報價單上那四行字，你其實沒問清楚
一份 45 萬的官網改版報價，最後寫著：「含防火牆設定、WAF 導入、DDoS 防護、API 速率限制，加價 6 萬」。老闆皺眉——不是都叫防火牆嗎？為什麼收四次錢？
它們都在擋壞東西，但守的關卡不同：門禁卡、大廳保全、湧進三千人的隊伍，和飲料店「一人限點五杯」。混為一談，就是付了錢卻沒擋到真正傷你的那一種。
防火牆（Firewall）：社區大門的門禁卡
一句話：決定誰、從哪裡、走哪個門，能連到你的伺服器。
伺服器像社區大樓，防火牆就是大門門禁：住戶刷卡進得去，訪客走訪客通道，側門鎖死。它只看你從哪來，不看你手上拿什麼。
台中一家金屬加工廠的 ERP 放自家機房，圖省事把資料庫 3306 埠對外全開。做對是只放行公司固定 IP 與 VPN，做錯等於大門敞開還貼「歡迎參觀」。收斂規則約 2–4 小時工時，卻是投報率最高的一道。
WAF：大廳保全，會檢查你手上拿什麼
一句話：檢查請求「內容」的過濾器，擋夾帶攻擊語法的合法連線。
防火牆讓訪客走訪客通道，但如果這位訪客手上提著汽油桶呢？WAF（Web Application Firewall）就是大廳那位會攔下你、看一眼你帶了什麼的保全。
台北一家醫美診所的預約表單，「備註」欄被填入 SQL 語法想撈走客戶名單。這在防火牆眼中完全合法：正常的 443 埠、正常送出。能攔它的是 WAF，它認出這段內容符合 OWASP Top 10 的注入特徵並丟棄。診所、補習班握著身分證字號與病歷，這層是義務。
DDoS：三千人同時擠進你的店，什麼都不買
一句話：用海量假流量塞爆網站，讓真客人進不來。
DDoS 不偷東西，它是叫三千個人同時衝進店裡站著。保全再厲害也沒用，因為每個人單獨看都合法。
補習班報名日、餐廳訂位開放時段最痛——掛掉 30 分鐘，全年最重要的一小時就沒了。Cloudflare 2026 上半年 DDoS 報告指出，96.62% 的網路層攻擊在 500 Mbps 以下、90.60% 在 10 分鐘內結束；壞消息是 500 Mbps 足以打垮一台沒防護的中小企業主機。
速率限制（Rate Limiting）：一人限點五杯
一句話：同一個人在單位時間內只能操作幾次，超過就請他等。
手搖飲店尖峰貼「一人限點五杯」，是讓後面的人也點得到。超額時伺服器回傳 HTTP 429 Too Many Requests，請對方稍後再試。
最實際的例子是簡訊費。一家連鎖餐廳的訂位要發驗證碼，沒設速率限制，被腳本整夜觸發送出 5 萬則——每則 0.8 元，一晚燒掉 4 萬元，沒一筆是真訂位。OWASP 把「不受限的資源消耗」列為 API4:2023，原因正在這裡：會流血的是帳單。
四道關卡怎麼串起來
想像一張由外往內的同心圓：最外圈是網路層，DDoS 撞在這裡；第二圈是防火牆，決定誰能連、連哪個埠；第三圈是WAF，檢查請求內容；最內圈是速率限制，貼在你自己的程式與 API 上。四者無法互相取代：防火牆擋不掉夾帶語法的合法請求，WAF 擋不住三千條各自合法的連線，DDoS 防護不會知道你的簡訊 API 被刷了五萬次。
對預算、時程、風險的真實影響
- 錢：防火牆規則多半已含在主機管理費裡；WAF 走雲端時，AWS WAF 官方定價為每個 Web ACL 每月 5 美元、每條規則 1 美元、每百萬請求 0.6 美元——20 條規則、月流量 500 萬次約 28 美元，折台幣不到 900 元。
- 時程：防火牆收斂 2–4 小時；WAF 導入含誤擋調校 8–16 小時；速率限制每支 API 約 1–2 小時，整包 3–5 個工作天。
- 風險：對照組是事後成本——個資外洩的通知義務、報名日停機兩小時的營收缺口、一晚 4 萬的簡訊帳單，任一件都遠超過事前那 6 萬。
該問廠商的 5 個問題
- 「我們的資料庫埠對外開放嗎？可以給我防火牆的允許清單嗎？」
- 「WAF 用哪套規則集？誤擋到自己人怎麼辦？」
- 「DDoS 防護含在方案裡，還是被打了才加購？超量怎麼計費？」
- 「登入、簡訊驗證、訂單送出三支 API 各設了什麼速率限制？」
- 「四層日誌各留多久？出事當下我要看什麼、找誰？」
最常見的誤解
- 「有 SSL 就安全了」：SSL 只保證傳輸沒被偷看，它會忠實地把攻擊語法加密送到你的伺服器。
- 「網站小，沒人打我」：多數攻擊是自動化掃描，不挑對象，跟小偷沿路轉門把一樣。
常見問題 FAQ
中小企業真的四層都要做嗎？
要，但深淺不同。防火牆與速率限制成本極低，沒有不做的理由；WAF 對有表單、會員、付款的網站是必要；DDoS 則看你有沒有報名日、開賣日這種高峰。
用雲端服務商的免費方案夠嗎？
多數中小型網站夠擋常見的自動化攻擊。不夠的通常是自訂規則數量有限、日誌保留很短、誤擋時缺乏排除工具。一旦承載金流或個資就值得升級。
放在 SaaS 平台或虛擬主機，還要自己管嗎？
平台通常顧好網路層與主機層，但速率限制與表單驗證仍在你的程式端。你自己串接的簡訊、金流 API，平台不會替你擋，帳單也是寄給你。
下一步
手上有一份看不懂的資安報價單？我們可以用 30 分鐘做一次現況檢視，指出這四層哪一層是空的、補起來要多少工時。
- Email：[email protected]
- 電話：0916-224-047
- LINE：@ufv9089p