BI.ZONE WAF
Правила анализа запросов/ответов и локальная многокомпонентная установка.
Проверена документация локального BI.ZONE WAF; номер сборки не указан. Возможности облачного сервиса автоматически не перенесены.
ЗАЩИТА ВЕБ-ПРИЛОЖЕНИЙ
Российские WAF: защита веб-приложений из реестра
Что делает WAF, как выбрать облачную или локальную защиту сайта и API, что проверить при внедрении.
Редакционная проверка: 2 октября 2026 · даты и версии источников указаны отдельно
Решения этого класса
10 рассмотренных решений · по названию. Размер плитки не означает место в рейтинге.
Что такое WAF и какие задачи он решает
WAF — Web Application Firewall, межсетевой экран уровня веб-приложений. Он анализирует HTTP-запросы и ответы: адреса, параметры, заголовки и тело сообщения. Политики могут обнаруживать инъекции SQL, XSS, попытки выполнения команд и другие веб-атаки. Конкретное покрытие зависит от продукта, версии и настройки.
Виртуальный патчинг — правило, ограничивающее эксплуатацию известной уязвимости до исправления приложения. Оно не устраняет ошибку в коде. Антибот, контроль частоты обращений и защита API могут быть отдельными компонентами.
HTTPS нужно расшифровать в согласованной точке. Если WAF получает только копию трафика, он может обнаружить событие, но не обязательно способен остановить исходный запрос. Термин WAF →
WAF, NGFW, API Security и Anti-DDoS
| Класс | Объект контроля | Что сравнивать |
|---|---|---|
| WAF | Веб-запросы и ответы | Проверки URL, параметров, тела, исключения и реакция на атаку. |
| NGFW | Сетевые соединения и приложения | Сегментация, доступ, инспекция; состав WAF-модуля проверяется отдельно. |
| API Security / WAAP | Программные интерфейсы и связанные риски | Инвентаризация API, спецификации, доступ к объектам; WAAP объединяет несколько направлений защиты. |
| Anti-DDoS | Доступность при перегрузке | Различайте очистку канала L3/L4 и ограничения обращений к приложению L7. |
Продукты могут совмещать функции. Название класса не подтверждает конкретную реализацию: например, карта API не равна проверке запросов по OpenAPI, а лимит размера тела не равен лимиту запросов в секунду.
Российские WAF и область проверки
PT AF PRO
Политики защиты веб-приложений, пользовательские правила и управление событиями.
PT AF PRO 4.5.0: сохранённая справка, собранная в сентябре 2026. Повторное открытие портала ограничено; это не PT AF 3.
RuSIEM WAF
Правила фильтрации веб-трафика и интеграция с экосистемой RuSIEM.
Текущая страница продукта без номера сборки. Обзор версии 1.0 не используется для выводов об отсутствии функций в текущей версии.
SolidWall WAF
Позитивные модели и варианты размещения от одного узла до нескольких ЦОД.
Руководство по конфигурациям: версия 2.18, стр. 5; функциональное описание на сайте. Детальные эксплуатационные руководства предоставляются по NDA.
UserGate WAF
Публикация веб-сервисов, профили защиты и собственный язык правил.
Отдельный UserGate WAF 7.6.x, руководство от 18.05.2026. Функции NGFW на эту поставку не перенесены.
WAF Dallas Lock
Шлюз с фильтром содержимого, XML-схемами и кластеризацией Active–Passive.
Руководство WAF 2.16.31.2. Документы Dallas Lock 8.0 для защиты от НСД не используются.
Вебмониторэкс WAF
WAF-ноды NGINX/Angie и дополнительные средства защиты API.
Портал и сохранённая ветка 5.0; ПроAPI Защита — отдельный компонент. Состав подписки и версии модулей уточняются отдельно.
Гарда WAF
ModSecurity, модуль ML, антибот и ограничения по ключам клиента.
