Сравнение российских WAF 2026: анализ файрволов веб-приложений

Anti-Malware.ru представляет новое сравнение продуктов класса «файрвол веб-приложений» (Web Application Firewall, WAF). Шесть продуктов российских вендоров сравниваются по 235 критериям, охватывающим архитектуру, производительность, технологии, механизмы защиты, лицензирование, техподдержку и пр.

 

 

 

 

 

 

1. 1. Введение
2. 2. Актуальные веб-угрозы и роль WAF в борьбе с ними
3. 3. Требования заказчиков к современному WAF
4. 4. Методология сравнения российских продуктов класса WAF
5. 5. Сравнение российских продуктов класса WAF
   
   1. 5.1. Общие сведения
   2. 5.2. Архитектура и взаимодействие с инфраструктурой
      
      1. 5.2.1. Общее
      2. 5.2.2. Производительность и отказоустойчивость
      3. 5.2.3. Режимы работы
      4. 5.2.4. Технологии, стандарты, протоколы
      5. 5.2.5. Интеграция
   3. 5.3. Реализация механизмов защиты
      
      1. 5.3.1. Блокировка атак
      2. 5.3.2. Сигнатурный анализ
      3. 5.3.3. Репутационный анализ
      4. 5.3.4. Поведенческий анализ
      5. 5.3.5. Машинное обучение
      6. 5.3.6. Позитивная модель безопасности
      7. 5.3.7. Корреляция
      8. 5.3.8. Локальная (on-premise) защита от ботов и DDoS-атак
      9. 5.3.9. API Firewall
      10. 5.3.10. XML Firewall
      11. 5.3.11. Предотвращение эксплуатации уязвимостей
      12. 5.3.12. Защита от веб-угроз из OWASP Top 10
      13. 5.3.13. Специализированные механизмы защиты
   4. 5.4. Эксплуатация и обслуживание
      
      1. 5.4.1. Общее
      2. 5.4.2. Политика безопасности
      3. 5.4.3. Журнал событий
      4. 5.4.4. Оперативный мониторинг
      5. 5.4.5. Уведомления
      6. 5.4.6. Лицензирование и техническая поддержка
6. 6. Выводы

Введение

Предыдущее сравнение WAF на Anti-Malware.ru вышло до событий и перемен 2022 года, и в нём фигурировали главным образом зарубежные продукты и решения, которые доминировали тогда на рынке ИБ в целом и в отдельных его сегментах. Сегмент файрволов веб-приложений не был исключением. В таблицах предыдущего сравнения имелся один российский продукт — Positive Technologies Application Firewall — и условно российский Wallarm, доступный тогда в составе InfoWatch Attack Killer и услуг Qrator Labs.

Сегодня, в начале 2026 года, мы видим перед собой совсем другой рынок. В ряде сегментов эволюционный путь дошёл до того, что заказчики мигрируют с одного отечественного решения на другое отечественное. Ещё буквально несколько лет назад такой сценарий развития событий было трудно предвидеть. Теперь же это реальность, в которой перед компаниями и организациями встаёт трудный и сложный вопрос выбора среди многочисленных предложений.

Частью миссии Anti-Malware.ru, как и прежде, является помощь в таком выборе. Продолжая нашу давнюю традицию давать материал для принятия информированных и взвешенных решений, мы вновь сравниваем между собой продукты класса Web Application Firewall по детализированному списку критериев.

Актуальные веб-угрозы и роль WAF в борьбе с ними

Даже если организация или предприятие не занимается интернет-бизнесом — т. е. не является, например, маркетплейсом, у которого всё построено вокруг покупок онлайн, — у неё, как правило, всё равно есть веб-приложения. Кто-то эксплуатирует веб-почту, к которой можно получить доступ снаружи, у кого-то есть разного рода личные кабинеты для сотрудников или клиентов. Если же бизнес-модель тесно связана с интернетом, то веб-приложения — это вообще ядро, ключевой информационный актив.

Неудивительно, что к веб-приложениям приковано пристальное внимание самых разных злоумышленников. Некоторые стремятся вызвать отказ в обслуживании и потребовать выкуп за то, чтобы восстановить доступность сервиса для клиентов, кто-то наживается на бонусных программах, для кого-то веб-приложение является удобной точкой входа, с которой можно начать взлом и проникновение в организацию.

