WAF - это особый тип брандмауэра, который применяется конкретно к веб-приложениям. Он развертывается перед веб-приложениями и анализирует двунаправленный веб-трафик (HTTP) - обнаруживая и блокируя все вредоносное. OWASP предоставляет широкое техническое определение для WAF как «решение безопасности на уровне веб-приложений, которое - с технической точки зрения - не зависит от самого приложения». Согласно информационному приложению PCI DSS для требований 6.6 WAF определяется как «точка применения политики безопасности, расположенная между веб-приложением и конечной точкой клиента. Эта функциональность реализована в программном обеспечении, запущена на устройстве устройства или на типичном сервере, работающем под общей операционной системой. Это может быть автономное устройство или интегрированное в другие сетевые компоненты». Другими словами, WAF может быть виртуальным устройством, которое предотвращает использование уязвимостей в веб-приложениях внешними угрозами. Эти уязвимости могут быть вызваны тем, что само приложение является устаревшим типом или оно было недостаточно закодировано в соответствии с проектом. WAF устраняет эти недостатки кода с помощью специальных конфигураций наборов правил, также известных как политики.

Ранее неизвестные уязвимости могут быть обнаружены с помощью тестирования на проникновение или с помощью сканера уязвимостей. Сканер уязвимостей веб-приложений, также известный как сканер безопасности веб-приложений, определяется в SAMATE NIST 500-269 как «автоматизированная программа, которая проверяет веб-приложения на наличие потенциальных уязвимостей безопасности. В дополнение к поиску уязвимостей, специфичных для веб-приложений, инструменты также ищут ошибки кодирования программного обеспечения». Устранение уязвимостей обычно называют исправлением. Исправления в коде могут быть внесены в приложение, но обычно требуется более быстрый ответ. В этих ситуациях может потребоваться применение настраиваемой политики для уникальной уязвимости веб-приложения для обеспечения временного, но немедленного исправления (известного как виртуальное исправление).

WAF не являются окончательным решением безопасности, скорее они предназначены для использования в сочетании с другими решениями безопасности периметра сети, такими как сетевые брандмауэры и системы предотвращения вторжений, для обеспечения целостной стратегии защиты.

WAF, как правило, следуют модели позитивной безопасности, негативной безопасности или их комбинации, как было упомянуто Институтом SANS. WAF используют комбинацию логики, анализа и сигнатур на основе правил для обнаружения и предотвращения атак, таких как межсайтовый скриптинг и внедрение SQL-кода. OWASP создает список из десяти недостатков безопасности веб-приложений. Все коммерческие предложения WAF покрывают эти десять недостатков как минимум. Есть и некоммерческие варианты. Как упоминалось ранее, хорошо известный движок WAF с открытым исходным кодом под названием ModSecurity является одним из этих вариантов. Одного движка WAF недостаточно для обеспечения адекватной защиты, поэтому OWASP вместе с Spiderlabs от Trustwave помогают организовать и поддерживать набор основных правил через GitHub для использования с движком ModSecurity WAF.