# 第22天：WAF 与 Shield——防御网络攻击

## 今天你将学到什么

今天学习如何保护你的网站免受攻击。WAF 防御应用层攻击（SQL 注入、XSS），Shield 防御 DDoS 攻击（用海量流量压垮你的服务器）。

---

## 常见的网络攻击类型

### 攻击一：SQL 注入

**原理**：黑客在输入框里输入特殊的数据库命令，欺骗你的程序执行恶意操作。

**举例**：登录页面的用户名输入框，黑客输入：
```
admin' OR '1'='1
```
如果你的程序没有防护，这可能让黑客绕过密码验证直接登录。

### 攻击二：XSS（跨站脚本攻击）

**原理**：黑客在网页中注入恶意脚本，当其他用户浏览这个页面时，脚本会在他们的浏览器中执行。

**举例**：在评论区输入一段恶意代码，其他用户看到这条评论时，代码自动执行，偷走他们的登录信息。

### 攻击三：DDoS（分布式拒绝服务攻击）

**原理**：黑客控制成千上万台电脑（僵尸网络），同时向你的服务器发送海量请求，把服务器压垮。

**类比**：想象有人雇了 10 万人同时打你公司的客服电话，正常客户永远打不进来。

**真实案例**：2016 年，针对 DNS 服务商 Dyn 的 DDoS 攻击导致 Twitter、Netflix、GitHub 等大量网站瘫痪数小时。

---

## AWS WAF（Web Application Firewall）

WAF 是"Web 应用防火墙"，检查每一个到达你网站的请求，阻止恶意请求。

### WAF 放在哪里

WAF 部署在流量入口处：
```
用户请求 → CloudFront / ALB → WAF 检查 → 通过 → 你的服务器
                                        → 阻止 → 返回 403 错误
```

### WAF 能防什么

| 攻击类型 | WAF 怎么防 |
|----------|-----------|
| SQL 注入 | 检测请求中的 SQL 关键字和特殊字符 |
| XSS | 检测请求中的脚本标签和恶意代码 |
| 恶意爬虫 | 识别非人类的访问模式 |
| 暴力破解 | 限制同一 IP 的请求频率 |
| 已知恶意 IP | 维护黑名单，直接拦截 |

### AWS 托管规则（开箱即用）

AWS 提供了预置的规则集，你不需要自己写规则：

| 规则集 | 防护内容 |
|--------|----------|
| 核心规则集 | OWASP Top 10 常见攻击 |
| SQL 注入规则 | 各种 SQL 注入变体 |
| 已知恶意输入 | 已知的攻击模式 |
| 机器人控制 | 恶意爬虫和自动化工具 |

**使用方式**：在 WAF 控制台勾选你需要的规则集，几分钟就能启用防护。

### 自定义规则

你也可以写自己的规则：
- 屏蔽特定国家的访问
- 限制同一 IP 每分钟最多 100 次请求
- 阻止请求体超过 10KB 的请求
- 只允许特定的 IP 地址访问管理后台

---

## AWS Shield（DDoS 防护）

### Shield Standard（免费，自动启用）

- 所有 AWS 账户自动拥有
- 防护常见的网络层 DDoS 攻击
- 不需要任何配置
- 覆盖：SYN Flood、UDP 反射、DNS 放大等

**你什么都不用做，它已经在保护你了。**

### Shield Advanced（付费，$3,000/月）

- 更高级的 DDoS 防护
- 24/7 专家团队支持（DDoS 响应团队）
- 实时攻击可视化
- **成本保护**：如果 DDoS 攻击导致你的 AWS 费用暴涨（比如 Auto Scaling 加了很多机器），AWS 帮你承担这部分费用

**适合**：金融、电商、游戏等高价值目标。学习阶段不需要。

---

## GuardDuty——智能威胁检测

GuardDuty 是 AWS 的"安全摄像头"，持续监控你的账户活动，发现异常行为。

**它监控什么**：
- 网络流量模式（有没有和恶意 IP 通信）
- API 调用行为（有没有异常的操作）
- DNS 查询（有没有连接恶意域名）

**它能发现什么**：
- 有人从异常的国家登录了你的账户
- 某台 EC2 实例在挖矿（CPU 异常高 + 连接矿池地址）
- 有人在尝试暴力破解你的 SSH 密码
- S3 桶被异常大量下载（可能是数据泄露）

**使用方式**：一键启用，不需要安装任何东西。GuardDuty 自动分析日志和流量，发现威胁后通知你。

---

## 安全服务选择指南

| 我想防护... | 用什么服务 |
|------------|-----------|
| SQL 注入、XSS 等 Web 攻击 | WAF |
| DDoS 攻击 | Shield（Standard 免费自动启用） |
| 账户异常行为（被盗用、挖矿） | GuardDuty |
| 软件漏洞 | Inspector |
| S3 中的敏感数据泄露 | Macie |
| 统一安全视图 | Security Hub |

---

## 今天的小测验

1. SQL 注入攻击的原理是什么？WAF 怎么防护它？
2. DDoS 攻击的目的是什么？它和普通黑客攻击有什么区别？
3. Shield Standard 和 Shield Advanced 的区别是什么？学习阶段需要 Advanced 吗？
4. GuardDuty 能发现哪些类型的安全威胁？

---

## 延伸阅读

- [AWS WAF 开发者指南](https://docs.aws.amazon.com/waf/latest/developerguide/)
- [AWS Shield 文档](https://docs.aws.amazon.com/waf/latest/developerguide/shield-chapter.html)
- [GuardDuty 用户指南](https://docs.aws.amazon.com/guardduty/latest/ug/)
- [OWASP Top 10 安全风险](https://owasp.org/www-project-top-ten/)

---

## 明天预告

明天学习 CloudTrail——AWS 的"监控录像"，记录你账户中的每一个操作。谁在什么时候做了什么，一清二楚。这是安全审计和故障排查的基础。