案例库 · 第五类：产品盲区 / 选型场景
这一类练什么： 每个安全产品到底解决什么维度、盲区在哪。学会用「产品地图 + 三范式」这把尺子，看穿营销话术。
读法： 每个案例先问自己——“这个产品，它站在哪、看得到什么、看不到什么？”
本类口诀： 每个产品都有”位置决定”的盲区。没有”一个产品解决一切”，只有”组合 + 清楚每个的边界”。
案例 21：WAF 为什么没拦住这次攻击？
问题： 公司上了 WAF，结果还是被攻击打穿了。WAF 是白买了，还是你用错了？
案例： 某公司给核心 Web 应用上了 WAF，规则也配了。结果攻击者用了一个业务逻辑漏洞（改订单金额、越权访问）打穿了系统，全程 WAF 一声没响。领导问安全团队：“WAF 不是号称能防攻击吗？”
一般人怎么想： “WAF 白买了，这个产品不行，换一个更贵的、更’智能’的！”
咱们怎么想： WAF 没白买，它只是站在了一个看不见业务逻辑的位置。它的盲区不是”产品不好”，是”它的位置决定的”。
分析过程：
- WAF 站在哪、看什么：WAF 站在应用外面，靠”看请求的长相”来判断好坏（签名范式为主）。
- 为什么拦不住逻辑漏洞：业务逻辑漏洞的请求，长得跟正常请求一模一样——一个”改金额”的请求，就是普通的 POST 请求，没有任何攻击特征（没有
SELECT、没有<script>）。WAF 是”保安在门口查身份证”，它看不出”这个拿合法工牌的人，进门后要偷东西”。 - 盲区是”位置”决定的：站在外面，就永远看不到应用内部的业务逻辑。 这不是 WAF 的错，是它的”岗位”决定的。
- 怎么办：WAF 只能堵”长相可疑”的攻击（注入、XSS）。逻辑漏洞要靠**应用内的防护（RASP）+ 开发期的测试（IAST/DAST/业务安全测试）**来堵。
一句话启发： 每个安全产品都有”位置决定”的盲区。WAF 看不到业务逻辑，RASP 管不到网络层，SIEM 只看得见日志。没有”一个产品解决一切”，只有”组合 + 清楚每个的边界”。
案例 22：RASP 拦住了 WAF 拦不住的东西
问题： 同样是”运行时防护”，RASP 凭什么能拦住 WAF 拦不住的攻击？
案例： 接上一个案例的场景。同样的业务逻辑漏洞，公司后来在应用里部署了 RASP（运行时应用自保护）。这次攻击者再提交”改金额”的请求时，RASP 在应用进程内部检测到了异常——它看到”订单金额从数据库读出来的值”和”前端提交的值”不一致，直接在这个请求即将修改订单前拦了下来，并抛出了告警。
一般人怎么想： “有了 WAF 不就够了吗？RASP 又是啥，听起来差不多，是不是重复建设？”
咱们怎么想： WAF 和 RASP 的区别是”位置”——一个在外面看脸，一个在里面看行为。看得越深，能发现的问题越深，代价也越高。
分析过程：
- RASP 站在哪、看什么：RASP 站在应用里面（进程内探针），它能感知应用运行时的上下文——变量、方法调用、数据流。
- 为什么能拦住：这正好补上 WAF 的盲区——WAF 看”请求长什么样”，RASP 看”请求在应用里实际触发了什么”。逻辑漏洞的请求长相正常，但它触发的行为是”异常的”（金额被篡改），这个只有”站在里面”才能看到。
- 代价：RASP 的部署成本比 WAF 高（要插桩、有性能开销、要绑定语言），所以它是 WAF 的互补，不是替代。
- 额外价值：RASP 还能输出”攻击发生在代码哪一行”的上下文，这对复盘定位根因极有价值。
一句话启发： WAF 和 RASP 的区别是”位置”——一个在外面看脸，一个在里面看行为。看得越”深”（越接近业务/代码），能发现的问题越”深”（逻辑漏洞），代价也越高。 选产品，就是选”你愿意为’看得更深’付多少成本”。
案例 23：0day 面前，签名失效，行为检测救场
问题： 一个全新的 0day（无签名、无规则），凭什么能被”发现”？
案例： 攻击者用一个没人见过的 0day 打进了公司内网。WAF、IDS 全都没反应——因为它们的规则库（签名）里根本没有这个攻击的特征。但 EDR 的行为检测报了警：它发现一台普通办公电脑，突然开始扫描内网其他主机的 445 端口，还尝试用 PowerShell 下载并执行一个可疑脚本。这一串”行为”（横向移动 + 下载执行）触发了行为检测，最终定位到了入侵。
一般人怎么想： “0day 是防不住的，没有它的特征，谁来了都白搭，认命吧。”
咱们怎么想： 这个想法只对了一半——签名确实防不住 0day，但”行为”可以。 关键要分清：签名看”攻击长什么样”，行为看”攻击干了什么”。
分析过程：
- 三范式的实战对比：签名范式（匹配已知坏东西）对 0day 完全失效，因为 0day 的特征不在库里；行为范式（找可疑的动作序列）立功了，因为它不看”攻击长什么样”，看”攻击干了什么”。
