安裝包裡與 WAF 有關的參數只有幾個；誤判時要改的是哪個檔案、怎麼寫、怎麼讓它生效；怎麼確認 WAF 真的在擋而不只是在轉發；WAF 或後端掛掉時整條鏈會發生什麼；以及哪些事是刻意沒做的。

一、可調的參數

全部在主機 B 的 .env（由 install.sh 產生，root 0600）。改完跑 sudo bash install.sh --reconfigure，它會重新產生設定並重建有變動的容器。

兩個不在 .env、要改 docker-compose.yml 才能動的值：ANOMALY_INBOUND=5、ANOMALY_OUTBOUND=4。它們是 CRS 出廠預設，本安裝包刻意不開放成參數：調門檻幾乎一定是錯的解法，誤判該用規則排除處理。

二、覆寫檔：唯一該手改的規則檔案

waf/modsec-overrides/modsecurity-override.conf 在 crs-setup.conf 之前載入（第 1 篇第三節）。出廠內容兩段：一段生效中的方法白名單，一段註解掉的路徑排除範例。

900200：方法白名單，為什麼非有不可

SecAction \
 "id:900200,\
  phase:1,\
  nolog,\
  pass,\
  t:none,\
  setvar:'tx.allowed_methods=GET HEAD POST OPTIONS PUT DELETE PATCH'"

CRS 的 crs-setup.conf 裡這條規則預設是註解掉的，此時 911100 的預設白名單只有 GET、HEAD、POST、OPTIONS。任何 REST API 的 PUT／DELETE／PATCH 都會命中 911100，等級 CRITICAL，一條就 5 分，直接 403。症狀是「網站看起來正常，但所有修改與刪除操作都失敗」，而且從瀏覽器看只是一個 403。本安裝包把它補回並加入三個 REST 方法。要再加方法（例如 WebDAV 的 PROPFIND）就改這一行。

900300：路徑層規則排除的寫法

SecRule REQUEST_URI "@beginsWith /beakplatform/api/notes/" \
 "id:900300,\
  phase:1,\
  nolog,\
  pass,\
  ctl:ruleRemoveTargetByTag=attack-rce;ARGS,\
  ctl:ruleRemoveTargetByTag=attack-injection-php;ARGS,\
  ctl:ruleRemoveTargetByTag=attack-xss;ARGS,\
  ctl:ruleRemoveTargetByTag=attack-sqli;ARGS"

其他常見的 ctl 寫法，由寬到窄：

audit.log 的 messages[].details.data 會標出命中的變數名（如 ARGS:note_body），最窄的那種寫法所需的資訊都在裡面。

三件會讓人白忙的事

1. 覆寫檔是 .template 掛載，容器啟動時才展開。改完要 docker compose up -d --force-recreate waf-nginx waf-welcome 或 --reconfigure；docker compose restart 不會重新展開模板
2. 語法錯誤時容器起不來，網站直接不通。改完看 docker compose logs waf-nginx，正常會印 rules loaded inline/local/remote: 0/8xx/0
3. 排除規則不影響已經建立的案件，也不會通知平台。平台上把誤判案件結案是另一件事

三、誤判處理流程

大量誤判、或準備升 PL 時，先把 WAF_RULE_ENGINE 設成 DetectionOnly 跑一到數天。此時所有本來會被擋的請求都放行、都記 log、都送平台，SOC 在處置中心看到的案件量就是上線後會被擋的量。從 ClickHouse 依 finding_rule_id 與 target_url 分組，逐條決定排除，再切回 On。

四、怎麼確認它真的在擋

「網站打得開」只證明 nginx 在轉發，不證明規則引擎在跑。三個層次，由淺到深：

層次:安裝包自帶的狀態檢查
預期:WAF 那兩列：/ 回 200／3xx／404 都算正常（404 表示後端根路徑沒頁面）；SQLi 探測 必須是 403
指令:
sudo bash /opt/integrated-waf/install.sh --status

層次:手動探測（從 ADMIN_IPS 內的機器）
預期:200、403、403、405（最後一個 405 是後端回的，證明 PATCH 通過了 WAF）。若 SQLi 回 200 而 WAF_RULE_ENGINE=On，先看容器 log 有沒有載入規則
指令:
B=http://192.168.0.112:8080
curl -s -o /dev/null -w '%{http_code}\n' "$B/beakplatform/auth/login"
curl -s -o /dev/null -w '%{http_code}\n' "$B/beakplatform/?id=1%27%20OR%201=1--"
curl -s -o /dev/null -w '%{http_code}\n' "$B/beakplatform/?q=%3Cscript%3Ealert(1)%3C/script%3E"
curl -s -o /dev/null -w '%{http_code}\n' -X PATCH "$B/beakplatform/auth/login"

層次:看 audit.log 有沒有跟著多一行
預期:每個探測一行；SQLi 那筆有 942100 與 949110，is_interrupted True。client_ip 是你打的那台機器的 IP
指令:
sudo tail -n 3 /opt/integrated-waf/waf/log/audit.log | python3 -c '
import sys, json
for line in sys.stdin:
t = json.loads(line)["transaction"]
print(t["request"]["method"], t["request"]["uri"][:60], t["response"]["http_code"], t["client_ip"], t.get("is_interrupted"))
for m in t.get("messages", []):
print(" ", m["details"]["ruleId"], m["message"][:70])'

層次:看 Vector 有沒有讀走（密碼在 .env）
預期:探測後幾秒內出現。內網探測的事件會在這裡，但不會進平台（內網對內網被 intake_filter 丟掉），要看端對端建案請用安裝包的 --test-event 或從 Internet 打
指令:
docker compose -f /opt/integrated-waf/docker-compose.yml exec clickhouse
clickhouse-client --user secstack --password "$CLICKHOUSE_PASSWORD" --query
"SELECT event_time, finding_rule_id, IPv6NumToString(actor_ip), target_url
FROM secstack.events WHERE source_system='coraza'
ORDER BY event_time DESC LIMIT 5"

五、掛掉時會發生什麼

六、刻意沒做的事

七、常見問題