針對垃圾郵件請求，獨立防火牆產品相對於 AWS 安全組的優勢
我有一個問題是這個問題的延伸：AWS 安全組不足以作為防火牆的範例？. 最初，該問題的答案對我來說是有意義的，我假設作為 AWS 安全組的防火牆現在對於我的應用程序基礎設施（具有公共/私有子網的 AWS VPC + Internet 網關 + NAT 設備）來說已經足夠好了+ 彈性負載均衡器）。
然而，今天早上當我醒來並檢查我的伺服器日誌時，我看到我收到了大約。一千個垃圾郵件 GET 請求在一夜之間到不存在的路徑，這導致來自我的伺服器的 404 響應。請求源源不斷，沒有停止的跡象。請求的 IP 地址不同，但在特定範圍內。因此，我更新了我的彈性負載均衡器上的網路 ACL 入站規則，並添加了一條以拒絕訪問該範圍內的 IP 地址。此時，請求停止訪問我的應用伺服器。
我不知道攻擊者是否試圖對我進行 DOS 攻擊，或者這只是標準的垃圾郵件。自從我的系統上線以來的過去幾周里，我每隔幾個小時就會收到類似的請求，但這些請求的數量/頻率是我從未見過的。我對伺服器操作比較陌生。我很高興我能夠阻止攻擊繼續載入我的應用程序伺服器，但我想知道我是否有一個 Web 應用程序防火牆（作為 WAF 三明治實現：Load Balancer-WAF-Load Balancer） ，如果整個情況都會為我處理的話。
由於我是這個領域的新手，當我在此處閱讀不同 WAF 產品的產品行銷詳細資訊時，我並不清楚答案：https ://aws.amazon.com/marketplace/search/results/ref=srh_navgno_search_box?page =1&searchTerms=網路+應用程序+防火牆。我真的在尋找關於我的基礎設施中是否需要 WAF（即我實際上不能依賴 AWS 安全組來保護我的系統免受垃圾郵件/DDOS 攻擊）以及我在產品中需要哪些基本功能的實用建議。提前致謝！
PS 我的應用程序不是基於 SQL 建構的，所以我不擔心 SQL 注入攻擊。
如果您需要一些東西來檢查 HTTP 請求的內容並從中進行推斷，決定是否阻止請求（可能基於一段時間內的請求），那麼是的，您需要 AWS 安全組以外的東西. 安全組實際上只是 iptables 類型的防火牆規則，僅基於源/目標 IP 地址 + 埠查看允許/拒絕單個連接。
選擇哪種 WAF 合適是一個更大的問題。您可以使用直接安裝在您的網路伺服器上的東西（例如 Apache 上的 mod_security），也可以使用單獨的設備。決定使用什麼將完全取決於您想要保護自己免受威脅的性質。