Соответственно, возникают весьма разнообразные угрозы, начиная от DDoS-атак и заканчивая эксплуатацией уязвимостей. Некоторые известны давно (например, межсайтовое исполнение сценариев — Cross-Site Scripting, XSS) и годами возглавляют рейтинги самых опасных, другие стали актуальными сравнительно недавно. В частности, Microsoft обратила внимание на рост популярности техники Living Off Trusted Sites (LoTS), в рамках которой известные легитимные веб-сервисы применяются для скрытия вредоносной активности.

При этом атаки на уровне приложений трудно обнаруживать и обрабатывать при помощи универсальных средств защиты, поскольку у таких атак есть собственная специфика, и они, таким образом, требуют такого же специфического СЗИ (средства защиты информации), учитывающего их особенности. Мы писали об этом, например, когда рассматривали новый класс ИБ-решений — «детектирование и реагирование в приложениях» (Application Detection and Response, ADR).

Если, скажем, сетевой экран работает только с IP-адресами и портами, то он не справится с угрозами на уровне веб-приложения, поскольку и легитимные, и вредоносные запросы, говоря упрощённо, являются веб-трафиком. Различить их на таком уровне анализа не удастся. Можно углублять анализ, прибегая к файрволу нового поколения (NGFW), который умеет работать с контекстом, но противодействие веб-угрозам — это, прямо скажем, не основная его задача.

Поэтому специализированные сетевые экраны для веб-приложений пользуются стабильной популярностью, хотя на первый взгляд могут показаться нишевыми решениями. В современных инфраструктурах WAF не конкурирует с NGFW, а дополняет его, целенаправленно занимаясь анализом HTTP-запросов на седьмом уровне модели OSI.

Требования заказчиков к современному WAF

Опрос зрителей телепроекта AM Live показал, что для большинства определяющей характеристикой файрвола веб-приложений является качество обнаружения атак. Кроме того, для многих важны простота администрирования и интеграция с другими средствами защиты, используемыми в компании. Ради всего этого заказчики и эксплуатанты даже готовы пренебречь стоимостью продукта или решения.

По мнению экспертов, которые вели дискуссию в прямом эфире AM Live, среди важных возможностей современного WAF — т. н. виртуальный патчинг, т. е. закрытие уязвимостей до выпуска исправлений. Функциональность по анализу трафика приложений и запросов к ним позволяет файрволу предотвращать эксплуатацию брешей, даже если заплатка от производителя ещё не готова.

Кроме того, мы живём сейчас во время нейросетей и машинного обучения, поэтому в современном WAF хочется видеть, среди прочего, и функции на базе искусственного интеллекта. Здесь мы говорим не только о «несигнатурном» анализе (то, что с нынешними объёмами угроз трудно справиться только при помощи сигнатур, было понятно давно): речь идёт и о своеобразной аналитической помощи, когда ИИ что-то обобщает, ищет закономерности и даёт прогнозы о новых векторах атак.

Далеко не последнее значение для заказчиков имеет такая метрика, как доля потерянного легитимного трафика. Многих зрителей и читателей Anti-Malware.ru и AM Live беспокоят ложные срабатывания и ошибочно принимаемые меры по фильтрации трафика веб-приложений, когда «под раздачу» попадают те, кто ни в чём не виноват. Вред могут наносить в том числе и такие происшествия, а не только действия злоумышленников.

Наконец, примечательным направлением развития для современного WAF является функциональность по защите программных интерфейсов (API). Злоумышленники стали больше интересоваться изъянами межсистемного и межпрограммного взаимодействия, и это приводит к росту атак на API. Стоит отметить, что организация OWASP сочла необходимым выделить особый рейтинг угроз именно по этому направлению — OWASP API Security Top 10. Такой подход говорит о значимости и влиятельности подобных рисков.

Названные выше критерии можно относить к числу наиболее актуальных на данный момент, однако есть и немало иных важных оснований для выбора. Мы постарались составить как можно более полный их перечень. Об этом расскажем далее.

Методология сравнения российских продуктов класса WAF

Для сравнения был сформирован перечень из 235 критериев, разделённых на категории и подкатегории.

Категория № 1 — «Общие сведения» — включает в себя основную информацию о продукте как таковом. Мы обращаем внимание на сертификацию и комплаенс, позиционирование (целевой сегмент), внедрения и пр.

