近來網路資安事件頻傳，甫來到2023年的第二季，就發生許多大型網路攻擊、資料竊取、服務癱瘓等事件，詳見2022~2023年重大資安事件回顧，因此越來越多企業意識到傳統防火牆(Firewall)不再足以協助防護惡意攻擊，開始安裝WAF，增加網站防護力。
WAF是什麼 ?
WAF (Web Application Firewall) 是用來保護網站應用程式，WAF通常用於OSI網路架構第七層應用層，在網站應用程式及網際網路之間形成一個防護，透過監控網站應用程式的HTTP流量、阻擋存有安全威脅及惡意流量進入，避免網站出現常見的安全漏洞及受到駭客攻擊。
WAF與傳統防火牆(Firewall)的差別
傳統防火牆一直是網路資安的第一道防線，防火牆是能夠監控傳入和傳出網路流量的網路資安裝置，其主要目標是保護網路的機密性、完整性及可用性。
然而，傳統防火牆主要工作範圍最多只到OSI網路架構第四層傳輸層，無法判讀應用層中HTML或SQL等程式語言，而現今面對的資安威脅手法層出不窮，能輕易的入侵網站應用程式攻擊到第七層，一旦受到攻擊，不僅僅只有公司資源會受到影響，其用戶的資訊也有可能外洩，因此搭配WAF防火牆才會是較安全完善的作法。
WAF的優勢是什麼
WAF除了透過即時的監控及分析保護網站應用程式受到攻擊之外，也提供了客製化的保護，可根據不同的網站應用程式來做不同的訪問控制規則。
OWASP Top 10為目前政府與大多數資安業者都會參考的指標，而WAF檢測及阻擋的其中一項重要指標就是OWASP Top 10所規範的風險弱點，若企業目前沒有其他資安相關的防護工具，並且想減輕開發人員的負擔，就會建議使用WAF來抵擋大部分的安全威脅，使開發人員能夠專心在開發網站及邏輯編排上。
因此，若要想有效的保護網站，除了需要定期使用獲得資通安全管理法採購指引懶人包推薦的OKWASP，進行網站動態弱點掃描，及早發現弱點，進行修復之外，綜合使用WAF與防火牆，更能夠在日常工作獲得更全面的網路安全防護。