WAF 與 DDoS 防護差異比較：兩者防禦的攻擊有什麼不一樣？

WAF 與 DDoS 防護差異比較表

DDoS 防護：擋的是「量」

DDoS（Distributed Denial of Service，分散式阻斷服務攻擊）的原理是動員大量來源端，同時對目標發送遠超其負載能力的流量或請求，讓正常使用者無法連線。

攻擊型態大致分為三類：

1. 容量耗盡型（Volumetric）
    以 UDP Flood、ICMP Flood、DNS / NTP 放大攻擊為代表，目的是塞爆企業對外的網路頻寬。這類攻擊規模常以 Gbps 或 Tbps 計算，一旦頻寬被打滿，即使伺服器本身還活著，外部也連不進來。




2. 協定攻擊（Protocol）
    如 SYN Flood，透過不完成 TCP 三向交握的方式，耗盡防火牆或負載平衡器的連線表資源。這類攻擊流量不一定大，但精準打擊網路設備的狀態表上限。




3. 應用層攻擊（L7）
    如 HTTP Flood、CC 攻擊，針對登入頁、搜尋、查詢等高成本 API 反覆發送「看起來完全正常」的請求。這類攻擊流量可能只有幾百 Mbps，卻能讓後端資料庫直接倒下，而這也是與 WAF 職責重疊的灰色地帶，後面會再說明。

DDoS 防護的核心能力，在於「清洗」，也就是防禦會在大量流量抵達源站之前，於邊緣節點透過流量分析、速率限制、行為指紋比對等機制，把攻擊流量過濾掉，只放行正常請求。因此清洗中心的節點分布、總體疏導頻寬與自動觸發速度，是評估 DDoS 防護方案最關鍵的三個指標。

WAF：擋的是「內容」

WAF（Web Application Firewall，Web 應用防火牆）運作在 OSI 第七層，逐一檢查每個 HTTP/HTTPS 請求的內容，判斷其中是否包含惡意 payload。它防的是 OWASP Top 10 這類應用層漏洞攻擊：

• SQL Injection：在查詢參數中植入 SQL 語法，直接讀取或竄改資料庫

• XSS 跨站腳本：注入惡意 JavaScript，竊取其他使用者的 session

• 路徑遍歷／檔案包含：讀取伺服器上不該公開的設定檔

• 惡意檔案上傳：透過上傳功能植入 webshell 取得主機控制權

• API 濫用與敏感資料外洩：針對未妥善鑑權的 API 端點大量撈取資料

為什麼 DDoS 防護擋不住 SQL Injection

WAF 與 DDoS 的關鍵差異是，一次成功的 SQL Injection 只需要一個請求，而這個請求的流量微不足道，不會觸發任何速率限制或流量門檻，因此 DDoS 防護機制就完全不會有反應，這是因為從「量」的角度來看，它跟一般使用者沒有任何區別。

換句話說，DDoS 防護是在人流入口處管制人潮，WAF 則是在門口檢查每個人身上有沒有帶違禁品。兩者都必要，但檢查的東西不一樣。

WAF 與 DDoS 防護常見誤解

在業務推廣上，我們發現許多人對於 WAF 與 DDoS 防護服務有幾項常見的誤解，誤會兩者可以互相取代。以下是常見誤解。

誤解一：有 CDN 就已經有 DDoS 防護了

這個誤解有部分正確。

CDN 天生具備分散架構與快取能力，對容量型攻擊確實有分散與吸收效果，但快取只對靜態內容有效，像是登入、下單、查詢餘額、API 呼叫...等，這些動態請求一定會回源，而 L7 DDoS 打的正是這些端點。若 CDN 未搭配獨立的清洗機制與 L7 速率控制，攻擊仍會穿透到源站。

如果不確定自家網站或線上系統是否有防禦正確，歡迎與 SkyCloud騰雲運算 聯絡，我們提供免費的資安健檢服務：marketing@skycloud.com.tw

誤解二：WAF 有速率限制功能，可以當 DDoS 防護用

多數 WAF 確實內建 Rate Limiting，能處理小規模的 CC 攻擊，但是當攻擊量體達到數十 Gbps 時，WAF 本身就會先被打垮。原因是 WAF 是設計來做「精細檢查」而非「大流量疏導」的設備，因此用 WAF 擋容量型 DDoS，等於用檢查哨去擋洪水。