Категория № 2 — «Архитектура и взаимодействие с инфраструктурой» — охватывает интеграционные возможности, используемые технологии, поддерживаемые стандарты, протоколы и пр. Здесь представлено всё, что касается встраивания продукта в инфраструктуру и функционирования в ней.

Категория № 3 — «Реализация механизмов защиты» — является ядром всей системы критериев. В ней представлены следующие подкатегории:

• Блокировка атак.
• Сигнатурный анализ.
• Репутационный анализ.
• Поведенческий анализ.
• Машинное обучение.
• Позитивная модель безопасности.
• Корреляция.
• Локальная (on-premise) защита от ботов и DDoS-атак.
• Функциональность API Firewall.
• Функциональность XML Firewall.
• Предотвращение эксплуатации уязвимостей.
• Защита от веб-угроз из OWASP Top 10 (Broken Access Control, Injection, Insecure Design, Identification and Authentication Failures).
• Специализированные механизмы защиты.

Категория № 4 — «Эксплуатация и обслуживание» — посвящена тому, как пользоваться продуктом: настраивать политику безопасности, работать с журналом событий, выполнять оперативный мониторинг, получать техническую поддержку и обучение.

Сравнение охватывает продукты класса WAF, т. е. программные или аппаратные изделия с возможностью локального развёртывания (on-premise). Сервисы класса WAF, в рамках которых файрвол веб-приложений предоставляется как услуга, в охват этого исследования не включаются. Anti-Malware.ru рассмотрит такие сервисы в рамках отдельного сравнения, которое выйдет в свет позднее.

На основе вышеупомянутого подхода к участию в сравнении были приглашены 8 российских компаний–производителей продуктов класса WAF. Заполненные анкеты поступили от 6 вендоров:

1. Positive Technologies (продукт PT Application Firewall).
2. SolidSoft (продукт SolidWall WAF).
3. «Вебмониторэкс» (продукт «Вебмониторэкс ПроWAF»).
4. Группа компаний «Гарда» (продукт «Гарда WAF»).
5. Pentestit (продукт «Немезида ВАФ»).
6. Группа компаний «Конфидент» (продукт WAF Dallas Lock).

Сравнение этих файрволов веб-приложений по перечню критериев представлено в таблицах ниже.

Сравнение российских продуктов класса WAF

Общие сведения

 

Архитектура и взаимодействие с инфраструктурой

Общее

 

Производительность и отказоустойчивость

 

Режимы работы

 

Технологии, стандарты, протоколы

 

Интеграция

 

Реализация механизмов защиты

Блокировка атак

 

Сигнатурный анализ

 

Репутационный анализ

 

Поведенческий анализ

 

Машинное обучение

 

Позитивная модель безопасности

 

Корреляция

 

Локальная (on-premise) защита от ботов и DDoS-атак

 

API Firewall

 

XML Firewall

 

Предотвращение эксплуатации уязвимостей

 

Защита от веб-угроз из OWASP Top 10

Broken Access Control

 

Injection

 

Insecure Design

 

Identification and Authentication Failures

 

Специализированные механизмы защиты

 

Эксплуатация и обслуживание

Общее

 

Политика безопасности

 

Журнал событий

 

Оперативный мониторинг

 

Уведомления

 

Лицензирование и техническая поддержка

 

Выводы

Российские разработчики ведут активную и деятельную работу, стремясь удовлетворить потребность отечественных компаний и организаций в надёжных, широкофункциональных, удобных инструментах, будь то программные или аппаратные решения. Это касается и рынка ИТ, и рынка ИБ в равной мере

Сегмент файрволов веб-приложений не является исключением: мы наблюдаем здесь конкурентную борьбу, в рамках которой каждый из вендоров трудится над достижением функционального паритета с коллегами, но в то же время привлекает внимание потенциальных заказчиков теми или иными особенностями, которых нет у других.

В рамках сравнений Anti-Malware.ru не стремится каким-либо образом ранжировать рассматриваемые продукты и решения. В данном случае наши аналитики не высказывают своего экспертного мнения, так как видят свою задачу в другом: предоставить эксплуатантам и заказчикам как можно больше информации, которая могла бы быть им полезна при принятии решений. Окончательный выбор каждая организация в конечном счёте делает сама, исходя из своих уникальных особенностей и характеристик.