挂马检测工具：排除内部流量前后怎样检查是否误删真实访问
📱 Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
🔗 /617a12a54067.html
📄
挂马检测工具：排除内部流量前后怎样检查是否误删真实访问
先给结论：排除内部流量本身不会“删掉”真实访问，真正会误删的是过滤规则写得太宽。要判断有没有误删，不能只看总量下降，而要把同一时间窗的原始日志、过滤后日志和过滤条件逐条对照，看被剔除的记录里是否混有真实用户特征。如果被剔除记录中出现了正常浏览器标识、站内跳转来源或非内网出口地址，就说明规则误伤；如果被剔除记录高度集中在同一内网段、同一无头客户端标识，则更可能是过滤正确。
矛盾现象：总量下降，未必是误删
排除内部流量后，访问量下滑是最直观的现象，但它同时支持两种相反的解释。解释一：过滤规则命中了真实访问，把正常用户一起剔除；解释二：过滤规则只命中了内部或自动化流量，总量下降是预期结果。两种解释在“总量”这一个指标上完全无法区分，所以只盯总量会得出错误结论。
要区分它们，需要换一个观察维度：不看剩下多少，而看被剔除的是什么。这一步决定了后续是回滚规则还是继续观察。
能区分两种解释的证据
把过滤前后的日志按同一时间窗对齐，逐条检查被剔除记录，重点看三类可核对的字段：
- 来源地址：是否集中在已知内网段、办公出口或代理池。若被剔除记录里混有分散的公网地址，误删嫌疑上升。
- 客户端标识：是否统一为无头客户端、脚本标识或空标识。若出现主流浏览器标识且伴随完整资源请求，需要进一步确认。
- 行为路径：是否只请求单一接口、无静态资源、无站内跳转。真实访问通常带有页面与资源的组合请求。
假设一个场景：某站点在过滤后访问量下降约三成。若被剔除记录全部来自同一内网段且客户端标识为空，这更支持“过滤正确”；若被剔除记录中有一批来自不同公网地址、带正常浏览器标识并请求了页面资源，则更支持“误删”。这里的三成只是用来说明比较方法，不代表任何真实站点的数值。
先做一个可回滚的对照动作
不要直接改线上规则。先复制一份当前过滤条件，在离线日志上重跑，生成“被剔除记录清单”。动作是：把清单按来源地址和客户端标识分组，人工抽查每组前若干条。结果是——如果抽查发现真实用户特征，就收窄规则（例如只按内网段排除，而不是按客户端标识排除）；如果抽查全部指向内部或自动化流量，就保留规则并继续观察下一时间窗。这个动作的价值在于：它把“总量下降”这个模糊信号，转成了可逐条核对的证据，下一步该回滚还是该保留，由清单决定，而不是由总量决定。
口径不同会制造假象
站内统计、第三方估算流量和搜索引擎报告的口径并不一致，过滤前后对比时如果混用来源，很容易把口径差异误读成误删。可执行的做法是：固定用同一份原始日志做前后对比，不用第三方估算值去反推被剔除量；搜索引擎报告通常只覆盖自然搜索部分，不能代表全部访问。另外，请求量或某项统计归零，也可能是采集中断、日志轮转或规则把整段流量一次性剔除，不能单独作为“处理正确”的证据，需要结合被剔除清单判断。
检查顺序与适用条件
- 固定时间窗和日志来源，避免口径混用。
- 导出被剔除记录，按来源地址、客户端标识、行为路径分组。
- 抽查每组样本，判断是否含真实用户特征。
- 据抽查结果收窄或保留规则，并记录变更以便回看。
这套顺序适用于你能拿到过滤前后原始日志的情况。如果只有汇总统计、拿不到被剔除明细，就无法区分误删与正常过滤，此时应先补上明细日志再判断，而不是凭总量下结论。规则收窄后，若被剔除量明显减少而内部流量特征仍在，说明过滤仍然有效；若真实访问特征重新出现，则说明此前的收窄方向正确。
