Межсетевой экран веб-приложения (WAF)
Определение
Межсетевой экран веб-приложения (WAF) — защитный слой перед приложением, который проверяет HTTP-запросы и ответы по правилам и блокирует часть известных шаблонов атак.
Также ищут: Web Application Firewall · WAF · application-layer firewall · фильтр web requests
Зачем это знать
WAF полезен как временная защита и против массовых атак, но даёт ложные срабатывания, допускает обходы и не видит всю логику браузера и бизнеса.
Карта понятия
Что подтверждено
Шлюз API или WAF может до приложения фильтровать запросы, ограничивать ресурсы и записывать телеметрию применения правил.
Граница применимости: Защитный слой перед выполнением API.
WAF не устраняет причину XSS или ошибку бизнес-логики, может быть обойдён и не видит пути выполнения только в DOM; защита в приложении остаётся обязательной.
Граница применимости: Различие между WAF и защитными мерами самого приложения.
Что проверить
- Определите защищаемые маршруты.
- Настройте режимы наблюдения и блокировки.
- Исправляйте первопричину в коде.
Первоисточники
- Guidelines for API Protection for Cloud-Native Systems
Задаёт API lifecycle controls для authentication, authorization, rate limits, resource limits, logging и monitoring.
Утверждения: 01
- Cross Site Scripting Prevention Cheat Sheet
Определяет context-specific output encoding и safe sinks; CSP и WAF рассматривает как дополнительные, а не основные XSS controls.
Утверждения: 02
- Input Validation Cheat Sheet
Задаёт раннюю server-side проверку syntax и semantics, allowlist approach и границу с output encoding.
Утверждения: 02