WAF 是什么? 网站有防火墙了还需要 WAF 吗? WAF 优势与申请方式

WAF 是什么?

WAF (Web Application Firewall，网站应用程式防火墙)用于监控网站流量并过滤出可疑流量并拒绝恶意流量进入，同时拦截骇客攻击和恶意程式，比对病毒与恶意程式资料库，保护网站免受网路攻击，确保网站应用程式安全。如果没有 WAF，网站应用程式与网站很容易成为 DDoS 攻击、SQL 注入和其他网路攻击的目标。

网站有 Firewall，还需要 WAF 吗?

WAF 与 Firewall 传统防火墙最主要的差异在于防护的资料层级不同。传统防火墙 Firewall 主要防护辨识的範围最多只可到 OSI 模型第 4 层传输层，然而随着科技发达，骇客手法不断更新，网路攻击如今也已能轻鬆进攻至第 7 层应用层，入侵网站应用程式的漏洞，但传统防火墙无法辨识到第 7 层应用层的应用程式内容，也因此造就 WAF 的诞生。

WAF 可防护第 4 层传输层以上，主要的防护目标为第 7 层应用层的网站应用程式内容，相对于只能针对来源 IP/Port number (端口)阻拦恶意请求的传统防火墙，WAF 还可辨识网站传输的 HTTP 请求，且可透过调整 WAF 防火墙安全规则加强防护机制。WAF 比 Firewall 传统防火墙更能因应多变的网路攻击，符合现今网站的资讯安全需求。

WAF 推荐

各厂牌 WAF 服务各有所别，进阶一点的 WAF 可支持多样化安全规则条件设置，相较于较旧款的 WAF，新型的 WAF 服务提供简易操作的介面，可快速设定 WAF 安全规则，并透过逻辑检测引擎与机器学习提高检测精準度，识别未知病毒或新网路攻击模式，透过可视觉化的数据图也能更好掌握防护策略。WAF 比传统防火墙 Firewall 需要更高的管理与维运门槛，因此选择方便管理的 WAF 系统与灵活设定防护规则对于往后操作会容易一些。

WAF 申请

WAF 是较客製化的资安工具，我自己只有一个网站而已因此是直接购买 for one domain 的 WAF，如果是有多个网站需要 WAF 或是其他客製化需求，例如特殊的安全规则设定等，最好是可以向 WAF 厂商谘询后再申请会比较好。

参考文章: WAF 与传统防火墙 Firewall 的差异， WAF 推荐远离 DDoS 等网路攻击威胁