为了保护 AWS 上的 Web 应用程序免受网络层 DDoS 攻击，应该使用哪种服务？

AWS Shield 是一项托管式分布式拒绝服务 (DDoS) 防护服务，可保护在 AWS 上运行的应用程序。它提供始终开启的检测和自动内联缓解功能，以抵御常见的网络和传输层 DDoS 攻击，这正是题目中“网络层 DDoS 攻击”所指的防护需求。 AWS WAF 是一种 Web 应用程序防火墙，主要在应用层（OSI 模型的第 7 层）提供保护，抵御 SQL 注入和跨站脚本等常见 Web 漏洞，而非网络层攻击。AWS Firewall Manager 是一项安全管理服务，用于集中配置和管理 AWS WAF 规则、AWS Shield Advanced 保护、Amazon VPC 安全组等，它本身不直接提供 DDoS 防护。Amazon GuardDuty 是一种威胁检测服务，用于持续监控恶意活动和未经授权的行为，但它不直接提供 DDoS 缓解功能。