Web Application Firewall (WAF) to zapora sieciowa, której zadaniem jest ochrona aplikacji webowych, czyli stron internetowych. WAF kontroluje i filtruje ruch HTTP, występujący pomiędzy stroną www a siecią Internet. Zapora WAF występuje jako wtyczka zainstalowana na serwerze webowym lub osobne fizyczne urządzenie.

Web Application Firewall monitoruje ruch z i do aplikacji webowej opierając się na wcześniej utworzonych zasadach, według których klasyfikowane są napotkane zdarzenia:

• Czarna lista (blacklist) – zawiera listę elementów, które mają być identyfikowane przez zaporę jako niebezpieczne. Każdy element wymieniony na czarnej liście zostaje zablokowany, zmieniony lub jedynie odnotowany w logach serwera;
• Biała lista (whitelist) – zawiera listę elementów akceptowanych przez serwer. Wszystkie zdarzenia, które nie znajdują się na białej liście, zostają automatycznie dodane na czarną listę.

Biała lista zapory WAF wymaga czasochłonnej implementacji, jednak dzięki jej konfiguracji wszystkie ataki zostają zidentyfikowane o wiele sprawniej. Natomiast czarna lista pozwala na naprawę znalezionych elementów bez ingerowania w strukturę aplikacji webowej. Wspólne działanie czarnej i białej listy tworzy system, który uzupełnia się wzajemnie i na bieżąco aktualizuje swoje indeksy.

Zapora WAF może zostać zaimplementowana w infrastrukturze informatycznej na 3 sposoby, w różny sposób wykorzystujące zasoby sprzętowe, pamięć i budżet:

• Network-based – zapora WAF jest oparta na osobnym sprzęcie i zainstalowana lokalnie. Ten sposób wdrożenia zapory minimalizuje opóźnienia, ale do sprawnego działania WAF potrzebuje zasobów do przechowywania danych oraz regularnej konserwacji.
• Host-based – WAF jest zintegrowana z hostem aplikacji. W tej opcji istnieje najwięcej możliwości dostosowywania zapory do potrzeb, jednak instalacja na serwerze hosta zużywa jego przestrzeń lokalną. Zaimplementowanie zapory WAF w ten sposób wymaga dużych nakładów czasu i zaangażowania doświadczonych inżynierów.
• Cloud-based – chmurowa wersja zapory WAF, która do zainstalowania potrzebuje jedynie zmiany wpisu w DNS i przekierowania ruchu. Aktualizacja i konserwacja WAF zostaje przekazana w ręce osoby spoza organizacji.

Rozwiązanie network-based wymagające osobnego sprzętu do instalacji WAF jest najdroższe ze wszystkich sposobów. Wdrożenie oparte na hoście jest bardziej atrakcyjne finansowo, ale konsumuje czas i zaangażowanie najcenniejszych pracowników. Wersja chmurowa zapory WAF jest najtańszym i najszybszym rozwiązaniem. Jej wadą jest oddanie odpowiedzialności za system zewnętrznej firmie.