WAF และ Shield
ป้องกันการโจมตีเว็บและ DDoS
WAF เหมือน รปภ.หน้าประตูที่ตรวจคนเข้า-ออกตามกฎ (กันคนที่พกของต้องห้าม เช่น เอาคำสั่งแปลกๆ มาพิมพ์ใส่ช่องค้นหา) ส่วน Shield เหมือนกำแพงหนาที่ไว้กันคนแห่กันมาถล่มประตูพร้อมกันเป็นหมื่นๆ คน (DDoS)
คู่หูบริการที่มักใช้ปกป้องแอปพลิเคชันจากผู้ไม่หวังดี:
- AWS WAF (Web Application Firewall - ไฟร์วอลล์สำหรับเว็บ) — กรองทราฟฟิกระดับแอปพลิเคชัน (Layer 7) ตามกฎที่เราตั้ง เช่น บล็อกการฝังคำสั่งฐานข้อมูล (SQL injection), กันสคริปต์อันตราย (XSS), หรือจำกัดการรัวคำขอ (Rate limit) จาก IP เดียว
- AWS Shield Standard — ป้องกันการโจมตีถล่มเซิร์ฟเวอร์ด้วยทราฟฟิกมหาศาล (DDoS) เบื้องต้น เปิดให้อัตโนมัติและฟรี สำหรับทุกบัญชี
- AWS Shield Advanced — ป้องกัน DDoS ระดับสูง มีทีมผู้เชี่ยวชาญ AWS (DRT) คอยช่วย และการันตีชดเชยค่าใช้จ่ายหากโดนยิงจนบิลพุ่ง (บริการนี้มีค่าใช้จ่ายเพิ่มเติม)
สรุป Key Takeaways
- WAF กรองภัยระดับเว็บ (Layer 7): SQLi, XSS, rate limiting
- Shield กัน DDoS — Standard ฟรีอัตโนมัติ, Advanced เสียเงินแต่ครอบคลุมกว่า
- มักใช้ร่วมกับ CloudFront และ ALB
คำถามที่พบบ่อย
WAF กับ Shield ต่างกันยังไง
คนละภัย: WAF = กรองคำขอ Layer 7 ตามกฎ (SQL injection, XSS, block IP/geo, rate limit) ติดกับ CloudFront/ALB/API Gateway ส่วน Shield = ป้องกัน DDoS โดยเฉพาะ (Standard ฟรีอัตโนมัติทุกคน, Advanced เสียเงินได้ทีม response + ประกันค่าใช้จ่ายช่วงโดนตี) — โจทย์ SQL injection ตอบ WAF, DDoS ตอบ Shield
Rate limiting กันบอทยิงถล่มทำที่ไหน
WAF rate-based rule — ตั้งเพดาน request ต่อ IP ต่อช่วงเวลา เกินแล้ว block อัตโนมัติ เหมาะกับกันทั้ง brute force login และ scraping — เป็นคีย์เวิร์ดที่แยก WAF ออกจาก Shield ในข้อสอบ
ลองทำ Quiz ท้ายบท
คำถามแนวข้อสอบของโมดูลนี้ 5 ข้อ · เฉลยทันที