Jest zwykle wdrażana jako odwrotne proxy, funkcja bramy, usługa brzegowa chmury lub komponent filtrujący blisko aplikacji. W przeciwieństwie do konwencjonalnej zapory sieciowej WAF może rozumować o elementach warstwy aplikacji, takich jak metody, ścieżki, nagłówki, ciasteczka, parametry i treści wiadomości.
Polityki WAF mogą używać sygnatur ataków, walidacji protokołów, list dozwolonych, reputacji, kontroli tempa lub sygnałów behawioralnych. Może to zmniejszyć ekspozycję na typowe ataki injection, traversal, skryptowe i protokołowe oraz zapewnić tymczasowe „wirtualne łatanie", gdy poprawka aplikacji jest przygotowywana. Użyteczna ochrona zależy od poprawnego routingu ruchu, widoczności zaszyfrowanej treści, aktualnych reguł, dostrojenia specyficznego dla aplikacji i przeglądu alertów.
Najważniejsze punkty
Wybierz punkt egzekwowaniaZapewnij, że chroniony ruch nie może ominąć WAF, i zdefiniuj, gdzie TLS jest terminowany, inspekcjonowany i ponownie ustanawiany.
Zacznij od celów politykiZidentyfikuj aplikacje, API, wrażliwe ścieżki, oczekiwane metody i typy treści, limity rozmiaru i przypadki nadużyć przed włączeniem szerokiego blokowania.
Dostrajaj i testujUżywaj reprezentatywnego ruchu, etapowanego egzekwowania, wykluczeń z właścicielami i datami wygaśnięcia oraz testów regresji do zarządzania fałszywymi pozytywami i negatywami.
Zintegruj operacjeWysyłaj użyteczne zdarzenia do monitorowania, koreluj je z dowodami aplikacyjnymi i tożsamościowymi, utrzymuj ścieżki eskalacji i waliduj zmiany po wydaniach.
Istotne ograniczenieWAF nie może naprawić podatnego kodu ani niezawodnie rozpoznać każdej zepsutej reguły autoryzacji, nadużycia logiki biznesowej, skompromitowanego konta, bezpośredniej ścieżki backendu ani ataku ukrytego w nieobsługiwanych protokołach. Jest warstwą kompensującą, a nie dowodem bezpieczeństwa aplikacji.