Как работает WAF
OWASP описывает WAF как application firewall для HTTP, который применяет правила к HTTP conversation. Развёртывание может быть на reverse proxy, сервере или фильтре перед приложением.
WAF и обычный межсетевой экран: в чём разница
Обычный firewall/межсетевой экран в первую очередь управляет сетевым доступом по адресам, портам, протоколам и состоянию соединений. WAF понимает структуру HTTP и контекст web application: URL, параметры, headers, body и сигнатуры прикладных атак.
| Слой | Основной объект контроля | Пример |
|---|---|---|
| Network firewall | IP, порт, протокол, connection state | Разрешить TCP/443, закрыть административный порт. |
| WAF / Web Application Firewall | HTTP request/response и application rules | Обнаружить SQLi/XSS pattern в параметрах запроса. |
| Anti-Bot | Identity, browser/network/behavior evidence | Отличить verified crawler от scraper или automation session. |
Что обычно ищут WAF-правила
- SQL injection patterns;
- Cross-Site Scripting (XSS);
- Local/Remote File Inclusion;
- protocol anomalies и malformed requests;
- известные классы OWASP Top 10 и другие сигнатурные/политические нарушения.
OWASP Core Rule Set — набор generic attack detection rules для ModSecurity и совместимых WAF. Он предназначен как базовый уровень защиты, который всё равно требует настройки под конкретное приложение.
Границы WAF
WAF не знает автоматически бизнес-намерение пользователя. Корректный HTTP-запрос может быть нежелательным парсингом, скликиванием или автоматизированным поведением и не соответствовать сигнатуре SQLi/XSS. Обратная сторона — слишком общие WAF rules способны давать false positives.
Чем anti-bot отличается
| WAF | Anti-bot |
|---|---|
| HTTP attack patterns и rules | bot/visitor/crawler classification |
| payload/path/header signatures | browser/network/behavior evidence |
| security rule match | risk/confidence/reputation |
| может работать до приложения на edge/reverse proxy | может использовать session/visitor context и Challenge |
| не является доказательством человека | не заменяет secure coding/WAF для SQLi/XSS |
Как сочетать WAF и anti-bot
В layered architecture upstream DDoS решает объём, WAF фильтрует application attack patterns, а anti-bot занимается автоматизацией, crawler identity, abuse и дополнительным risk context. Каждому слою нужна собственная observability.
AntiPF не объявляет себя WAF
AntiPF сфокусирован на трафике, ботах, crawler verification, Risk/Browser/Adaptive, Challenge и SEO/HTTP intelligence. Для классов SQLi/XSS и generic web exploit filtering лучше использовать специализированный WAF/CRS как отдельный слой.
Источники и технические справки
Для проверяемых технических деталей использованы официальные материалы: