WAFは、Webサイトへの通信の中身を検査し、攻撃のパターンを含むものを遮断する仕組みです。通常のファイアウォールが通信の宛先（ポート）を見るのに対し、WAFは入力された内容を見て、SQLインジェクションやクロスサイトスクリプティングなどを防ぎます。個人情報を扱うWebサイトでは導入を検討する価値があります。
導入の形
| 形 | 特徴 |
|---|---|
| クラウド型 | 導入が手軽。CDNと一体のサービスも多い |
| サーバー型・アプライアンス型 | 細かい調整ができるが運用の手間がかかる |
| レンタルサーバーの機能 | 管理画面でオン・オフできるものもある |
WAFだけに頼れない理由
- アプリの作り（ロジック）の欠陥は防げないことがある
- 正常な通信を誤って遮断することがあり、調整が必要
- 根本対策は安全な作り方と更新（脆弱性診断）