WAF/API gateway
Layer 7 policy enforcement пред web/API workloads.
Какво е
Layer 7 policy enforcement пред web/API workloads.
Как работи
Rate limits, schema validation, bot controls, signature detection и virtual patching.
Мит срещу реалност
Мит: „Имаме WAF, значи OWASP Top 10 е покрит.“
Реалност: WAF може да помогне при известни payload patterns, rate abuse и virtual patching, но не знае бизнес правилото „user A няма право да одобри invoice B“.
Къде е силен
- rate limiting;
- bot mitigation;
- schema enforcement;
- basic injection filtering;
- emergency virtual patches.
Къде е слаб
- BOLA/BFLA;
- business logic abuse;
- excessive privileges;
- insecure workflows.
Как да проверим
Проверете дали origin-ът може да бъде достъпен директно и да заобиколи gateway/WAF.
Практическа имплементация
- Positive API schema validation.
- Per-identity rate limits.
- Bot detection.
- Origin bypass prevention.
Какво НЕ решава
Не поправя broken authorization или business logic. WAF не е заместител на secure code.
Предпазва най-силно от
- API Scraping · API и business-logic атаки
- Application-Layer (Layer 7) DDoS · DoS и DDoS
- Automated Account Creation / Fake Accounts · API и business-logic атаки
- HTTP Request Smuggling · Web приложения и браузърни атаки
- Unrestricted Resource Consumption · API и business-logic атаки
Помага частично срещу
- Reflected Cross-Site Scripting (Reflected XSS) · Web приложения и браузърни атаки4.7 XSS — частично
- SQL Injection (SQLi) · Web приложения и браузърни атаки4.1 SQLi — частично
Кой го търси
14 отворени обяви искат това умение. Затворените обяви не се броят — това е търсенето сега.