誤解三：DDoS 防護能擋掉攻擊流量也能防駭客

DDoS 防護的判斷邏輯建立在「異常」之上，因此一個合法登入、夾帶注入語法的請求，在流量統計上完全正常，不會被標記，而駭客正是透過正常流量途徑進入竊取資訊。

在實務層面上，DDoS 攻擊確實經常被用作掩護，當駭客發動 DDoS 攻擊並讓資安團隊忙於處理服務中斷時，開始同步進行入侵行為。

WAF與DDoS防禦的重疊部署地帶：L7應用層

L7 應用層是 WAF 和 DDoS 兩種防護唯一重疊的區域，這裡也是最需要協同運作的地方。

以一個電商登入頁遭受撞庫攻擊（Credential Stuffing）為例：

• 攻擊者以每秒數千次的頻率嘗試登入
   → 這是流量行為異常，屬 DDoS 防護的判斷範圍

• 每個請求都帶著外洩資料庫的帳密組合
   → 這是惡意意圖，屬 WAF 的判斷範圍

單靠速率限制，攻擊者只要放慢速度、擴大來源 IP 池就能繞過；單靠 WAF 規則，又難以辨識一個「格式完全正確」的登入請求有什麼問題。唯有兩層機制共享流量情資，也就是利用 DDoS 端提供來源信譽與行為指紋，WAF 端則提供內容判讀與帳號層級的異常偵測，如此才能有效攔截。

這也是為什麼 SkyCloud騰雲運算在架構規劃上，會將 CDN、DDoS 清洗、WAF 收斂在同一個邊緣平台的原因。分散部署會產生三個實務問題：情資無法互通、事故發生時責任歸屬不清，以及每多一跳就多一段延遲。

實務案例：已有 WAF，仍在演練中暴露 DDoS 缺口

前述誤解在實務上並不罕見。台灣南部某區域級公立醫療機構，因每年須配合長達半年的國家級資安攻防演練，委由 SkyCloud 協助盤點網站防護架構。

發現的缺口

院方原已建置防火牆與雲端 WAF，應用層防護並非空白。院方的問題出在兩處：一是防護設備來自不同廠商，管理分散、事故時難以快速定位；二是缺乏 Layer 3 與 Layer 4 的 DDoS 防護能力。

這正是本文說明的風險：當網路層頻寬已被惡意流量占滿，WAF 即使成功攔下所有應用層攻擊，網站依然無法對外服務。防護能力存在，但攻擊在抵達 WAF 之前就已經生效。

另一項發現與 WAF 本身無關，卻同樣影響演練期間的應變品質，也就是院方的 SSL/TLS 憑證仍以人工方式管理，而憑證有效期限正逐年縮短，更新頻率只會持續增加。

改善後的結果

該醫療機構在導入 CDN、Anti-DDoS 與 WAF 的整合架構後，防護收斂至單一控制平面，L3/L4/L7 三層流量清洗在攻擊進入網站前完成攔截，並搭配即時流量監控，讓院方在演練期間能於規定時限內完成通報與處置。

最終網站安全評等提升至 A+，憑證改為自動申請與續期，官網與教育訓練系統的存取速度也一併改善。

延伸閱讀：公立醫療機構導入 SkyCloud，建構即時監控與 DDoS 防護，提升國家級攻防演練應變能力

WAF及DDoS防護導入前的評估清單

「該買 WAF 還是 DDoS 防護」通常不是預算問題，大多會是沒有把風險排出順序。以下四個面向建議依序檢視，每一項都附上實際該向服務商問什麼。

風險盤點：先判斷哪一種損失難以承受

WAF 與 DDoS 防護對應的是兩種截然不同的損失，前者是資料外洩，後者是服務中斷；建議先確認哪一種對組織的傷害更大，決定導入順序。

一、網站是否處理個資、金流或病歷等敏感資料？
若答案為是，WAF 應優先。原因在於損失的性質不同，服務中斷可以在數小時內恢復，但個資一旦外洩就無法回收，後續還牽涉主管機關通報、當事人告知，以及個資法的損害賠償責任。醫療院所的病歷、金融業的交易紀錄都屬於這一類。

二、服務中斷一小時，營收或信譽的損失有多大？
把這個數字實際算出來。線上交易平台可直接換算成訂單金額，醫院的網路掛號中斷則要計入現場人力負擔與民眾抱怨，若中斷一小時的代價已高於年度防護預算的可觀比例，DDoS 防護就是優先項。票務、直播、線上遊戲這類服務通常屬於此類。

三、是否有對外公開的 API 端點？
API 是目前成長最快的攻擊面，且同時暴露在兩種風險下，像是查詢類 API 常成為 L7 DDoS 的打擊目標，鑑權不完整的 API 又可能被大量撈取資料。這種情況兩者皆需，並且要確認 WAF 是否支援 API 專屬防護規則。一般 Web 規則對 JSON、GraphQL 這類請求格式的判讀能力有限，需要獨立的 schema 驗證與端點層級速率控制。

技術規格：詢問具體數字與功能細節

在選擇防禦供應商時，可以將以下幾個項目可以要求對方寫進報價或建議書。

【DDoS防護】

• 總疏導頻寬：清洗中心能吸收的攻擊總量上限。這是硬指標，若上限低於預期的攻擊規模，其餘功能都沒有意義。

• 清洗節點位置：境內或境外。節點在境外意味著流量需先繞出國再導回，會增加延遲；對政府與醫療機構而言，也可能觸及資料落地的合規問題。

• 自動觸發時間：從偵測到異常至啟動清洗需要多久。秒級與分鐘級的差別很實際，三分鐘的空窗期，足以讓網站完整離線三分鐘！不僅如此，也要確認供應商是「自動觸發」還是「需人工確認後啟動」。

