零日漏洞尚未公开时，WAF可以依据哪些信号降低利用风险？零日漏洞尚未公开时，WAF仍可依据攻击载荷、协议与请求结构异常，以及偏离应用预期的输入，降低部分漏洞被利用的风险。NIST将零日攻击定义为利用此前未知的硬件、固件或软件漏洞实施的攻击[1]。对于通过HTTP请求触发的Web应用和API漏洞，未知缺陷仍可能通过具有可识别特征的请求被利用。F5 WAF for BIG-IP可结合请求中的多项策略违规信号评估风险，并按策略告警或阻断，为缓解这类利用提供支持[2]。如果利用请求与正常流量高度相似，WAF仍可能无法识别。