花着冤枉钱：你的WAF真的在拦东西吗？

你有没有想过，自己每个月为WAF付的那笔钱，到底换来了什么？我最近读到一篇文章，问了一个让人脊背发凉的简单问题：你的WAF，是不是开着log-only模式，就在那儿静静地记日志，从来没真正block掉任何攻击？这场景听着熟悉吗？很多企业的网络安全预算花出去，WAF部署上了，报表也做得漂漂亮亮，但实际拦截量趋近于零——它像个装了监视器的空房间，看着忙，其实没关过门。这不只是配置失误，而是一种集体性的安全幻觉。花钱买了盾，却忘了让它举起来。如果没人敢把WAF从观察模式切到拦截模式，那说明企业宁愿看着攻击日志心疼，也不愿承担误封业务的风险。这笔账，到底划不划算？

原文：You're paying for a WAF. Is it blocking anything? · 来源：Hacker News