恶意扫描通常表现为大量不存在路径、漏洞特征和异常请求模式。只看某个IP请求量，容易把正常访客或搜索爬虫误判。

关联日志信号

查看路径、方法、返回码、时间分布与用户行为，区分扫描和页面资源加载。

设置受控限制

对异常端点限速，必要时短期封禁并保留原因。共享出口不能粗暴永久封锁。

检验防护效果

比较被拦截流量与业务错误，重点保护高成本接口。不能因为扫描被挡就忽略应用自身漏洞。

扫描识别结合路径与行为

连续探测不存在后台、异常参数和高频失败可以形成线索，单一IP不一定代表同一攻击者。

观察正常访客影响再限制，记录规则依据；遇到攻击也要核对实际漏洞是否存在。

例如大量探测未知后台可提示扫描，但仍需检查是否有实际成功访问，不能直接宣称已入侵。

相关阅读：WAF规则维护：误拦截、例外与回源验证。