Network & Security

Cloudflare WAF คืออะไร? คู่มือป้องกันเว็บจาก OWASP Top 10 และ DDoS ฉบับ SME ไทย 2026

Cloudflare WAF ป้องกัน OWASP Top 10, DDoS, Bot ฟรีตั้งแต่ Plan แรก คู่มือตั้งค่าฉบับ SME ไทย 2026

AF
ADS FIT Team
·9 นาที
Share:
🌐

# Cloudflare WAF คืออะไร? คู่มือป้องกันเว็บจาก OWASP Top 10, Bot และ DDoS ฉบับ SME ไทย 2026

ในยุคที่ทุกธุรกิจไทยขายของออนไลน์ ทำเว็บแอปสำหรับลูกค้า และเก็บข้อมูลส่วนบุคคลตาม PDPA การโดน Web Attack แม้แค่ครั้งเดียวอาจหมายถึง Downtime หลายชั่วโมง ข้อมูลรั่วไหล และค่าปรับจาก สคส. ที่ตามมา หลาย SME คิดว่าการป้องกันเว็บเป็นเรื่องของ Enterprise ที่ต้องลงทุนกับ Hardware Firewall หลายล้านบาท แต่ความจริงคือ Cloudflare WAF เปิดให้ใช้ฟรีตั้งแต่ Plan แรก และตั้งค่าได้ในเวลาน้อยกว่า 1 ชั่วโมง

บทความนี้จะอธิบายว่า Cloudflare WAF คืออะไร ป้องกันการโจมตีแบบใดได้บ้าง วิธีตั้งค่าให้ครอบคลุม OWASP Top 10 และ DDoS รวมถึงเปรียบเทียบกับ AWS WAF และ Imperva เพื่อให้ PM และ Tech Lead เลือกได้ถูกต้องและคุ้มค่าที่สุด

Cloudflare WAF คืออะไร และทำงานอย่างไร

Cloudflare WAF คือ Web Application Firewall บน Edge Network ของ Cloudflare ที่กระจายอยู่กว่า 320 เมืองทั่วโลก ทำหน้าที่ตรวจ Request ก่อนถึง Origin Server และบล็อกการโจมตี เช่น SQL Injection, Cross-Site Scripting, Path Traversal, Command Injection และ Bot Attacks

หลักการทำงานคือทุก Request ที่เข้าสู่โดเมนของคุณจะผ่าน Cloudflare Edge ก่อน ระบบจะตรวจสอบ:

  • Header, URL, Body, Cookie ตาม Rule ที่กำหนด
  • ลายเซ็นการโจมตีในฐานข้อมูล Managed Rules
  • พฤติกรรมผู้ใช้ผ่าน Bot Score
  • Rate Limit ตาม IP, ASN หรือ Path
  • ถ้าตรงกับ Rule ที่ระบุไว้ จะทำหน้าที่ Block, Challenge, Log หรือ Skip ได้

