waf的网桥ip被内网蜜罐通告扫描行为

针对内网蜜罐记录的WAF网桥IP扫描器攻击日志（攻击类型: scan，扫描类型: ICMPv4），排查思路如下：

1. **检查WAF配置**：首先确认WAF设备是否正确配置了防护规则，特别是针对ICMPv4扫描的规则是否启用。检查“通用规则”的日志勾选情况，确保WAF能够记录相关日志。

2. **检查X-Forwarded-For源IP识别功能**：如果WAF部署在负载均衡设备后端，确认是否已开启X-Forwarded-For源IP识别功能。如果未开启，尝试开启以获取更准确的源IP信息。

3. **检查防火墙配置**：如果WAF部署在防火墙后端，确认防火墙是否进行了源IP转换。如果是，建议客户关闭防火墙的地址转换功能，以确保WAF能准确识别源IP。

4. **检查日志记录**：确认WAF设备的基础配置中，本地日志记录功能是否已开启，以及日志中是否有阻断日志，这可能表明WAF对某些流量进行了误识别。

5. **检查设备过载保护状态**：查询系统日志，确认WAF设备是否触发了软件bypass状态，这可能是因为CPU利用率或内存使用率过高导致的。如果触发了bypass，检查CPU使用率是否已恢复正常，以确定是否已自动退出bypass状态。

6. **确认WAF部署模式**：确认WAF是否为虚拟设备，因为虚拟WAF不支持bypass功能，而硬件WAF需要特别注意过载保护的配置。

通过上述步骤，可以系统地排查WAF网桥IP被记录为扫描器攻击日志的原因，并采取相应的措施进行处理。

加入白名单就行了

waf的IP，发布业务的时候需要探测内部服务是否可用，探测多了就容易误报