( WAF ( Web Application Firewall –שירותי WAF הם למעשה מערכת הגנה ליישומי אינטרנט, המספקת הגנה מצד השרת על ידי ניטור, סינון וחסימה של תעבורת HTTP/S. המערכת מוגדרת בין השרת לבין האינטרנט ומתפקדת כ Proxy ביניהם.

מערכת WAF מונעת ממתקפות המופנות אל יישום האינטרנט להגיע אל השרת, ע"י ניתוח המידע ולאחר מכן סינון וחסימה של תעבורה זדונית. כאשר בקשה נשלחת אל השרת, היא עוברת דרך ה WAF וזה בוחן אותה מול כללי המדיניות והחוקים המוגדרים בו. הכללים מוגדרים מראש וניתנים לעדכון, ומותאמים למניעת ניצול פגיעויות נפוצות.

כך, המערכת מאפשרת ניטור של תעבורת HTTP/S  תוך ניתוח מידע בזמן אמת העובר בשכבת היישום. יתרון מובהק של WAF הוא המהירות והקלות בה ניתן ליישם שינויים בחוקים וב Policy, דבר המאפשר תגובה מהירה יותר לווקטורי התקיפה המתחלפים.

שירותי WAF הגנה בשכבות גבוהות

הWAF נועד להוות חומה חיצונית נוספת במערך האבטחה של היישום, ובכך לייצר הגנה רב שכבתית בנוסף לשאר מערכות ההגנה של הארגון. ה-WAF ממוקם בשכבה הגבוהה במודל ה- OSI (השכבה ה 7) לעומת שאר מערכות ההגנה כ FW, IPS העובדות לרוב בשכבות הנמוכות יותר.

ישנם כמה הבדלים בין WAF, IPS ו NGFW: 

1. 1. IPS (Intrusion Prevention System) – הינה מערכת המנטרת תחנות (Hosts) או תעבורת רשת. לרוב מבוססת חתימות, ומגינה מפני מתקפות ידועות שמידע לגביהן סופק על ידי מאגר הנתונים של היצרן. מתריעה וחוסמת פעולות חשודות, התקפות על הרשת, ניסיונות גישה בלתי מורשים או כל פעולה אחרת אשר מנוגדת לחוקים שהוגדרו בה מראש.

      באופן כללי, IPS מגן על תעבורה אשר עוברת על פני מגוון סוגי פרוטוקולים כגון DNS, TELNET, RDP ,FTP ו- SSH, בשכבות 3-4 במודל ה-OSI. חלק ממערכות ה IPS עשויות להציע הגנה מוגבלת בשכבה 7 (היישום). את מערכת ה IPS מקובל להציב מאחורי הFirewall ובכך להפחית את העומס מה- IPS.

   2. NGFW (Next Generation FireWall) – הינו חומת אש בשילוב מנגנוני אבטחה מתקדמים. הטכנולוגיה מתאימה לרשתות מורכבות עם תעבורה גבוהה שבה בנוסף ל WAF הסטנדרטי ישנם מנגנוני בחינה לעומק (Stateful Inspection) שכוללים בין היתר IDS/IPS  וזיהוי תעבורת האפליקציות ברמת התוכן.
   3. WAF – מגן על שכבת היישום (7) ומבצע ניתוח תעבורת HTTP/S. כל הבקשות נבדקות בטרם ההגעה לשרת או למשתמש. ניתן לחשוב על ה WAF כעל מתווך בין המשתמש ליישום עצמו.

      המערכת מהווה קו הגנה ראשון ליישומים בעיקר כדי להגן מפני פגיעויות כדוגמת OWASP Top 10 . רשימה של חולשות האבטחה הנפוצות ביותר באפליקציות Web, כגון:

1. 1. Injection Attacks
   2. Broken Authentication
   3. Sensitive Data Exposure
   4.  External Entities
   5. Broken Access control
   6. Security Misconfigurations
   7. Cross Site Scripting
   8. Insecure Deserialization

אם כן, גם כאשר נראה כי האתר מאובטח, WAF  יספק מעקב מתמיד אחר התקפות פוטנציאליות, ואף יחסום אותן. לכן, WAF הינו מוצר הגנה הכרחי לטובת הגנה על יישומי אינטרנט.