# Czym jest zapora aplikacji webowych (WAF)?

> Zapora aplikacji webowych (web application firewall, WAF) to kontrola bezpieczeństwa, która inspekcjonuje ruch HTTP i HTTPS między klientami a aplikacjami webowymi i stosuje politykę.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/web-application-firewall/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Jest zwykle wdrażana jako odwrotne proxy, funkcja bramy, usługa brzegowa chmury lub komponent filtrujący blisko aplikacji. W przeciwieństwie do konwencjonalnej zapory sieciowej WAF może rozumować o elementach warstwy aplikacji, takich jak metody, ścieżki, nagłówki, ciasteczka, parametry i treści wiadomości.

Polityki WAF mogą używać sygnatur ataków, walidacji protokołów, list dozwolonych, reputacji, kontroli tempa lub sygnałów behawioralnych. Może to zmniejszyć ekspozycję na typowe ataki injection, traversal, skryptowe i protokołowe oraz zapewnić tymczasowe „wirtualne łatanie", gdy poprawka aplikacji jest przygotowywana. Użyteczna ochrona zależy od poprawnego routingu ruchu, widoczności zaszyfrowanej treści, aktualnych reguł, dostrojenia specyficznego dla aplikacji i przeglądu alertów.

### Najważniejsze punkty

- **Wybierz punkt egzekwowania:** Zapewnij, że chroniony ruch nie może ominąć WAF, i zdefiniuj, gdzie TLS jest terminowany, inspekcjonowany i ponownie ustanawiany.
- **Zacznij od celów polityki:** Zidentyfikuj aplikacje, API, wrażliwe ścieżki, oczekiwane metody i typy treści, limity rozmiaru i przypadki nadużyć przed włączeniem szerokiego blokowania.
- **Dostrajaj i testuj:** Używaj reprezentatywnego ruchu, etapowanego egzekwowania, wykluczeń z właścicielami i datami wygaśnięcia oraz testów regresji do zarządzania fałszywymi pozytywami i negatywami.
- **Zintegruj operacje:** Wysyłaj użyteczne zdarzenia do monitorowania, koreluj je z dowodami aplikacyjnymi i tożsamościowymi, utrzymuj ścieżki eskalacji i waliduj zmiany po wydaniach.
- **Istotne ograniczenie:** WAF nie może naprawić podatnego kodu ani niezawodnie rozpoznać każdej zepsutej reguły autoryzacji, nadużycia logiki biznesowej, skompromitowanego konta, bezpośredniej ścieżki backendu ani ataku ukrytego w nieobsługiwanych protokołach. Jest warstwą kompensującą, a nie dowodem bezpieczeństwa aplikacji.

### Powiązane terminy

[Bezpieczeństwo API](<https://yellowcube.eu/pl/glossary/application-programming-interface-security/>) · [Bezpieczeństwo aplikacji](<https://yellowcube.eu/pl/glossary/application-security/>) · [Reverse proxy](<https://yellowcube.eu/pl/glossary/reverse-proxy/>) · [Zapora sieciowa](<https://yellowcube.eu/pl/glossary/firewall/>) · [Wirtualne łatanie](<https://yellowcube.eu/pl/glossary/virtual-patching/>) · [OWASP Top 10](<https://yellowcube.eu/pl/glossary/open-worldwide-application-security-project-top-10/>) · [Wstrzyknięcie SQL](<https://yellowcube.eu/pl/glossary/structured-query-language-injection/>) · [Runtime application self-protection (RASP)](<https://yellowcube.eu/pl/glossary/runtime-application-self-protection/>)

### Źródła

[NIST glossary: WAF](https://csrc.nist.gov/glossary/term/WAF) · [NIST SP 800-228 update 1: Guidelines for API Protection for Cloud-Native Systems](https://csrc.nist.gov/pubs/sp/800/228/upd1/final) · [OWASP Core Rule Set](https://owasp.org/www-project-modsecurity-core-rule-set/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.