这个问题涉及到了AWS的防御模块们。请出AWS Shield和AWS WAF（Web Application Firewall）。
我的理解，shield主要针对的是DDoS。针对网络层，DNS也包含在内。
WAF，从名字就能知道是针对Web的，所以HTTP的防护，比如限制从哪来的（Original IP或者Country），Header里带了什么不好的东西，SQL注入（因为SQL注入的方法主要是在query中实现），还有Cross-site 攻击等。
因此我的简单理解就是：
- 网络层攻击，如DDoS，TCP Syn-flood，选AWS Shield；
- 可以通过HTTP完成的攻击，如Cross-site，SQL Injection等，用WAF；
如果不明说，俩都用上。
