启用AWS ELB的WAF后Site24x7显示网站宕机，涉特定规则求原因

你的问题核心是Site24x7的监控请求被这三个AWS托管WAF规则拦截，导致监控工具判定网站宕机。下面逐一说明这些规则的作用，以及可能的触发原因和解决思路：

涉及规则的具体作用 #

• AWS#AWSManagedRulesSQLiRuleSet#GenericRFI_BODY：属于AWS托管的SQL注入防护规则集，主要扫描请求体中是否存在**远程文件包含（RFI）**攻击特征——比如请求里包含加载外部恶意脚本/文件的代码片段。
• AWS#AWSManagedRulesSQLiRuleSet#SQLi_BODY：同属SQL注入规则集，专门检测请求体中的SQL注入Payload，比如UNION、SELECT、DROP这类常见的恶意SQL关键词组合。
• AWS#AWSManagedRulesCommonRuleSet#CrossSiteScripting_BODY：属于通用防护规则集，负责识别请求体中的**跨站脚本（XSS）**攻击特征，比如<script>标签、恶意DOM操作代码、特殊字符编码的攻击内容。

为什么Site24x7会被拦截？ #

Site24x7的监控请求可能携带了被规则误判的内容：

• 部分监控工具会在请求中加入特定标识字符串、模拟用户行为的参数，这些内容刚好匹配了规则的检测特征；
• 监控请求的编码方式、参数格式，被规则当成了攻击Payload的变种。

解决思路 #

1. 排查拦截细节：查看AWS WAF的CloudWatch日志，找到Site24x7请求被拦截的具体匹配特征，确认是哪部分内容触发了规则；
2. 添加监控IP白名单：在WAF中创建一条优先级更高的允许规则，将Site24x7的监控IP地址加入白名单，让监控请求直接绕过这三条规则；
3. 调整规则动作：先把这三条规则的动作从“拦截”改为“计数”，收集一段时间的日志，确认误判范围后，再给规则添加例外条件（比如排除监控请求的特定Header、参数特征）；
4. 调整规则敏感度：部分AWS托管规则支持调整检测阈值，若误判是因为规则过于严格，可以适当降低敏感度，减少正常请求被拦截的概率。

内容的提问来源于stack exchange，提问作者vinayak bachhav