Отличие от сетевого МЭ
Обычный сетевой межсетевой экран в первую очередь контролирует сетевые соединения и трафик между сегментами — WAF работает на уровне приложения.
Защищаем веб-приложения и API межсетевым экраном уровня приложений (WAF): от SQL-инъекций, XSS и других атак до части бот-трафика и L7 DDoS.
WAF — защита веб-приложений
WAF — защита веб-приложений и сервисов
Защищаем веб-приложения, API и личные кабинеты межсетевым экраном уровня приложений (WAF): анализируем HTTP/HTTPS-трафик и блокируем попытки эксплуатации уязвимостей — SQL-инъекции, межсайтовый скриптинг, включение файлов и другие типовые атаки, а также часть автоматизированного бот-трафика.
Особенности подхода
WAF работает на прикладном уровне
Специализированно анализирует HTTP/HTTPS-трафик веб-приложений и API — методы, заголовки, параметры, содержимое запросов и другие признаки атак.
Не заменяет исправление в коде
WAF не заменяет исправление уязвимостей в коде — это дополнительный рубеж защиты, а не альтернатива безопасной разработке.
Не защищает от объёмных DDoS
WAF не защищает от крупных объёмных DDoS-атак на канал — эти задачи решают другие услуги.
Когда актуально
Когда WAF особенно актуален
Особенно актуален в следующих ситуациях.
Публичное приложение с данными пользователей
Есть публичное веб-приложение, API или личный кабинет, обрабатывающие данные пользователей или платежи.
Известные уязвимости ещё не устранены
WAF даёт временное прикрытие, пока идёт исправление уязвимости в коде.
Требования заказчика или регулятора
Нужно соответствовать требованиям к защите веб-приложений.
Проблема с автоматизированным трафиком
Парсинг, подбор паролей, скликивание, скупка товара ботами.
Уже были атаки или сканирование
Приложение уже подвергалось атакам или регулярному сканированию на уязвимости.
Если WAF ещё нет
С чего начинаем, если WAF ещё нет
Отсутствие предыдущих проверок — стартовая точка, а не препятствие.
- Нет результатов аудита или тестирования на проникновение? Анализируем профиль легитимного трафика и настраиваем базовые защитные политики против типовых классов атак. Результаты аудита, pentest или SAST/DAST используем дополнительно — для приоритетной настройки правил и точечного виртуального патчинга.
- Не понимаете профиль легитимного трафика? Сначала анализируем типичные запросы пользователей, чтобы правила не блокировали ваших же клиентов.
- Приложение сложное, с частыми релизами? Сразу обсуждаем процесс поддержания правил в актуальном состоянии — WAF без сопровождения быстро устаревает вместе с приложением.
- WAF снижает вероятность эксплуатации известных классов уязвимостей веб-приложения, но не устраняет сами уязвимости в коде и не заменяет их исправление.
Смежные задачи
Как это соотносится с соседними услугами
Несколько услуг относятся к безопасности приложений, но решают разные задачи и работают на разных этапах.
WAF
Постоянно работающий защитный рубеж, который снижает риск эксплуатации уязвимостей и атак на веб-приложение.
SAST/DAST
Помогают выявлять уязвимости на этапе разработки и тестирования; их устранение выполняется в коде и конфигурации приложения.
Защита от DDoS
Отвечает прежде всего за доступность сервиса.
Pentest
Вручную проверяет эксплуатируемость и сложные сценарии атак, включая попытки обойти настроенный WAF.
Границы защиты
От чего защищает и не защищает WAF
Честная граница возможностей WAF — чтобы ожидания совпадали с реальностью.
Защищает от инъекций. SQL, командных и других — попыток передать вредоносный код через параметры запроса.
Защищает от XSS. Межсайтового скриптинга — внедрения вредоносных скриптов в отображаемый пользователю контент.
Защищает от включения файлов. И обхода путей — попыток получить доступ к файлам за пределами разрешённой области.
Защищает часть атак на аутентификацию. Например, попытки перебора учётных данных при настроенном ограничении частоты запросов.
Защищает от части бот-трафика. Парсинга, скликивания, скупки товара — при настроенных правилах и bot-management.
