传统的防火墙也可以提供一些防护，只是WAF更具有专一性，可以检测应用程序的行为是否如设计的那样，WAF使用户能够编写特殊的规则来防止攻击再次发生。 合格的WAF产品需要完全解析和分析HTTP，提供正面的安全模型，正面的安全政策只允许被认为合法的传输流通过。这种有时叫做“白名单”的特性为应用提供外部输入确认保护。应用层规则，WAF规则应当普遍适用，能够检测如SQL注入这种攻击的变种。基于会话的保护，HTTP最大的缺点之一就是缺少内建的可靠会话机制。WAF必须弥补应用会话管理的不足，保护它免受基于会话的和长时间的攻击。提供细粒度的政策管理。 选择web应用防火墙的标准： 一个关注提高应用软件的安全性的开放社区――开放Web应用安全项目(OWASP)建议使用以下选择WAF的标准： 非常少的误报警(即，永远应当允许授权的请求)；缺省(出厂配置)防御措施的强度。高性能和易于学习的模式；可以防御的安全漏洞的类型；将不同用户限制在他们在当前会话中所看到的东西的能力；配置防止特殊问题(如紧急补丁)的能力；形式，最好是硬件产品。 若想认识并用好WAF，企业需要了解独立与集成产品之间的差异（关注imperva waf）。需要了解将WAF功能集成到已有的应用和网络安全产品中的厂商与那些专业从事应用安全的厂商之间的差别。决定谁更适合你取决于多种因素，包括你已经安装的东西、你需要的安全水平以及你是否愿意使用专用产品还是那些提供多种功能的产品。
来源：oschina
链接：https://my.oschina.net/u/3778504/blog/1841385