Bypass waf imunify 306

Pessoal, alguém aqui já teve experiência com o WAF da Imunify360 em contexto de pentest autorizado?

Estou tentando entender melhor como ele funciona na prática — especialmente em relação à detecção de automação, regras e possíveis falsos positivos.

Durante os testes, comecei a receber a seguinte resposta:

"message": "Access denied by Imunify360 bot-protection. IPs used for automation should be whitelisted"
* Connection #0 to host example.com:80 left intact

Pelo que entendi, isso parece estar ligado à proteção contra bots/automação.

Em cenários autorizados, como vocês costumam proceder nesses casos?
Vocês pedem whitelist de IP, ajustam o escopo com o cliente ou usam alguma estratégia específica para validar as proteções sem violar as regras do ambiente?

Também queria entender melhor quais sinais o Imunify360 costuma usar (ex: comportamento, reputação de IP, headers, rate limit, etc.).

Qualquer insight ou material já ajuda bastante 🙏