Защищает от части L7 DDoS. Избыточной нагрузки на ресурсоёмкие операции вроде поиска или формирования отчётов.
Не защищает от уязвимостей бизнес-логики. Которые внешне выглядят как легитимные действия пользователя — нужен ручной анализ и тестирование на проникновение.
Не защищает от объёмных L3/L4 DDoS. Для этого нужна отдельная защита от DDoS.
Не устраняет саму уязвимость. WAF снижает риск эксплуатации, но код остаётся уязвимым, пока не исправлен.
Не гарантирует обнаружение компрометации аккаунта. Для атак через легитимные, но скомпрометированные учётные записи применяются MFA, поведенческий анализ, antifraud/UEBA и другие механизмы.
Форматы работы
Форматы работы
От разовой настройки до сертифицированных решений.
01
Разовая настройка
- Подбор, установка и настройка правил под конкретное приложение
02
Регулярное сопровождение
- Обновление правил при изменениях приложения, разбор ложных срабатываний, отчётность
03
Виртуальный патчинг
- Оперативная настройка правила, снижающего риск эксплуатации конкретной найденной уязвимости на уровне WAF, пока не выпущено и не установлено исправление в самом коде
04
Подбор сертифицированного решения
- Если применимые требования предусматривают сертифицированное средство защиты информации — подбираем решение с действующим сертификатом ФСТЭК
Процесс
Как мы выстраиваем защиту
Прозрачный процесс с тестированием правил перед включением блокировки.
Анализируем приложение и трафик.
Архитектуру, используемые технологии, типичный профиль легитимных запросов и известные уязвимости — если есть результаты аудита или тестирования на проникновение.
Подбираем решение.
С учётом требований к сертификации, ожидаемой нагрузки, архитектуры (облако, on-premise, уровень CDN) и бюджета.
Настраиваем базовые правила.
С приоритетом на защиту известных классов атак — сначала в режиме наблюдения, где такой режим поддерживается выбранным решением, до включения блокировки.
Тестируем на легитимном трафике.
Проверяем, не блокируются ли реальные пользователи, донастраиваем правила по результатам.
Переводим в режим блокировки.
Поэтапно, начиная с правил, в которых уверены больше всего.
Настраиваем мониторинг и отчётность.
По срабатываниям, ложным блокировкам и попыткам атак.
Сопровождаем.
Обновляем правила при изменениях приложения и появлении новых уязвимостей, разбираем инциденты.
Результат
Что вы получаете
Понятный набор результатов защиты веб-приложения.
- Настроенный и протестированный WAF, отражающий актуальные для вашего приложения угрозы
- Виртуальный патчинг для уязвимостей, которые пока не исправлены в коде
- Минимизацию блокировки легитимного трафика — за счёт тестирования правил перед включением защиты
- Отчётность по попыткам атак и эффективности фильтрации
- При необходимости — решение с действующим сертификатом ФСТЭК
Особенности и ограничения
Особенности и ограничения защиты
Честно фиксируем границы того, что решает эта услуга.
Нет абсолютной гарантии
WAF снижает риск эксплуатации известных классов уязвимостей, но не гарантирует отсутствие успешных атак: новые техники обхода правил появляются постоянно.
Баланс правил
Слишком агрессивные правила могут заблокировать часть легитимных пользователей вместе с атакой — баланс настраивается на старте и уточняется по обратной связи.
Не устраняет причину
WAF не заменяет исправление уязвимостей в коде: виртуальный патчинг снижает риск временно, а не устраняет причину.
Требует регулярного пересмотра
Для приложений с частыми релизами правила WAF требуют такого же регулярного пересмотра, как и сам код — иначе они теряют актуальность.
Эскалация
Эскалация при обнаружении критичной уязвимости или атаки
Порядок согласуется на установочной сессии и фиксируется в договоре.
Что фиксируем заранее
Назначенных представителей заказчика, порядок их замещения и канал связи; целевое время оповещения о критичной находке или подтверждённой атаке; порядок действий, если контакт недоступен; вправе ли мы самостоятельно включать блокирующие правила при обнаружении активной атаки — по умолчанию согласуется заранее для типовых сценариев; порядок работы вне рабочего времени.
