AWS资源七层DDoS防护方案及相关技术疑问咨询

以下是我基于AWS文档做出的假设，正因为文档没有精准解答我的疑问，我才来这里求助：

• AWS WAF（无论直接使用还是通过Shield Advanced）是AWS提供的相关防护服务。
• WAF的定价机制意味着每一个请求都会产生费用，即便是那些被它判定为需要拦截的IP发起的请求——因为WAF仍需要对这些请求进行处理并响应。所以DDoS攻击可能会导致成本激增。
• Route53和CloudFront这类服务默认启用了AWS Shield Standard，它仅能防护3/4层的DDoS攻击。

我的疑问： #

• 我的这些假设是否正确？
• 我看到有文章提到一些客户使用外部服务来提供权威DNS服务，因为它们的七层DDoS防护性价比更高。但这难道只能防护需要IP解析的攻击吗？比如，如果攻击者已经知道了AWS服务的IP（比如Global Accelerator的IP），那这种方式是不是就起不到防护作用了？

备注：内容来源于stack exchange，提问作者Ash