【WAF】

• 規則更新頻率：新漏洞公布後多久能提供對應規則。這決定了零日漏洞的暴露窗口有多長。

• 是否支援自訂規則：只能套用預設規則組的 WAF，無法針對自家應用邏輯調整，遇到業務特有的攻擊模式就沒有辦法。

• 誤擋處理流程：正常使用者被擋下時，誰負責調規則、多久回應。這一項在合約中常被忽略，卻是上線後最頻繁發生的狀況。

• 是否提供學習模式：能否先以「僅記錄不阻擋」的模式運行一段時間，觀察實際流量後再啟用阻擋。沒有這個機制，等於直接在正式環境試錯。

【共通規則】

• HTTPS 流量解密檢查：現今流量幾乎全為加密，若防護設備無法解密檢查，惡意 payload 藏在加密內容中便可暢行無阻，如此便會讓 WAF 形同虛設。

• 日誌保存期限與 SIEM 對接：日誌是事後追查與稽核的唯一依據。需確認保存多久、能否匯出、是否支援以標準格式對接既有的 SIEM 或 SOC。

法遵與稽核：政府、金融、醫療的額外門檻

若是受監理的產業，如政府、金融、醫療或是上市櫃企業，在選擇供應商的標準則不只是單看技術。以下四項若不符，往往直接影響採購或稽核結果。

• 服務商的資安認證：是否具備 ISO 27001（資訊安全管理） 與 ISO 27701（隱私資訊管理）。防護服務商會接觸到你的全部流量，其自身的管理制度屬於供應鏈風險的一部分，稽核時會被檢視。

• 日誌留存是否滿足稽核要求：依資通安全管理法及相關子法，公務機關與特定非公務機關對資安日誌有明確的留存期限規定，且期限依資安責任等級而異。實際年限請以最新法規條文為準，並確認服務商的保存政策能覆蓋該期限。

• 是否列入共同供應契約（共契）：列入共契的服務可依既有契約條件採購，省去獨立招標的作業時間。對有預算執行期限壓力的機關，這一項會直接影響專案能否如期上線。

• 清洗節點與日誌儲存是否位於境內：涉及個資的流量若在境外被清洗或留存日誌，可能構成跨境傳輸，需另行檢視法規依據。境內節點能同時解決合規與延遲兩個問題。

維運能量：評估自己有沒有人可以照顧它

關於維運的部分，這一項最常被低估。

WAF 上線初期的誤擋調校，投入的人力往往超過導入本身，特別是含大量自訂表單、特殊字元輸入或複雜前端邏輯的網站，初期需要有人逐一判讀被擋下的請求，決定該放行還是該收緊。DDoS 防護則需要有人在攻擊發生的當下判斷情況並下決策，而攻擊不會挑上班時間發生。

因此，選商前先誠實評估三件事，包括內部是否有專責資安人員、能否負擔 24 小時的待命輪值、以及攻擊發生時由誰決定應變動作。

若其中任一項答案是否定的，就應優先評估提供代管服務（Managed WAF）與 7×24 應變支援的方案，而不是只採購設備或授權，當防護機制沒有人調校與監看，實質防護力會遠低於帳面規格。

SkyCloud 的整合式防護架構

SkyCloud騰雲運算是台灣少數自主研發的 CDN 原廠，並非代理轉售，因此能將防護能力整合在同一個邊緣平台上：

• SkyEdge：CDN 加速與邊緣分流，作為所有防護機制的第一道流量入口

• SkyAnti-DDoS：L3/L4/L7 流量清洗，具備境內清洗節點與秒級自動觸發

• SkyWAF：應用層防護，涵蓋 OWASP Top 10 與自訂規則，支援學習模式降低誤擋

• SkyGTM：全域流量管理，在單一節點受攻擊時自動導流至健康節點

因為四項服務運行在同一套控制平面，DDoS 側偵測到的來源信譽資料可即時提供給 WAF 判讀，反之亦然；這是拼裝多家廠商方案難以達成的協同效果。目前已有 400 家以上金融、政府、醫療與企業客戶採用，並具備 ISO 27001 / ISO 27701 認證與共契採購資格。

常見問題 FAQ

需要協助評估？

若不確定現有架構的防護缺口在哪裡，SkyCloud 提供免費的網站資安體檢，實測您的網站在 L3/L4/L7 三個層級的暴露面。歡迎立即預約諮詢。

延伸閱讀：
✔ 大型金融機構導入騰雲運算 CDN 與 Anti-DDoS，兼顧防護效能、成本與在地技術服務
✔ 大型綜合醫院選擇 SkyCloud 以 DDoS、WAF 和 CDN 構築資安防護網
✔ 2026年7家WAF選購與比較指南
✔ 【DDoS防禦推薦】台灣購買 Anti-DDoS 服務如何選擇？6家廠商比較
✔ 【CDN 推薦】如何挑選最適合的 CDN 服務？