Web 应用程序防火墙 (WAF) 会过滤和监测 Web 应用程序与互联网之间的 HTTP 流量，以此来保护 Web 应用程序安全。它通常会保护 Web 应用程序免受各种形式的攻击，例如跨站点伪造、跨站点脚本 (XSS)、文件包含以及 SQL 注入等。 WAF 属于协议第 7 层防御策略（OSI 模型中），并不能抵御所有类型的攻击。此攻击缓解方法通常隶属于一套工具，整套工具共同针对一系列攻击手段建立整体防御措施。
通过在 Web 应用程序前端部署 WAF，可在 Web 应用程序与 Internet 之间形成一道屏障。虽然代理服务器通过中介保护客户机的身份，但 WAF 是一种反向代理，引导客户端通过 WAF 到达服务器，从而防止暴露服务器。
WAF 通过一组通常称为“政策”的规则进行运作。这些政策旨在过滤恶意流量，防止受到应用程序漏洞的侵害。WAF 的部分价值在于可以快速简便地修改政策，因而可以更迅速地响应不同的攻击手段。在 DDoS 攻击期间，可通过修改 WAF 政策快速实施速率限制。
黑名单与白名单 WAF 之间有什么区别？
基于黑名单（消极安全模型）运行的 WAF 可防范已知攻击。您可以将黑名单 WAF 想象为俱乐部保镖按指示拒绝接待不符合着装要求的客人。相反，基于白名单（积极安全模型）的 WAF 仅允许接受预先批准的流量。类似于奢华派对保镖，只接待出席名单列出的客人。无论黑名单还是白名单，二者都有各自的优缺点，因此很多 WAF 提供混合安全模型，综合实施两种方法。
什么是基于网络、基于主机和基于云的 WAF？
WAF 可以通过三种不同的方式来实施，每种方式都有各自的优缺点：
- 基于网络的 WAF 通常基于硬件。由于采用本地安装模式，因而可以最大限度地缩短延迟，但基于网络的 WAF 费用最昂贵，而且还要安装和维护物理设备。
- 基于主机的 WAF 可完全集成至应用程序软件。这种解决方案的成本低于基于网络的 WAF，而且还能提供更多定制功能。基于主机的 WAF 的缺点在于，占用本地服务器资源，实施起来复杂，而且还会产生维护成本。这些组件通常需要预留维护时间，可能成本较高。
- 基于云的 WAF 是一种极易实施的经济型方案；通常提供一站式安装服务，就像更改 DNS 来重定向流量一样简单。另外，基于云的 WAF 的前期成本最低，因为用户按月或按年支付安全即服务费用。基于云的 WAF 还可以提供持续更新解决方案以抵御最新威胁，用户无需额外开展工作或投入成本。基于云的 WAF 的缺点在于，用户将责任转嫁给第三方，因此对他们而言，WAF 的某些功能可能成为黑盒。（基于云的 WAF 是一种云防火墙类型；了解有关云防火墙的更多信息。）
[…] 正确的手段应该是使用高防CDN，顾名思义就是使用高防御的CDN。高防CDN不仅可以防御DDOS攻击，同时可以防御黑客入侵，带兼具CDN加速功能。比如百度云防御就是这类安全CDN，百度云防护是百度旗下智能云提供的一种安全加速服务，通过智能DNS解析和动静态内容缓存技术，帮助用户提升业务的访问速度和用户体验。百度云防护集成了WAF、DDoS、CC防护能力，解决SQL 注入、XSS 跨站、Webshell 上传、非授权访问等多种 Web 服务攻击防护，有效解决 SYN Flood/ACK Flood/ICMP Flood/UDP Flood 等多种网络层 DDoS 攻击，以及 CC 攻击等应用层攻击，具备最高 T 级的 DDoS 防护能力。 […]