Содержание
Сайт, личный кабинет клиента, API для мобильного приложения — то, что компания открывает в интернет, атакуют чаще всего: SQL-инъекции, межсайтовый скриптинг, перебор паролей, боты-парсеры, DDoS на уровне приложения. Защита веб-приложений — задача отдельного класса средств, WAF. Разбираем, что такое WAF и чем он отличается от обычного межсетевого экрана, какой сертификат ФСТЭК нужен для аттестуемых систем, какие бывают варианты поставки и чем отличаются российские WAF из нашего каталога — PT Application Firewall PRO, UserGate WAF, RuSIEM WAF и «Гарда WAF».
Что такое WAF и от чего он защищает
WAF (Web Application Firewall) — межсетевой экран уровня веб-приложений. Он стоит перед сайтом или API и разбирает каждый HTTP(S)-запрос: что за параметры, куда обращается клиент, похож ли запрос на атаку. Подозрительное блокирует, легитимное пропускает дальше.
Типичные задачи WAF:
- защита от атак из списка OWASP Top-10 — инъекции, XSS, ошибки контроля доступа;
- защита API — сверка запросов со спецификацией и с нормальным поведением;
- отсечение ботов: парсеров, переборщиков паролей, накрутки;
- отражение DDoS-атак на уровне приложения;
- виртуальный патчинг — закрыть найденную уязвимость правилом WAF, пока разработчики исправляют код.
Современные WAF дополняют сигнатуры поведенческим анализом и машинным обучением — так ловятся атаки, под которые ещё нет правил.
Чем WAF отличается от NGFW и защиты от DDoS
NGFW работает с сетевыми соединениями и приложениями «в целом»: кто с кем соединяется, по какому протоколу, разрешено ли это политикой. Часть NGFW умеет разбирать HTTP и находить веб-атаки, но логику конкретного веб-приложения — схему запросов, параметры форм, вызовы API — они обычно не учитывают. WAF специализируется именно на этом: понимает структуру HTTP-запроса, параметры и спецификацию API.
Защита от DDoS отражает объёмные атаки на каналы и сетевую инфраструктуру. WAF закрывает атаки уровня приложения, где запросов немного, но каждый тяжёлый. Поэтому на крупных проектах эти средства ставят вместе: например, «Гарда WAF» передаёт свои чёрные списки в Гарда Anti-DDoS.
О типах межсетевых экранов и классах ФСТЭК подробно — в статье о выборе межсетевого экрана.
Что требует ФСТЭК и какой нужен сертификат
В методическом документе ФСТЭК «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» (утверждён 12 апреля 2026 года) контролю трафика веб-приложений посвящена мера ЗВТ.3 «Контроль и фильтрация трафика веб-приложений». Она входит в базовый набор для классов К3, К2 и К1, а для К1 добавляется усиление — анализ полезной нагрузки (вложений) пользовательских запросов. Фильтрация должна обнаруживать как минимум управляющие конструкции в запросах (SQL, JavaScript, системные команды), нарушение схемы запроса, пароли и другую чувствительную информацию в открытом виде, работу сканеров уязвимостей и перебор паролей.
Для веб-приложений, доступных из интернета, мера реализуется межсетевым экраном уровня веб-сервера (это тип «Г» по классификации ФСТЭК) или многофункциональным межсетевым экраном уровня сети. Если меру закрывают отдельным WAF, для ГИС, ИСПДн и значимых объектов КИИ берут средство с сертификатом по профилю защиты МЭ типа «Г» нужного класса; другой путь — многофункциональный межсетевой экран с нужными функциями фильтрации запросов. Все четыре WAF ниже сертифицированы как МЭ типа «Г» 4 класса с 4 уровнем доверия.
Сертификат PT Application Firewall № 3455 по госреестру ФСТЭК действует до 27.10.2026; поддержку сертифицированных версий заявитель указывает до 01.06.2029. Если WAF покупают под аттестацию после этой даты, статус сертификата проверим на день закупки.
Ещё одна оговорка: сертификат распространяется на конкретную версию и сборку. У «Гарда WAF», например, в сертифицированной версии 3.0 недоступны модули машинного обучения и встроенный сканер — это нужно учитывать, если сертификат обязателен.
Где разместить WAF: свой сервер, ПАК или облако
- На своём сервере или виртуальной машине — WAF целиком под вашим контролем, трафик не уходит наружу. Нужны ресурсы и администратор.
- Программно-аппаратный комплекс — производитель поставляет оборудование с WAF, подобранное под нагрузку.
- Облако (SaaS) — трафик сайта идёт через облако производителя, своё оборудование не нужно, подключение занимает около дня. Так работают PT Cloud Application Firewall и SaaS-вариант «Гарда WAF».
