WAF有意义吗？
WAF makes sense?
我是 运行 aws 中的公司 Web 应用程序。此 Web 应用程序支持带有 saml 的认知+外部身份提供程序，仅允许公司员工访问该应用程序（然后他们使用本地凭据登录到该应用程序，因为不可能使用 saml）。
在这种情况下，放置 WAF 是否有意义？潜在的攻击者如果没有经过身份验证就无法发起攻击。
谢谢
法里德
WAF 将帮助您保护您的应用免受网络上各种不同类型的攻击。无论您描述的 AWS Cognito 身份验证如何，您仍然可能会遇到很多很多漏洞，DDOS 攻击就是一个简单的例子。
如果您的 Web 服务器从网络角度来看是可公开访问的（与某人是否可以登录无关），那么使用 WAF 仍然有意义。
即使是经过身份验证的用户也可能会尝试 运行 攻击。
所以即使您使用的是 IdP，WAF 也很有用。
A potential attacker could not launch attacks if he is not authenticated.
这是一个非常有力的假设。大多数事件都是使用窃取的凭据、不良行为者（恶意用户）或应用程序错误发生的
此外，您的应用程序不支持 Cognito，但两者都需要能够直接访问客户端或 public 互联网。
does it make sense to put a WAF?
WAF 部分保护免受 DDoS（过滤特定 IP 地址或区域）和其他一些攻击类型（sql 注入，..）。
每增加一个组件都是在复杂性、可用性和价格之间进行权衡的决定。如果值得 - 决定威胁或事件影响是否值得学习和管理 waf 的代价和努力（基线设置仅提供基线保护，为了获得最佳结果，您必须尽最大努力学习和管理 waf waf 规则）
也许这不是您要找的答案，这个问题更适合 https://security.stackexchange.com/ ，但这是您的决定
我是 运行 aws 中的公司 Web 应用程序。此 Web 应用程序支持带有 saml 的认知+外部身份提供程序，仅允许公司员工访问该应用程序（然后他们使用本地凭据登录到该应用程序，因为不可能使用 saml）。 在这种情况下，放置 WAF 是否有意义？潜在的攻击者如果没有经过身份验证就无法发起攻击。 谢谢
法里德
WAF 将帮助您保护您的应用免受网络上各种不同类型的攻击。无论您描述的 AWS Cognito 身份验证如何，您仍然可能会遇到很多很多漏洞，DDOS 攻击就是一个简单的例子。
如果您的 Web 服务器从网络角度来看是可公开访问的（与某人是否可以登录无关），那么使用 WAF 仍然有意义。
即使是经过身份验证的用户也可能会尝试 运行 攻击。
所以即使您使用的是 IdP，WAF 也很有用。
A potential attacker could not launch attacks if he is not authenticated.
这是一个非常有力的假设。大多数事件都是使用窃取的凭据、不良行为者（恶意用户）或应用程序错误发生的
此外，您的应用程序不支持 Cognito，但两者都需要能够直接访问客户端或 public 互联网。
does it make sense to put a WAF?
WAF 部分保护免受 DDoS（过滤特定 IP 地址或区域）和其他一些攻击类型（sql 注入，..）。
每增加一个组件都是在复杂性、可用性和价格之间进行权衡的决定。如果值得 - 决定威胁或事件影响是否值得学习和管理 waf 的代价和努力（基线设置仅提供基线保护，为了获得最佳结果，您必须尽最大努力学习和管理 waf waf 规则）
也许这不是您要找的答案，这个问题更适合 https://security.stackexchange.com/ ，但这是您的决定