    | ระดับการป้องกัน | คำอธิบาย | ใช้กับ |

    |----------------|----------|--------|

    | Managed Rules | กฎที่ Cloudflare เขียนและอัปเดตให้ฟรี | ทุก Plan |

    | OWASP Core Ruleset | Modsecurity OWASP CRS | Pro+ |

    | Custom Rules | กฎที่เราเขียนเอง | ทุก Plan (จำกัดจำนวน) |

    | Rate Limiting | จำกัด Request ต่อช่วงเวลา | ทุก Plan |

    | Bot Management | AI ตรวจจับ Bot ขั้นสูง | Enterprise |

    Cloudflare WAF ป้องกันอะไรได้บ้าง สำหรับ SME ไทย

    ภัยคุกคามที่ SME เจอบ่อยและ Cloudflare WAF จัดการได้ทันทีหลังเปิดใช้

  • **SQL Injection / XSS / RCE**: บล็อก Payload ของ OWASP Top 10 ด้วย Managed Rules โดยไม่ต้องเขียน Rule เอง
  • **Credential Stuffing**: ป้องกัน Bot ลอง Login จาก Username/Password ที่รั่วในอินเทอร์เน็ตด้วย Leaked Credentials Check
  • **Layer 7 DDoS**: ดูดซับ Flood Request หลายล้าน RPS อัตโนมัติ บน Anycast Network
  • **Scraping และ AI Crawler**: บล็อก ChatGPT, GPTBot, ClaudeBot ที่ดึงคอนเทนต์ไปเทรนโมเดลโดยไม่ได้รับอนุญาต
  • **Comment Spam และ Form Abuse**: ใช้ Turnstile (CAPTCHA Cloudflare) ทดแทน reCAPTCHA โดยไม่กระทบ UX
  • **Geoblocking และ IP Reputation**: บล็อกประเทศที่ไม่ใช่ตลาดเป้าหมาย เช่น โดเมนขายในไทยอาจไม่ต้องเปิดให้ Tor หรือประเทศที่ Threat Score สูง
  • Cloudflare WAF Plan เปรียบเทียบ ต้องเลือกตัวไหนถึงคุ้ม

    | Plan | ราคา/เดือน | Managed Rules | Custom Rules | Rate Limiting | DDoS L7 |

    |------|-----------|---------------|--------------|---------------|---------|

    | Free | 0 USD | บางส่วน | 5 rules | 10k req/10min | ไม่จำกัด |

    | Pro | 25 USD | OWASP Core | 20 rules | 1M rate-limit/เดือน | ไม่จำกัด |

    | Business | 250 USD | เต็มรูปแบบ | 50 rules | 10M rate-limit/เดือน | ไม่จำกัด |

    | Enterprise | สอบถาม | Custom | ไม่จำกัด | ไม่จำกัด | ไม่จำกัด + Bot |

    สำหรับ SME ส่วนใหญ่ Pro Plan ที่ราคาเริ่ม 25 USD ต่อเดือนคือจุดคุ้มทุน เพราะได้ OWASP Core Ruleset + Image Optimization + WAF Custom Rules 20 ข้อซึ่งเพียงพอสำหรับเว็บอีคอมเมิร์ซและเว็บบริษัททั่วไป

    วิธีตั้งค่า Cloudflare WAF ใน 7 ขั้นตอน

    ขั้นตอนนี้สำหรับทีมที่ใช้ Cloudflare DNS อยู่แล้ว และต้องการเปิดใช้ WAF ให้ครอบคลุม OWASP

    Step 1: เปิด Proxy (Orange Cloud)

    DNS Record ของโดเมนหลักต้อง Proxied (สีส้ม) ไม่ใช่ DNS-only (สีเทา) มิฉะนั้น Traffic จะไม่ผ่าน Cloudflare WAF

    Step 2: เปิด Managed Rules

    ไปที่ Security > WAF > Managed Rules แล้วเปิด:

  • Cloudflare Managed Ruleset (Action: Block)
  • Cloudflare OWASP Core Ruleset (Sensitivity: High, Action: Block)
  • Step 3: ตั้ง Custom Rule บล็อกประเทศที่ไม่ใช่ตลาด

    ```

    (ip.geoip.country ne "TH" and ip.geoip.country ne "SG"

    and http.request.uri.path contains "/admin")

    Action: Block

    ```

    ป้องกัน Brute Force หน้า admin จากต่างประเทศ

    Step 4: เปิด Rate Limiting Rule สำหรับ Login

    ```

    (http.request.uri.path eq "/login" and http.request.method eq "POST")

    Threshold: 5 requests / 1 minute

    Action: Block 10 minutes

    ```

    Step 5: เปิด Bot Fight Mode

    Security > Bots > Bot Fight Mode → ON

    ระบบจะใช้ ML ตรวจจับ Bot ที่ผิดปกติและ Challenge อัตโนมัติ

    Step 6: เปิด Leaked Credentials Detection

    Security > Settings > Leaked Credentials → ON

    จะเตือนเมื่อมีการ Login ด้วย Email/Password ที่หลุดในอินเทอร์เน็ต

    Step 7: ตรวจ Logs และปรับ Rule

    Security > Events จะมี Dashboard ดู:

