一次攻击的拦截量很大，不代表业务表现良好。规则可能阻断攻击，也可能同时阻断真实登录、支付或 API 调用。
1. 业务可用性
用关键路径的成功率衡量，而不是只看网站是否还能打开。登录、搜索、下单、支付和回调应分别统计。
2. 正常用户成功率
比较攻击前、处置中和恢复后的正常样本成功率。若规则上线后 403 增加但业务成功率下降，需要重新评估规则。
3. 恢复时间
区分发现时间、决策时间、策略生效时间和业务完全恢复时间。过长的决策链本身也是风险。
4. 误杀范围
记录受影响地区、运营商、设备和业务路径。对明确误伤提供恢复或人工处理方式。
5. 后续暴露面
复盘源站是否仍然暴露、日志是否完整、告警是否可靠，以及攻击结束后规则是否需要恢复。改进行动应有负责人和完成时间。