- 为什么行为能发现 0day：0day 的漏洞利用部分可能瞒天过海，但攻击的”后续动作”（横向移动、提权、外联 C2）往往有迹可循。你藏得住”怎么进来的”，藏不住”进来之后干了什么”。
- 所以”检测”不能只靠签名：要有行为。EDR 的隔离、杀进程能力，让”发现”能立刻变成”处置”。
- 本质：面对未知威胁，你的兜底不是”更多的规则”，而是”更全的行为可见性”。这也是 XDR/EDR 近年的价值所在。
一句话启发： 签名防”已知”，行为防”未知”。当攻击者用 0day 绕过你的签名时，能救你的，是”你能否看到他的后续动作”。别只问”我能不能认出这个攻击”，要问”我能不能看到攻击者在干什么”。
案例 24：蜜罐抓到的一次横向移动
问题： 攻击者已经在你的内网里了，你怎么发现他？
案例： 某公司内网部署了蜜罐——几台”故意留着弱口令、放着假数据”的诱饵机器。一天，安全团队收到蜜罐告警：有主机尝试登录蜜罐、并访问蜜罐上的”假数据库”。顺着这条线索反查，发现登录源是一台正常业务服务器——它已经被攻击者拿下了，正在用这台”跳板机”扫描内网、试图横向移动。蜜罐把”已经潜伏在内部的攻击者”给钓了出来。
一般人怎么想： “我只要把门口守好、把漏洞补好，攻击者就进不来，还需要搞这些花里胡哨的吗？”
咱们怎么想： 这个思路有个致命的盲区——“门口守好”是假设攻击者还没进来。 但安全要”假设已经被攻破”（Assume Breach）。蜜罐，就是给”已经潜伏在内部的人”设的钓鱼执法。
分析过程：
- 蜜罐是什么：一种主动诱捕——它不被动等攻击，而是故意布置诱饵，让攻击者自己送上门。正常业务流量根本不会碰蜜罐，所以任何对蜜罐的访问，几乎都是攻击。
- 价值在于降误报：常规检测里，“一次内网登录”可能被海量正常流量淹没；但”登录蜜罐”这个信号，命中即高危，因为它太不寻常了。
- 它能回答一个关键问题：蜜罐帮你回答”我的内网，现在是不是已经有人进来了？“——这是”守”（持续验证）里最难回答、也最重要的问题。
- 配套动作：蜜罐本身不做”拦”，它做”发现 + 溯源”，然后联动 EDR/SOAR 去隔离那台失陷主机。
一句话启发： 安全不能只守”门口”，要假设”门内可能已经有人”。蜜罐这类”诱饵”，就是给潜伏者设的”钓鱼执法”。 问一句扎心的：如果攻击者已经在你内网里了，你今天能发现他吗？
案例 25：签名 vs 行为 vs 异常，一次选型怎么选？
问题： 预算只够买一个检测产品，你该选”规则强”的，还是”会学习”的，还是”看行为”的？
案例： 安全团队要上一个检测产品，销售 A 说”我们有 10 万条规则库”（签名），销售 B 说”我们 AI 自动学习基线”（异常），销售 C 说”我们基于 ATT&CK 做行为分析”（行为）。三选一，怎么选？
一般人怎么想： “B 有 AI！AI 最智能、最先进，肯定是 B 最好，选 B。”
咱们怎么想： 先把营销话术翻译成”三范式”——A 是签名、B 是异常、C 是行为。然后别问”哪个技术牛”，问”我的痛点和资源是什么”。 没有绝对的好坏，只有”合不合适”。
分析过程（问自己三个问题）：
- 你最怕什么威胁？ 已知攻击多 → 签名（A）见效快、误报低；未知/0day 多 → 需要 B 或 C。
- 你的数据质量如何？ 异常（B）极度依赖”基线”和”训练数据”，数据脏、流量杂，B 会误报爆炸。AI 不是魔法，垃圾进垃圾出。
- 你有人研判吗？ 行为（C）的告警更”语义化”（告诉你”谁在横向移动”），但需要人读懂、研判。没人的话，C 的告警就是另一种噪音。
- 多数成熟团队的选择：以签名打底 + 行为/异常补盲——签名管住 80% 的已知，行为/异常兜住剩下 20% 的未知。单靠任何一个，都有致命盲区。
一句话启发： 把营销话术翻译成”三范式”再选型，你就不会被”AI""智能”这些词带节奏。先想清楚自己要防什么、有什么资源，再决定用哪种”看”的方式。选型的关键不是”哪个技术牛”，是”合不合适”。
本类小结：产品是”位置 × 动作 × 范式”
把五个产品案例串起来，你会得到一张”产品透视尺”：
| 产品 | 站在哪 | 看什么（范式） | 盲区 |
|---|---|---|---|
| WAF | 应用外 | 请求长相（签名） | 看不到业务逻辑 |
| RASP | 应用内 | 运行时行为 | 成本高、绑语言 |
| EDR | 主机 | 行为序列 | 需人研判 |
| 蜜罐 | 内网 | 诱饵命中 | 不做拦截 |
| 检测选型 | 全看范式 | 签名/异常/行为 | 各有各的坑 |
看任何一个安全产品，问三个问题就够了：它站在哪？（对象）它干哪格？（动作）它用什么范式？（签名/异常/行为） 三个坐标一填，营销话术就忽悠不了你。
记住：没有全能的产品，只有”组合 + 清楚每个的边界”。 买产品之前，先搞清楚——你到底想”看”到什么？ 想不清楚，买回来的都是摆设。