WAF: как выбрать и настроить Web Application Firewall в 2026

, обновлено (2 редакция)

📋 Кратко

Полное руководство по выбору WAF в 2026: облачные и серверные решения, критерии выбора, лучшие практики настройки

⏱ 4 минуты чтения│сложность

🆕 НОВОЕ В МАТЕРИАЛЕ

Добавлен раздел «Российские WAF: обзор рынка 2026» с данными сравнения Anti-Malware.ru (6 продуктов, 235 критериев)
Добавлен раздел «Новые вызовы: API, LLM-атаки и AI-угрозы» с анализом современных векторов атак
Добавлены highlight-box с ключевой статистикой по рынку российских WAF
Расширены рекомендации по выбору WAF — 6 пунктов с учётом трендов 2026 года
Уточнена секция лучших практик 2026

Энергетический щит WAF фильтрует трафик в дата-центре
Энергетический щит WAF фильтрует трафик в дата-центре

Что такое WAF

Web Application Firewall (WAF) — это межсетевой экран для веб-приложений, который анализирует HTTP-трафик и блокирует подозрительные запросы до того, как они достигнут приложения.

Три архитектуры WAF как голографические схемы над городом
Три архитектуры WAF как голографические схемы над городом

WAF работает на уровне приложений (уровень 7 модели OSI) и защищает от атак, которые традиционные сетевые файрволы не видят: SQL-инъекции, XSS, CSRF, path traversal.

Типы WAF

1. Облачный WAF

Размещается у провайдера (Cloudflare, AWS WAF, Qrator). Не требует установки на сервер — трафик проходит через облако провайдера.

Панель критериев выбора WAF в центре мониторинга
Панель критериев выбора WAF в центре мониторинга

Плюсы: простота настройки, защита от DDoS, автоматические обновления правил.

Минусы: задержка, стоимость трафика, зависимость от провайдера.

2. Серверный WAF

Устанавливается на ваш сервер как модуль веб-сервера (ModSecurity для Apache/Nginx) или как reverse proxy.

Плюсы: полный контроль, нет задержки облака.

Минусы: требует администрирования, потребляет ресурсы сервера.

3. Гибридный WAF

Комбинация облачного и серверного: базовые правила на облаке, специфичные — на сервере.

Критерии выбора WAF

  • Производительность: задержка не должна превышать 5 мс
  • Точность: минимум ложных срабатываний
  • Правила OWASP: поддержка OWASP ModSecurity Core Rule Set
  • Кастомизация: возможность писать свои правила
  • Логирование: детальные логи для расследования инцидентов
Режим обучения WAF с чеклистом лучших практик
Режим обучения WAF с чеклистом лучших практик

Лучшие практики 2026

  • Начинайте с режима обучения (log-only) на 2-4 недели
  • Регулярно обновляйте правила из OWASP CRS
  • Настройте алерты на критические события
  • Интегрируйте WAF с SIEM-системой
  • Проводите пентесты с включённым WAF
Шесть российских WAF-вендоров на рынке 2026 года
Шесть российских WAF-вендоров на рынке 2026 года
⚠ Ключевая статистика: По данным исследования Anti-Malware.ru (февраль 2026), российский рынок WAF насчитывает 6 сертифицированных продуктов, сравниваемых по 235 критериям. 73% заказчиков называют качество обнаружения атак главным критерием при выборе WAF. При этом доля потерянного легитимного трафика остаётся одной из главных «болей» эксплуатантов — ложные срабатывания беспокоят более 60% опрошенных.

Российские WAF: обзор рынка 2026

В феврале 2026 года аналитики Anti-Malware.ru провели масштабное сравнение российских продуктов класса WAF. В исследовании участвовали шесть вендоров: Positive Technologies (PT Application Firewall), SolidSoft (SolidWall WAF), WMX (Вебмониторэкс ПроWAF), ГК «Гарда» (Гарда WAF), Pentestit (Немезида ВАФ) и ГК «Конфидент» (WAF Dallas Lock). Методология охватывала 235 критериев, разделённых на четыре категории: общие сведения, архитектура и взаимодействие с инфраструктурой, реализация механизмов защиты, эксплуатация и обслуживание.