Границы ответственности
Настройка правил, виртуальный патчинг и оповещение о находках входят в услугу. Исправление уязвимости в коде выполняет команда разработки заказчика; мы можем проконсультировать по способу исправления, но не вносим изменения в чужой репозиторий без отдельной договорённости.
Метрики и конфиденциальность
Как измеряем результат и защищаем ваши данные
Показатели согласуем на старте, чтобы результат можно было оценивать по понятным и измеримым критериям.
- Доля подтверждённых критичных уязвимостей, для которых до исправления в коде реализованы согласованные правила виртуального патчинга
- Доля ложных блокировок легитимных запросов
- Время от подтверждения применимости критичной, внешне эксплуатируемой уязвимости до реализации временной меры на WAF — если такая компенсация технически возможна
- Количество и характер отражённых атак за период
- Доля приложений организации, охваченных настроенным и актуальным WAF
- Что не используем как показатель эффективности: общее число заблокированных запросов само по себе — оно отражает объём фильтрации, а не качество защиты, и может расти просто из-за роста фонового сканирования или бот-трафика
- Конфиденциальность: доступ к архитектуре приложения, структуре запросов и в отдельных случаях к содержимому трафика фиксируется до начала работ — NDA, защищённые каналы передачи данных и отчётности, ограничение доступа внутри команды и журналирование обращений
- Согласованное место обработки и хранения материалов, ограниченный срок хранения с возвратом или уничтожением по окончании работ
Регуляторный контекст
Регуляторный контекст
Ключевые нормы, применимые к защите веб-технологий.
Приказ ФСТЭК России № 117
Для государственных информационных систем и иных систем, подпадающих под Приказ ФСТЭК России № 117 в действующей редакции (вступил в силу 1 марта 2026 года, заменил приказ № 17; с 1 сентября 2026 года действует в редакции приказа ФСТЭК России № 137 от 08.05.2026), действующий методический документ ФСТЭК России от 12.04.2026 «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» предусматривает отдельную группу мер «Защита веб-технологий» (ЗВТ). В частности, мера ЗВТ.3 устанавливает требования к контролю и фильтрации трафика веб-приложений, а для веб-приложений, доступных из сети Интернет, предусматривает применение межсетевого экрана уровня веб-сервера или многофункционального межсетевого экрана уровня сети.
Сертификация ФСТЭК
Если применимые требования к конкретной системе предусматривают использование сертифицированных средств защиты информации и WAF используется для реализации соответствующих мер — например, для отдельных классов ГИС по приказу № 117 или уровней защищённости персональных данных по приказу ФСТЭК № 21 — подбираем продукт с действующим сертификатом ФСТЭК. Перед внедрением проверяем срок и область действия сертификата: продукт, редакцию или версию, конфигурацию и иные ограничения, указанные в реестре ФСТЭК.
Значимые объекты КИИ
Для значимых объектов КИИ защита веб-технологий учитывается в составе требований по обеспечению их безопасности, включая Приказ ФСТЭК № 239. Применимость и конкретный состав таких мер определяются по результатам категорирования, а не действуют автоматически для любой организации, работающей в отраслях, указанных в 187-ФЗ.
Нет отдельного требования к продукту WAF
Отдельного специального требования именно к продукту класса WAF как таковому — в отличие от требований к его сертификации для конкретных типов систем — не установлено. Важно не путать общий факт «у нас есть какой-то WAF» с конкретными требованиями к составу мер и сертификации.
Материалы настройки WAF, виртуального патчинга и отчётность по инцидентам могут использоваться как документы, подтверждающие принятые меры по защите веб-приложения. Подтверждением полного соответствия нормативным требованиям сам по себе факт использования WAF не является — соответствие подтверждается в порядке, установленном для конкретного типа проверки или аттестации.
Порядок работы
Порядок работы, сроки, стоимость и приёмка
Бесплатная первичная оценка (до 30 минут, без подключения к инфраструктуре) → предварительное определение задачи и требований к сертификации → договор и NDA → анализ приложения и трафика → подбор решения → настройка и тестирование → перевод в промышленную эксплуатацию → сопровождение.
Объём и договор
Объём услуги определяется числом защищаемых приложений, требованиями к сертификации, архитектурой (облако, on-premise, CDN) и форматом сопровождения. В договоре фиксируются состав работ, критерии приёмки и порядок эскалации при атаке.
