AWS WAF指标告警维度选择：规则还是规则组？

• 若需监控自定义规则（含嵌套的所有托管规则组）的总拦截请求数，选自定义规则作为维度。这种方式能快速掌握整体防护规则的拦截效果，适合做全局告警。
• 若需定位具体哪个托管规则组触发了拦截，选托管规则组作为维度。比如拦截量突增时，可精准排查是AWSManagedRulesCommonRuleSet、SQLi防护规则组这类具体托管规则导致的，方便区分误拦截或针对性攻击。

AWS WAF会独立上报托管规则组的CloudWatch指标，不受其所在自定义规则的嵌套影响，所以两种维度都能正常获取数据，核心取决于你的监控目标：

• 关注整体防护状态 → 自定义规则维度
• 关注单托管规则组的拦截行为 → 托管规则组维度

你也可以同时配置两种告警：用自定义规则维度做全局异常告警，用托管规则组维度做精细化排查告警。

内容的提问来源于stack exchange，提问作者dingo