Три слоя новых киберугроз требуют комплексной защиты
Три слоя новых киберугроз требуют комплексной защиты

Ключевые направления развития российских WAF в 2026 году:

  • Машинное обучение и ИИ: все шесть продуктов заявили о применении алгоритмов ML для выявления аномалий. PT Application Firewall и SolidWall WAF реализовали поведенческий анализ на основе нейросетей.
  • API Firewall: защита программных интерфейсов стала обязательной функцией — OWASP выделил отдельный рейтинг OWASP API Security Top 10 под натиском атак на межсистемное взаимодействие.
  • Виртуальный патчинг: возможность закрывать уязвимости без остановки сервиса — один из главных запросов заказчиков.
  • Позитивная модель безопасности: только 3 из 6 российских продуктов полностью поддерживают «белые списки» разрешённых запросов.
  • Интеграция с SIEM и SOAR: обязательное требование регуляторов для объектов КИИ, включая передачу событий по Syslog и CEF.

Согласно опросу AM Live (2026), для 67% респондентов определяющим фактором при выборе WAF является качество обнаружения атак. Второй по значимости критерий — простота администрирования (54%). Интеграция с существующей инфраструктурой безопасности важна для 48% опрошенных.

Новые вызовы: API, LLM-атаки и AI-угрозы

Ландшафт угроз веб-приложений в 2026 году претерпел значительные изменения. Помимо классических OWASP Top 10, появились новые векторы, с которыми должен справляться современный WAF.

Пошаговый алгоритм выбора WAF для предприятия
Пошаговый алгоритм выбора WAF для предприятия

Атаки на API вышли на первый план. Злоумышленники активно эксплуатируют изъяны межсистемного взаимодействия: массовый сканинг эндпоинтов GraphQL, эксплуатация некорректно настроенных REST-маршрутов, внедрение вредоносных запросов через WebSocket. По данным Anti-Malware.ru, количество атак на API в 2026 году выросло на 340% по сравнению с 2024 годом.

Prompt Injection через веб-формы — новый класс атак, нацеленный на LLM-агентов, интегрированных в веб-приложения. WAF должны распознавать попытки внедрения команд в поля ввода, передаваемые AI-моделям. Техника LLM-hijacking через маскировку запросов под легитимные бизнес-операции уже фиксируется в продакшен-среде российских компаний.

Living Off Trusted Sites (LoTS): Microsoft и Positive Technologies предупреждают о росте техники, при которой злоумышленники используют легитимные веб-сервисы для маскировки командных каналов. Традиционные WAF, анализирующие только сигнатуры, пропускают такой трафик, поэтому всё более востребован анализ поведения и репутационные фильтры.

⚠ Ключевой вывод: Современный WAF обязан сочетать минимум три модели защиты: сигнатурную (OWASP CRS), поведенческую (ML-аномалии) и репутационную (анализ источника). Только такой комплексный подход обеспечивает защиту от классических SQL-инъекций, новых AI-угроз и атак на API одновременно. По данным Anti-Malware.ru, лишь 2 из 6 российских WAF полностью реализуют все три модели на уровне enterprise-класса.

Рекомендации по выбору WAF в 2026 году

  1. Определите модель развёртывания: облачный WAF (Cloudflare, Qrator, AWS WAF) подходит для защиты публичных веб-сайтов и магазинов. Серверный (ModSecurity, PT AF, SolidWall) — для корпоративных приложений и КИИ. Гибридный вариант даёт максимальную гибкость.
  2. Проверьте сертификацию ФСТЭК: для объектов КИИ и госинформационных систем обязательна сертификация WAF по требованиям ФСТЭК России. Из российских продуктов сертификаты имеют все шесть участников сравнения Anti-Malware.ru.
  3. Требуйте API Firewall: протестируйте WAF на защиту не только классических HTTP-эндпоинтов, но и GraphQL, WebSocket, gRPC. В 2026 году это не опция, а необходимость.
  4. Оцените точность: запросите у вендора статистику ложных срабатываний (FP rate). Комфортный уровень — не более 1% при блокирующем режиме. Для этого стоит начать с режима обучения на 2–4 недели.
  5. Интегрируйте с SIEM: проверьте поддержку форматов CEF, LEEF, Syslog. Современный WAF должен передавать события в центральный SOC в реальном времени.
  6. Планируйте нагрузку: WAF с ML-модулями потребляет на 15–30% больше ресурсов, чем чисто сигнатурный. Учитывайте это при выборе аппаратной или виртуальной платформы.

📚 Читайте также

📖 Термины

OWASP · WAF · КИИ · Пентест

🔗 Источники