AWS帳號認證開通 亞馬遜雲WAF網絡應用防火牆配置

亞馬遜雲WAF基礎概念

什麼是WAF？

WAF（Web Application Firewall）就是網站的「守門員」，專門攔截惡意流量。亞馬遜雲WAF就像高級保安，能識別並攔截常見攻擊，比如SQL注入、XSS跨站腳本，甚至惡意爬蟲。它支援CloudFront、API Gateway、Application Load Balancer等AWS資源，讓你的網站穩如泰山。

WAF的核心功能

除了基礎防護，WAF還能自訂規則、設定IP黑白名單、分析流量模式。最厲害的是「Managed Rules」，AWS官方維護的規則集，隨時更新，抵禦最新威脅。別小看這些功能，能讓黑客連門都摸不到！

配置亞馬遜雲WAF的步驟

第一步：建立WAF資源

先登陸AWS控制台，點擊「WAF & Shield」，然後選擇「Web ACLs」。點擊「Create web ACL」，填入名稱（比如「MySiteWAF」），選擇區域（Region），這步很重要！因為不同區域的WAF是獨立的。接下來，選擇要關聯的資源，比如CloudFront分發、API Gateway，或ALB。關聯後，WAF就能守護這些資源。

第二步：配置規則集

在Web ACL頁面，點擊「Add rules」。這裡分兩種規則：Managed Rules和Custom Rules。Managed Rules是AWS預設的，比如「AWS Managed Rules Common Rule Set」，可以一鍵啟用，抵禦常見攻擊。Custom Rules則要自己設定，比如IP黑名单：選擇「IP match condition」，輸入要封鎖的IP或範圍，動作設為「Block」。這樣，這些IP一來就擋住！

第三步：關聯資源

配置完規則後，別忘記關聯到實際資源。例如，如果是CloudFront，回到CloudFront控制台，選擇你的分發，點擊「Edit」，在「Web ACL」欄位選擇剛創建的WAF。搞定！

實戰案例：防禦常見攻擊

AWS帳號認證開通 防止SQL注入攻擊

假設你的網站有個搜尋功能，黑客想用' OR '1'='1 來竊取資料。這時，WAF的SQL注入規則就能攔截。步驟超簡單：在Web ACL中點擊「Add rules」，選擇「Managed rules」，找「SQLi rules」，啟用並設為「Block」。搞定！

但小心！如果規則太嚴，可能誤殺正常使用者。例如，當用戶輸入「SQL」字樣時，系統可能誤判。解決方法是：先用「Count」模式觀察流量，確認無誤再切換為「Block」，安全又不影響體驗。

阻止惡意爬蟲

有些爬蟲會瘋狂抓取你的內容，甚至拖垮伺服器。WAF的「Bot Control」規則集能識別機器人流量。設定步驟：在Managed Rules中選擇「AWS Managed Rules Bot Control Rule Set」，啟用「Bot Control」，並設定「Action」為Block。這樣，惡意爬蟲就會被拒之門外。

不過，好心的搜索引擎爬蟲（如Googlebot）也需要放行！可以添加「IP Allow」規則，讓特定IP通過。或者用「Custom Rule」針對特定User-Agent排除，讓合法爬蟲順利通行。

進階優化技巧

規則調優

剛開始配置時，建議先用「Count」模式觀察流量，不實際攔截，看看會有多少流量被觸發。這樣可以避免誤殺。例如，啟用SQLi規則後，觀察CloudWatch日誌，如果有正常流量被標記，就調整規則參數，比如降低敏感度，或者添加例外條件。

另外，可以設置「Rate-based rules」來防禦DDoS。例如，同一IP在1分鐘內請求超過100次，就Block。這招超有效，尤其對撞庫攻擊！

監控與日誌分析

WAF日誌是寶藏！啟用日誌到S3或CloudWatch，就能用CloudWatch Alarm設定警報。比如，當Block的流量突然暴增，可能代表遭受攻擊，立刻反應。也可以用AWS Athena分析日誌，找出攻擊模式，優化規則。

常見問題解答

如何處理誤殺問題？

誤殺是常見問題，尤其在規則過於嚴格時。解決方法：先看日誌，找出被誤判的請求，然後在規則中添加例外。例如，如果某個正常參數被SQLi規則觸發，可以針對該參數設置「Exclusion」。或者用「Custom Rule」針對特定URL繞過規則，確保正常功能不受影響。

WAF對性能有影響嗎？

WAF會增加少量延遲，但AWS已經優化得很好。實際測試中，延遲通常在10-50ms內，對大多數應用可接受。如果對性能要求極高，可以考慮只對關鍵資源啟用WAF，或調整規則數量，減少處理負擔。另外，CloudFront的邊緣位置會先做WAF檢查，減少後端壓力，效能更佳！