一家公司使用 AWS WAF 来保护在 Application Load Balancer 后运行于 Amazon EC2 上的自定义公共 API。该 Web ACL 使用 AWS 托管规则组。在 API 及其客户端进行软件升级后，一些请求失败并导致不稳定。Web ACL 上未启用日志记录。安全工程师启用了 AWS WAF 到 Amazon CloudWatch Logs 的日志记录，并且必须立即恢复服务，识别问题，并确保将来无法禁用日志记录。工程师还应该采取哪些额外步骤？

正确答案是更新 Web ACL，使某些规则使用 Count 操作，审查日志以识别阻塞规则，并修改所有 AWS WAF 管理员的 IAM 策略，以防止删除任何 AWS WAF Web ACL 的日志记录配置。 当 API 请求因 WAF 规则而失败时，将规则操作从 Block 更改为 Count 允许请求通过，同时记录匹配的规则，从而立即恢复服务。审查 CloudWatch Logs 中的 WAF 日志可以识别导致问题的具体规则。为了防止将来禁用日志记录，应修改 IAM 用户策略，因为 IAM 策略控制用户和角色对 AWS 资源的权限，包括 WAF 日志记录配置。 其他选项不正确，因为： 使用 Challenge 操作可能会引入新的客户端兼容性问题，并且在紧急恢复服务时不是首选。 AWS WAF 资源策略不用于控制用户删除日志记录配置的权限；这是 IAM 策略的功能。