Сроки
Ориентировочные сроки: анализ приложения и подбор решения — от 1 до 2 недель; настройка и тестирование — от 2 до 4 недель, далее — постоянное сопровождение.
Стоимость
Стоимость зависит от числа защищаемых приложений, требований к сертификации, нагрузки и формата сопровождения. Фиксируется до начала работ.
Пример проекта
Защита интернет-магазина и веб-сервисов розничной сети
Розничной сети требовалось решение для защиты главного портала интернет-магазина и ряда других веб-сервисов компании.
Что сделали. Внедрили систему защиты веб-приложений PT Application Firewall. Основным критерием выбора стало наличие механизмов корреляционного и поведенческого анализа, позволяющих блокировать атаки нулевого дня, а также противодействовать фроду, подбору паролей, вовлечению в ботнеты, DDoS-атакам и утечкам данных. Дополнительными факторами выбора стали быстрое развёртывание решения и удобная настройка защитных механизмов.
Результат. Выявлено более тысячи попыток атак, в том числе с использованием уязвимостей Shellshock, SQL Injection и XSS, а также попытки подбора паролей, загрузки вредоносного кода и использования сканеров для поиска уязвимостей в веб-приложениях. Снижены риски нарушения доступности сайтов, несанкционированного доступа к конфиденциальной информации компании и учётным данным пользователей, а также риск компрометации базы данных клиентов.
Наименование заказчика не разглашается в соответствии с соглашением о конфиденциальности.
Почему IST
Почему IST
Опыт защиты публичных веб-порталов и высоконагруженных сервисов.
С 2011 года
В сфере информационной безопасности с 2011 года.
Более 80 специалистов
Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве.
Лицензии ФСТЭК и ФСБ
Работаем в рамках требований регуляторов на основании действующих лицензий.
Опыт защиты веб-порталов
Опыт защиты публичных веб-порталов и высоконагруженных сервисов от атак на веб-приложения.
Настройка под приложение
Настраиваем правила под конкретное приложение и профиль трафика, а не устанавливаем WAF с настройками по умолчанию.
Полный цикл услуг
Анализ безопасности приложений, защита от DDoS, тестирование на проникновение, проактивный мониторинг.
FAQ
Частые вопросы
Ответы на главные вопросы заказчиков.
- Обязательно ли использовать именно сертифицированный ФСТЭК WAF? Зависит от требований, применимых к конкретной системе. Если соответствующие меры защиты должны реализовываться сертифицированным средством защиты информации и WAF используется для их реализации, подбираем продукт с подходящим действующим сертификатом ФСТЭК. Для систем, где такого требования нет, сертификация WAF сама по себе не является обязательным условием.
- Может ли WAF заменить исправление уязвимостей в коде? — Нет. WAF снижает риск эксплуатации уязвимости, пока она не исправлена, но сама уязвимость остаётся в коде. Виртуальный патчинг — это временная мера, а не альтернатива устранению причины.
- Поможет ли WAF от DDoS-атак? — Частично — от атак уровня приложения (L7), таких как избыточная нагрузка на ресурсоёмкие операции. От объёмных атак на канал и сетевые протоколы (L3/L4) WAF не защищает — для этого нужна отдельная защита от DDoS.
- Что если WAF начнёт блокировать реальных пользователей? — Там, где выбранное решение поддерживает режим наблюдения, правила сначала тестируем без блокировки на легитимном трафике и только затем поэтапно включаем блокирующий режим. Если ложные блокировки всё же случаются, донастраиваем правила по обратной связи.
- У нас уже есть ежегодный пентест — нужен ли ещё и WAF? — Да, если между проверками приложение остаётся без оперативной защиты от известных атак. Pentest — это периодическая проверка, WAF — постоянно работающий рубеж защиты; они дополняют друг друга, а не дублируют.
Обсудить защиту веб-приложения
Расскажите о приложении — оценим риски и предложим решение
Какие технологии использует, есть ли требования к сертификации, проводился ли аудит или тестирование на проникновение. Первичная оценка — бесплатно, до 30 минут, без подключения к инфраструктуре.