Портал Гарда WAF 3.2. Состав устанавливаемых модулей и лицензия уточняются отдельно.
Континент WEB / WAF
Активная фильтрация или анализ копии трафика; актуальное исполнение нужно сопоставить с v2.
Основания относятся к Continent WAF v2, английским User/Admin Guide. Соответствие текущему Континент WEB не установлено.
Немезида ВАФ (Nemesida WAF)
Фильтрующий модуль NGINX/Angie, отдельные ML- и API-компоненты.
Сохранённая компонентная документация сентября 2026; текущий портал закрыт антибот-проверкой. Free, ИИ МЛС и АПИ Фаервол различаются.
Это состав рассмотренных решений, а не полный перечень рынка. Подтверждения и открытые вопросы собраны на странице сравнения.
Облачный и локальный WAF: как выбрать поставку
В облачной схеме уточните, как трафик попадёт к сервису, где завершится TLS, кто хранит ключи и журналы и как меняется маршрут при недоступности провайдера. Наличие облачного управления не означает, что весь трафик обрабатывается в облаке.
Для локальной установки нужны вычислительные ресурсы, обновления, резервирование и ответственный за политики. В гибридной схеме отдельно укажите местонахождение фильтрующих узлов, аналитики и консоли. Сверьте исходящие соединения и возможность работы при их потере.
В предложениях сравнивайте приложения и домены, RPS, объём трафика, резервные узлы, хранение событий, API-модули и сопровождение. Цена без одинакового состава поставки не показывает разницу полной стоимости.
Внедрение WAF: от наблюдения к блокировке
- Составьте карту приложения. Домены, API, авторизация, загрузка файлов, WebSocket и критичные пользовательские операции.
- Выберите путь трафика. DNS, балансировщик, reverse proxy, модуль веб-сервера; исключите прямой обход защиты к origin.
- Согласуйте TLS. Ключи, сертификаты, их обновление и проверка соединения от WAF до приложения.
- Начните с наблюдения. Проверьте обычный трафик и легитимные интеграции, затем настройте узкие исключения.
- Включайте блокировку поэтапно. Повторите вход, оплату, поиск, загрузку и API-вызовы. У каждой перемены должен быть способ отмены.
- Проверьте отказ и обновление. Потеря узла, консоли, DNS или соединения не должна приводить к непредусмотренному обходу либо остановке сервиса.
WAF для NGINX и Angie
Есть несколько схем: модуль внутри веб-сервера, отдельный прокси перед ним или отправка копии запроса на анализ. Проверяйте совместимость версии NGINX/Angie с модулем и путь обновления. Если TLS завершается до WAF, нужно обеспечить передачу открытого HTTP в пределах согласованной архитектуры.
Балансировщики и CDN меняют видимый адрес клиента. Доверяйте заголовкам с исходным IP только от известных прокси: иначе ограничения по клиенту и аудит будут работать с неверным адресом. Отдельно проверьте большие тела запросов, потоковые ответы и WebSocket.
Поддержка NGINX указана, например, в документации агента PT AF PRO и ноды Вебмониторэкс. Конфигурацию одного продукта нельзя переносить на другой без проверки.
WAF для NGINX: настройка ModSecurity, CRS и проверка блокировки →
Российский аналог F5, Imperva, Akamai или Barracuda WAF
Начните с используемых функций прежней системы: политики, виртуальные серверы, iRules или пользовательские проверки, TLS, антибот, API, балансировка, CDN и защита от DDoS. Один WAF может закрыть лишь часть этого набора.
Перенос правил не гарантирует одинаковую обработку запроса. Сравните нормализацию, декодирование и порядок проверок, а затем повторите бизнес-операции и контрольные атаки на согласованном стенде. Для облачного edge-сервиса отдельно сравните географию обработки и сетевую защиту. Универсального соответствия «один зарубежный продукт — один российский» здесь нет.
