WAF: что это такое и как работает

WAF, Web Application Firewall — это средство защиты, которое ставится перед веб-приложением и проверяет каждый HTTP/HTTPS-запрос к нему до того, как запрос попадёт в код самого приложения. Если запрос выглядит как попытка эксплуатации уязвимости — например, содержит фрагмент SQL-кода в поле формы вместо обычного текста — WAF блокирует его или помечает как подозрительный, а легитимные запросы пользователей пропускает без заметной задержки.

В российской нормативной терминологии отдельного понятия «WAF» нет: ФСТЭК России сертифицирует такие продукты как межсетевой экран по профилю защиты типа «Г» — то есть формально это подкласс межсетевых экранов, специализированный на трафике к веб-приложениям. На практике же WAF — самостоятельный класс средств защиты в информационной безопасности: он решает задачу, которую не закрывают ни классический firewall, ни антивирус, ни системы обнаружения вторжений на сетевом уровне, — защиту логики конкретного веб-приложения от атак, спрятанных внутри легитимного на вид HTTP-запроса.

Термин чаще всего употребляют применительно к вебу — сайтам, личным кабинетам, веб-порталам, — но сопоставимые механизмы разбора протокола нужны и API. У этой задачи есть смежный, но отдельный класс — API Security (иногда его называют WAAP): там в фокусе не страницы для пользователя-человека, а сами программные интерфейсы, их инвентаризация и сверка со спецификацией.

Основная задача WAF — закрывать атаки уровня веб-приложения из классификации OWASP Top-10, которые обычный сетевой firewall не видит вовсе, потому что они спрятаны внутри легитимного на вид HTTP-запроса.

• SQL-инъекции. Внедрение SQL-кода в параметры запроса, чтобы получить или изменить данные в базе в обход логики приложения — подробнее разобрано в материале о SQL-инъекциях.
• XSS (межсайтовый скриптинг). Внедрение вредоносного скрипта в страницу, который затем выполняется в браузере другого пользователя.
• Удалённое выполнение кода (RCE) и включение файлов. Попытки заставить сервер выполнить произвольный код или подключить файл со стороннего источника.
• Обход аутентификации и авторизации. Манипуляции с сессией, токеном или параметрами запроса, позволяющие получить доступ к чужой учётной записи или чужим данным.
• Боты и автоматизированные сканеры. Массовые автоматизированные запросы, которые перебирают уязвимости, парсят контент или подбирают учётные данные.
• DDoS-атаки уровня приложения (L7). Волны запросов, имитирующих легитимную нагрузку на конкретную функцию сайта, — в отличие от объёмных сетевых DDoS-атак, разобранных в материале о DDoS-атаках, которые перегружают канал или сетевую инфраструктуру, а не логику приложения.

Отдельная функция многих WAF — виртуальный патчинг: если в веб-приложении найдена уязвимость, а разработчик ещё не выпустил официальное обновление, WAF можно настроить так, чтобы он временно блокировал именно тот тип запросов, который эту уязвимость эксплуатирует, — не трогая код самого приложения.

WAF анализирует каждый запрос по правилам и сигнатурам известных атак, а в более развитых продуктах — ещё и по поведенческим моделям, которые ищут отклонение от типичного трафика к конкретному приложению. Настройка WAF описывается двумя парами понятий, которые определяют, насколько агрессивно он вмешивается в трафик.

На практике зрелые WAF комбинируют оба подхода: сигнатурный анализ быстро отсекает массовые известные атаки и автоматизированных ботов, а поведенческая модель и точечные позитивные правила для критичных разделов приложения — например, формы оплаты или личного кабинета — ловят более целевые и нестандартные попытки эксплуатации.

Разница между тремя классами — в том, на каком уровне модели OSI они работают и что именно видят в трафике. Обычный firewall смотрит только на сетевые атрибуты пакета, NGFW добавляет распознавание приложений и глубокую инспекцию на уровне сети в целом, а WAF разбирает содержимое конкретного HTTP-запроса к конкретному веб-приложению.

↔ таблицу можно прокрутить вбок

На практике границы размыты чаще, чем следует из таблицы: многие российские вендоры продают WAF-модуль как часть экосистемы NGFW и сертифицируют оба сценария по одному и тому же профилю защиты межсетевого экрана типа «Г». Для организации это означает, что WAF стоит выбирать не по формальному названию продукта, а по тому, действительно ли он разбирает содержимое HTTP-запроса к её конкретному приложению — периметровый NGFW эту задачу решает лишь частично.

В России нет отдельного профиля сертификации именно для WAF — такие продукты проходят сертификацию ФСТЭК как межсетевой экран по профилю защиты типа «Г» четвёртого класса (ИТ.МЭ.Г4.ПЗ). В общем классе межсетевых экранов Реестра российского ПО (код 03.03) числится 136 записей, но этот код общий для всех типов МЭ — классических сетевых, NGFW/UTM и WAF, — отдельного счётчика специализированных WAF в реестре нет, поэтому судить о размере рынка WAF по этой цифре напрямую нельзя.

По данным SecRadar, из этих 136 записей класса 03.03 «межсетевые экраны» специализированных WAF и WAF-модулей — около 10; это редакционная выборка, отобранная вручную по названию продукта и профилю сертификации, а не отдельный официальный реестровый счётчик.

Специализированных WAF и WAF-модулей с действующим сертификатом ФСТЭК на рынке несколько: среди них — Positive Technologies Application Firewall (PT AF, реестровый номер продукта — 1141), один из первых сертифицированных enterprise-WAF в стране, специализированный «чистый» WAF-вендор SolidWall WAF (реестровый номер продукта — 8453), платформа защиты веб-приложений «Вебмониторэкс» (WMX) — правопреемник технологии Wallarm в России, WAF-модуль в экосистеме UserGate WAF (реестровый номер продукта — 28542), а также более новые продукты WAF Dallas Lock и RuSIEM WAF.

У части продуктов на рынке — например, у WAF «Гарда» и у устаревшего WAF-модуля «Континент» — на момент проверки действующий сертификат ФСТЭК или запись в Реестре российского ПО не подтверждаются, поэтому статус конкретного продукта важно проверять отдельно перед закупкой для КИИ или госсектора, а не полагаться на маркетинговые материалы вендора.

Полное сравнение — со статусом сертификатов ФСТЭК, датой их выдачи и сроком действия, а также с нейтральной оценкой зрелости, покрытия и рыночного присутствия каждого продукта — собрано на странице класса «Российские WAF» на SecRadar. Там же — чек-лист критериев выбора WAF для тех, кто уже сузил задачу до конкретного продукта.