Российские WAF: сравнение
| PT Application Firewall PRO | UserGate WAF | RuSIEM WAF | «Гарда WAF» | |
|---|---|---|---|---|
| Сертификат ФСТЭК (МЭ типа «Г» 4 класса) | № 3455 до 27.10.2026, сертифицирована версия 4.1.4.7469 | № 3905 до 26.03.2031 | № 5061 до 28.04.2031 | № 5066 до 07.05.2031, версия 3.0 |
| Что лицензируется | запросы в секунду: от 1 000 до 100 000, плюс полоса пропускания | тип аппаратной платформы или число ядер виртуальной машины | запросы в секунду: конфигурации от 1 до 100 000 | легитимные запросы в секунду: от 100 до 100 000 |
| Срок лицензии | лицензия с обновлениями на 12 месяцев, продление отдельной позицией | бессрочная, первый год обновлений включён | бессрочная | бессрочная или срочная; SaaS — подписка от 1 до 12 месяцев |
| Поставка | Standalone или кластер | программно-аппаратный комплекс или виртуальный образ | контейнеры Docker и Kubernetes, совместимость с Astra Linux | свой сервер, облако заказчика, ПАК или SaaS |
| Особенности | клиентский модуль WAF.js против XSS и CSRF в браузере, мультитенантность | тысячи встроенных правил, базы обновляются без обновления ПО | передача событий в RuSIEM, работа в закрытом контуре | антибот с собственной капчей, встроенный сканер, защита от передачи номеров карт |
У Positive Technologies есть и предыдущая линейка — PT Application Firewall 3: с сентября 2026 года основные ресурсы производитель направляет на PT AF PRO, а действующих заказчиков PT AF 3 продолжает поддерживать.
Как выбрать WAF
- Посчитайте нагрузку. Средний и пиковый поток запросов в секунду (RPS) по всем защищаемым сайтам и API — основа лицензии у большинства WAF.
- Перечислите ресурсы. Сколько доменов и публичных адресов, есть ли API и мобильное приложение.
- Решите про сертификат. Нужен ли МЭ типа «Г» для аттестации — и какие функции есть именно в сертифицированной версии.
- Выберите размещение. Свой сервер, ПАК или облако — зависит от того, готовы ли вы пропускать трафик через внешнюю площадку и есть ли кому администрировать.
- Проверьте интеграции. Передача событий в SIEM, связка с защитой от DDoS, межсетевым экраном и потоками Threat Intelligence.
- Проведите пилот. WAF важно проверить на собственном приложении: ложные срабатывания на ваших формах и API видны только на реальном трафике.
Сколько стоит WAF и как купить
Стоимость всех WAF считается под проект — от нагрузки, способа поставки, срока и сертифицированной версии, поэтому в каталоге они «по запросу». Пришлём опросный лист производителя, организуем пилот и подготовим КП и счёт для юрлица.
Частые вопросы
Нужен ли WAF, если уже есть NGFW? +
NGFW контролирует сетевые соединения и приложения; часть NGFW умеет разбирать HTTP и находить веб-атаки, но логику конкретного сайта — схему запросов, параметры форм, вызовы API — специализированный WAF учитывает глубже. Методический документ ФСТЭК от 12 апреля 2026 года допускает закрыть меру ЗВТ.3 для веб-приложений, доступных из интернета, либо межсетевым экраном уровня веб-сервера, либо многофункциональным межсетевым экраном уровня сети — проверьте, есть ли у вашего NGFW нужные функции фильтрации запросов и сертификат.
Обязателен ли WAF по требованиям ФСТЭК? +
Обязательна мера ЗВТ.3 «Контроль и фильтрация трафика веб-приложений» — она входит в базовый набор для классов К3, К2 и К1, а для К1 добавляется анализ полезной нагрузки запросов. Фильтрация должна находить SQL- и JavaScript-конструкции в запросах, нарушение схемы запроса, пароли в открытом виде, сканеры уязвимостей и перебор паролей. Для веб-приложений, открытых в интернет, мера реализуется межсетевым экраном уровня веб-сервера (тип «Г») или многофункциональным межсетевым экраном уровня сети.
Какой WAF выбрать для аттестуемой системы? +
Если меру закрывают отдельным WAF, нужен сертификат ФСТЭК по профилю защиты МЭ типа «Г». В нашем каталоге это UserGate WAF (№ 3905 до 26.03.2031), RuSIEM WAF (№ 5061 до 28.04.2031), «Гарда WAF» (№ 5066 до 07.05.2031) и PT Application Firewall PRO (№ 3455 до 27.10.2026, поддержка сертифицированных версий — до 01.06.2029 по сведениям заявителя). Сертификат действует на конкретную версию: у «Гарда WAF» в сертифицированной версии 3.0 нет модулей машинного обучения и сканера.
Можно ли подключить WAF без своих серверов? +
Да, облачным сервисом. PT Cloud Application Firewall работает по ежемесячной подписке: в вашей инфраструктуре ставится лёгкий агент, тариф зависит от нагрузки, подключение занимает около дня. У «Гарда WAF» есть SaaS-вариант в облаке производителя: доступность 99,95 %, поддержка 24/7, подписка от 1 до 12 месяцев.
Как считается лицензия WAF? +
Чаще всего по нагрузке — числу HTTP-запросов в секунду (RPS). Так лицензируются PT Application Firewall PRO (от 1 000 до 100 000 запросов в секунду плюс полоса пропускания), RuSIEM WAF и «Гарда WAF» (от 100 до 100 000 легитимных запросов в секунду). У UserGate WAF лицензия бессрочная и зависит от аппаратной платформы или числа ядер виртуальной машины, первый год обновлений включён.
