Apakah Firewall Aplikasi Web (Web Application Firewall-WAF)?

Firewall Aplikasi Web adalah khusus untuk mengesan dan menghentikan serangan yang menyasarkan Aplikasi Web, walaupun ia datang daripada komputer pelanggan yang dibenarkan untuk mengakses aplikasi (komputer ini mungkin dijangkiti virus yang menyerang tanpa disedari oleh penggunanya). Ia mempunyai akses kepada semua data HTTP (Hypertext Transfer Protocol) yang dihantar dari pelayar pelanggan kepada pelayan web dan boleh memahami dan mengesahkan serangan yang diketahui dan tidak diketahui (beberapa tingkah laku yang mencurigakan sering dikesan). 

Dengan proksi-balikan (reverse-proxy), ia memecahkan aliran HTTP untuk membina semua setiap permintaan dengan sendirinya selepas analisis dan pengesahan. Pelayan web tidak akan dihubungi secara langsung oleh komputer pelanggan : WAF akan menjadi satu-satunya pintu masuk, dan memeriksa trafik permintaan demi permintaan. "Kesan sampingan" yang sangat penting adalah, menjadi satu-satunya pintu masuk bermakna WAF juga dapat mengoptimumkan trafik dan mempercepatkan akses : pelayan web tidak perlu mengendalikan penyahsulitan (decryption) HTTPS, dan unsur-unsur statik (imej, CSS, halaman HTML statik) adalah di-"cache" dan dilayan secara langsung oleh komponen "caching" bagi WAF.

Firewall Aplikasi Web Berbanding Firewall Rangkaian

Firewall rangkaian standard, biasanya dipasang diantara rangkaian dalaman dan luaran (termasuk internet), ia bertindak sebagai pengawal dan tidak memahami keseluruhan logik bagi komunikasi antara pelayar dan aplikasi web. Ia selalunya melakukan kerja-kerja diperingkat rangkaian dan mengetahui sumber-sumber dan destinasi-destinasi, jadi ia tidak dapat menghalang pelanggan yang sah untuk menjalankan serangan terhadap pelayan web. Ia hanya dapat membuka "pintu" antara pelanggan dan pelayan, manakala WAF mengetahui secara tepat mengenai data yang melalui "pintu" ini.

Firewall Aplikasi Web Berbanding Rangkaian Persendirian Maya (Virtual Private Network-VPN)

VPN boleh pergi lebih jauh daripada Firewall Rangkaian : ia akan mengesahkan pengguna dan menyulitkan semua data yang dihantar menerusinya. Tetapi ia mempunyai peranan sebagai penjaga pintu, menyalurkan data dari pelanggan ke pelayan semasa mengendalikan penyulitan (encryption) / penyahsulitan (decryption). Ianya berfungsi pada tahap rangkaian dihadapan aplikasi HTTP/HTTPS, dan tiada pengetahuan yang mendalam mengenai aplikasi web : serangan Suntikan SQL ataupun Penskripan Laman-Silang (Cross-Site Scripting) akan dihantar kepada aplikasi dasar tanpa diperiksa.

Antara kebaikan WAF adalah pengesahan yang kukuh. Penggantian pengesahan standard yang disediakan oleh aplikasi Webmail (selalunya berasaskan direktori aktif) bagi kawalan yang lebih baik ke atas siapa yang mengakses perkhidmatan mel dari luar. Ia juga boleh menyekat semua serangan yang dikenali. Produk VPN tidak memeriksa kandungan peringkat-HTTP (ini bermaksud serangan yang diketahui disasarkan pada pelayan Webmail tidak disekat) seperti WAF, ia memberikan ciri-ciri pengesahan dan penyulitan. Disamping itu, WAF menambah prestasi kerana selain dari ciri penapisan, WAF turut bergantung pada teknologi proksi-balikan. Teknologi proksi-balikan boleh "cache" data statik, mengendalikan pemultipleksan HTTP dan bertindak sebagai titik akhir SSL (Secure Sockets Layer), sekaligus membebaskan sumber yang sepadan (memori, cakera, sambungan rangkaian dan CPU) pada pelayan Webmail. 

Antara produk yang menawarkan khidmat WAF ialah DenyAll. Anda boleh mendapatkan maklumat lebih lanjut daripada DenyAll.