Реестр российского ПО и сертификат ФСТЭК
Запись в реестре российского ПО и сертификат ФСТЭК решают разные задачи. Проверяйте юридическое лицо, точное название, исполнение и версию. Сертификат WAF не переносится на другой продукт той же компании или на любой облачный сервис.
Для сертифицированных межсетевых экранов веб-приложений встречается обозначение типа «Г». Применимость конкретного сертификата к проекту устанавливают по его области действия и требованиям системы. Число сертификатов у вендора не является оценкой качества защиты.
Проверить реестр российского ПО ↗ · Проверить реестр ФСТЭК ↗ · Как читать сертификат →
В этой подборке технические руководства и сертифицированные сборки не объявлены тождественными. Например, PT AF и PT AF PRO нужно проверять по разным исполнениям; английское руководство Continent WAF v2 ещё не подтверждает текущий состав Континент WEB.
Найденные записи ФСТЭК: дата и область проверки
Ниже — записи из выгрузки ФСТЭК, полученной 1 октября 2026. Дата из реестра не подтверждает соответствие рассмотренной документации сертифицированной сборке; текущий статус и состав проверяют перед закупкой.
| Наименование в реестре | Сертификат | Срок из выгрузки |
|---|---|---|
| cистема защиты приложений от несанкционированного доступа Positive Technologies Application Firewall | № 3455 | 2026-10-27 |
| cистема защиты приложений от несанкционированного доступа Positive Technologies Application Firewall | № 3455/1 | 2026-10-27 |
| межсетевой экран «BI.ZONE WAF» | № 4632 | 2027-12-15 |
| интеллектуальный сетевой экран для защиты веб-приложений SolidWall | № 4652 | 2028-02-13 |
| Шлюз безопасности Web Application Firewall (WAF) «Dallas Lock» («WAF Dallas Lock») | № 4863 | 2029-10-08 |
| платформа защиты веб-приложений «Вебмониторэкс» | № 4899 | 2029-12-28 |
| программный комплекс «Система защиты веб-приложений RuSIEM WAF» | № 5061 | 2031-04-28 |
| межсетевой экран уровня приложений «Гарда WAF» | № 5066 | 2031-05-07 |
Таблица не исчерпывает все исполнения. Для UserGate, Немезида ВАФ и Континент WEB в этом проходе соответствие записи конкретной поставке не установлено. Это не утверждение об отсутствии сертификата.
Вопросы о выборе WAF
Что такое WAF простыми словами?
WAF (Web Application Firewall) — межсетевой экран веб-приложений. Он проверяет HTTP-запросы и ответы по правилам защиты и может блокировать опасные обращения. HTTPS требует точки расшифровки. WAF помогает снизить риск эксплуатации уязвимости, но не исправляет код приложения.
Чем WAF отличается от NGFW?
NGFW контролирует сетевые соединения и приложения в сети. WAF сосредоточен на веб-запросах: URL, параметрах, заголовках и теле. У NGFW может быть WAF-модуль, но его наличие не подтверждает все возможности отдельного WAF-продукта.
Облачный WAF или локальный: что выбрать?
Сравните маршрут трафика, размещение ключей TLS и журналов, доступность внешнего сервиса, SLA и обязанности по настройке. Локальная поставка даёт контроль над размещением, но требует собственной эксплуатации. Облачная поставка тоже требует настройки приложения и обработки ложных срабатываний.
WAF защищает API?
Некоторые проверки WAF применимы к HTTP API. Инвентаризация интерфейсов, проверка OpenAPI, контроль доступа к объектам и GraphQL могут потребовать отдельных модулей. API управления самим WAF не является защитой API приложения.
Можно ли использовать WAF с NGINX?
Да, если продукт поддерживает нужную схему: модуль NGINX/Angie, внешний reverse proxy или анализ копии трафика. Версии, совместимость модулей, TLS и поведение при отказе проверяют по документации конкретного продукта. Обычная настройка reverse proxy сама по себе не превращает NGINX в WAF.