  • Top Attacking IP
  • Top Country
  • Top Path
  • Top Rule Triggered
  • ใช้ข้อมูลนี้ปรับ Rule ให้ Sensitive ขึ้นหรือ Whitelist Path ที่โดน False Positive

    เปรียบเทียบ Cloudflare WAF vs AWS WAF vs Imperva

    | คุณสมบัติ | Cloudflare | AWS WAF | Imperva |

    |----------|-----------|---------|---------|

    | ค่าใช้จ่ายเริ่มต้น | ฟรี | $5/เดือน + ค่า Request | $1,000+/เดือน |

    | OWASP Ruleset | มีในตัว | ต้องสมัครเพิ่ม | มีในตัว |

    | L7 DDoS | ไม่จำกัด | จำกัด/Shield | ไม่จำกัด |

    | Setup Time | ~30 นาที | ~2 ชั่วโมง | ~1 สัปดาห์ |

    | Edge Network | 320+ POP | 100+ POP | 50+ POP |

    | เหมาะกับ | SME-Mid Market | AWS-Native Workloads | Enterprise |

    ข้อควรระวังเมื่อใช้ Cloudflare WAF

    ก่อนเปิดใช้ Production แนะนำให้ทำตามนี้

  • เปิด Managed Rule ใน Log Mode ก่อน 1 สัปดาห์ เพื่อดู False Positive
  • ระวัง API Endpoint ที่ส่ง JSON Payload ใหญ่อาจถูก WAF ตัดทิ้ง ตั้ง Skip สำหรับ Path API
  • ถ้าใช้ Webhook จาก SaaS เช่น Stripe, Slack ต้อง Whitelist IP ของผู้ส่ง
  • เปิด Always Use HTTPS และ HSTS ควบคู่กัน เพื่อป้องกัน SSL Stripping
  • ตรวจสอบว่า Origin Server ปิด Public IP แล้วเปิดเฉพาะ Cloudflare IP Range เท่านั้น มิฉะนั้นผู้โจมตี Bypass ได้
  • สรุปและขั้นตอนถัดไป

    Cloudflare WAF คือคำตอบที่ลงตัวสำหรับ SME ไทยที่ต้องการป้องกัน OWASP Top 10, DDoS และ Bot โดยไม่ต้องลงทุน Hardware ราคาแพง สามารถเริ่มได้ฟรี หรืออัปเป็น Pro ที่ 25 USD/เดือน ก็ครอบคลุมความเสี่ยงส่วนใหญ่ของเว็บอีคอมเมิร์ซและเว็บบริษัท

    ขั้นตอนต่อไปที่แนะนำ:

  • เปิด Managed Rules + Bot Fight Mode ภายในสัปดาห์นี้
  • ตั้ง Rate Limit หน้า Login และ Form ลงทะเบียน
  • ปิด Origin IP จาก Internet ให้รับเฉพาะ Cloudflare IP
  • กำหนด Geoblock สำหรับเส้นทาง Admin
  • หากต้องการให้ทีม ADS FIT ออกแบบสถาปัตยกรรม Cloudflare + WAF + Origin Hardening ครบจบสำหรับ Laravel/Next.js ติดต่อทีมเราได้ที่ adsfit.co.th เพื่อรับคำปรึกษาและประเมินความเสี่ยงเชิง Compliance ฟรี

    Tags

    #Cloudflare#WAF#OWASP#DDoS#Web Security#Bot Protection

    สนใจโซลูชันนี้?

    ปรึกษาทีม ADS FIT ฟรี เราพร้อมออกแบบระบบที่ฟิตกับธุรกิจของคุณ

    ติดต่อเรา →

    บทความที่เกี่ยวข้อง