一位客户要求我帮助他们完成 WAF 流程。目前，他们有一些关键的 Web 应用程序受到几个 WAF 的保护。我已经设法调整 WAF 并准备好投入生产。该公司相当大，并且正在扩大。因此，我想通过创建一个流程来解决他们的 Web 应用程序安全性的可管理性问题，该流程将公司的 IT 部门与业务方面集成在一起。同时，我想将目前看来是我将要创建的三个不同的过程组合成一个。
过程 1
假设 WAF 检测到 XSS 尝试并发出警报：我不希望 Operational Security 简单地继续阻止来自该 IP 的流量；该决定应属于业务的职权范围，而不是 OpSec 的职权范围。由于 WAF 是在不久前实施的，我不愿意让它默认阻止它不喜欢的任何东西。目前，他们没有为此目的的专用数据库，因此应创建电子表格跟踪器。
定义如何做到这一点的过程可能很简单：
1. Operational Security is notified of an alert against one of their
assets.
2. Operational Security immediately checks their Security Information
Event Management for signs of compromise.
3. If there is a sign of compromise, an high-priority Security Incident
is raised and the IP is blocked.
4. If there is no sign of compromise, the IP is not blocked, but a
low-priority incident is raised and forwarded onto the service owner
of the web application being attacked.
5. Business makes a decision whether this should blocked or not based
on certain information such as “has this IP been seen before?”
6. Security Management logs all the activity on their Tracker.
过程 2
每当将应用程序添加到其 WAF 以进行保护时，或者将应用程序从 WAF 的保护中删除时，都需要建立另一个流程。仅此过程就是一个直接的过程。安全管理在其 Tracker 上记录所有活动。
过程 3
最后，一个可能稍微复杂一点的过程涉及跟踪已受 WAF 保护的应用程序的重大更改（例如添加/删除的页面/参数）。这将影响 WAF 对警报的处理。到目前为止，我想到了类似的东西：
1. If a project is to change any of the application’s contents, they
should notify and liaise with Security Management
2. Security Management sends a Questionnaire for the project to fill in.
3. Project forwards the filled Questionnaire to Security Management.
4. Security Management can then tune the WAFs to reflect these changes.
5. Security Management continues to monitor the application for say,
one week and if so, the changes are consolidated.
6. Should any issues occur, Security Management is to liaise with the
project to address the problem.
7. Security Management logs all the activity on their Tracker.
问题：
- 这三个过程（不）合适还是我错过了整个事情的任何步骤/过程？
- 让一个流程解决所有这些问题真的更好，还是应该将它们保留为三个（或更多）单独的流程？
- 有没有人遇到过跟踪器和/或问卷模板，或者对我应该如何布置它们有任何建议？到目前为止，我想拥有一个 Tracker 工作簿和一个问卷，每个问卷有三个不同的选项卡，每个子流程一个。
- 有没有更好的方法来做到这一点？
- 最后，企业决定是否封禁IP的依据是什么？