击，而是内部操作把防线拆了。比如有人为了排查问题临时关闭了防护开关，结果忘了改回来；或者加了一条宽泛的白名单，给攻击者留了后门。

审计日志就是这类问题的”监控录像”——出事了能查清是谁、什么时候、做了什么。

二、必须审计的操作

三、审计日志应包含的字段

每条审计记录建议包含：
  ├─ 操作时间（精确到秒）
  ├─ 操作人账号 + 来源 IP
  ├─ 操作类型（新增/修改/删除）
  ├─ 操作对象（哪条规则、哪个域名）
  ├─ 变更前值 → 变更后值
  └─ 操作结果（成功/失败）

四、日志留存要求

留存不只是”存着”，还要保证不可篡改。建议日志实时同步到独立的日志服务器或对象存储，并开启写入保护。

五、配置审计告警

除了记录，还要对敏感操作做实时告警：

触发告警的操作：
  ├─ 关闭任意防护开关
  ├─ 删除防护规则
  ├─ 添加 /0 或 /16 等大网段白名单
  ├─ 修改源站 IP
  ├─ 非工作时段的配置变更
  └─ 新 IP 首次登录管理后台

通知方式：企微 + 短信（P1 级别）

六、异常变更的排查思路

1. 发现攻击穿透防护 → 查审计日志，看是否有人改了规则或加了白名单
2. 发现防护被关闭 → 定位操作人和时间，确认是误操作还是恶意
3. 发现源站被指向异常 IP → 立即回滚并检查账号是否被盗
4. 发现异地登录 → 立即改密码、开启二次验证、检查近期所有操作
5. 定期（每周）拉取变更清单，人工复核合理性

七、小结

WAF 审计的核心是”可追溯”：记录完整、留存合规、告警及时、定期复盘。特别是黑白名单变更和防护开关切换这两类操作，风险最高，务必做到实时告警。有条件的团队还应做多账号权限分离，避免一人拥有全部权限。