先把公開入口縮到必要範圍
資料庫與管理服務不應跟網站一起對外
列出所有外部可達的 IP、網域、連接埠與管理入口，確認每個公開服務的業務必要性。一般情況下，資料庫應透過私有路徑供應用存取，管理連線則經受控入口與強化驗證。
雲端的預設設定不等同企業需求。新環境、測試機及臨時除錯規則也要納入盤點，並設定到期移除，避免上線後忘記關閉。
VPC 分段控制橫向移動
每條放行規則都對應實際服務
將公開服務、應用、資料庫與管理區分離，依來源與目的設定最小必要連線。只建立不同子網，若防火牆仍全部互通，隔離效果有限。服務帳號與雲端 IAM 也要配合，避免網路雖隔離，帳號卻能改掉規則。
以應用連資料庫為例，允許指定服務與連接方式，拒絕其他工作負載直接存取。對外連線也應檢視，降低遭入侵後任意外傳資料的機會。
WAF 處理應用層風險
不能取代修補與後端授權
WAF 可依規則檢查與阻擋特定惡意請求，但不保證理解企業的訂單歸屬或簽核規則。啟用前可先觀察模式評估誤擋，再逐步阻擋，並為正常流量建立可追查的請求紀錄。
來源主機若仍可被直接存取，攻擊可能繞過前方防護。應確認負載平衡器與來源存取限制一致，同時持續更新套件、修補程式及測試 API 權限。
DDoS 要看流量層級與服務範圍
自動擴充不等於自動免疫
大量網路流量與耗費運算的應用請求需要不同措施。評估雲端防護時，確認支援的負載平衡器、協定、資源類型與方案，而不是只看到產品名稱就認為全站都受保護。
限流、快取、排隊與降級可降低高峰壓力；自動擴充則需搭配預算與配額告警。第三方 API、資料庫連線池及寄信服務也可能先到上限，因此容量評估要涵蓋相依服務。
用演練驗證防護與營運
正常流量可用，異常流量可追查
在已授權範圍內測試規則與負載，觀察延遲、錯誤率、誤擋率及後端資源。禁止將未協調的流量測試送往第三方服務，應先確認供應商規則與測試窗口。
交付內容宜包含公開面清單、防火牆規則、WAF 調整紀錄與異常應變程序。當攻擊發生時，團隊要知道誰能調整規則、何時降級及如何通知使用者。
常見問題
有 WAF 還需要改程式漏洞嗎？
需要。WAF 是補充防線，不能取代修補、授權檢查與安全開發。
開啟自動擴充就不會被打停嗎？
不能保證。仍可能遇到配額、成本或相依服務瓶頸。