Что сегодня удалось донести до аудитории на WAF Day:

1. Брать облачный WAF как сервис у MSSP, или внедрять on-prem - очень зависит от масштабов компании и экономической эффективности модели.

Если у вас сотни защищаемых web-ресурсов, своя инфраструктура, большая квалифицированная команда и есть время на внедрение - вероятно, подойдет on-prem. Цена вопроса - десятки миллионов рублей единоразово и через некоторое время OPEX за техподдержку. Время - от нескольких месяцев, с учетом необходимости пройтись по всем процедурам крупной компании.

Если же у компании один-единственный сайт, нет лишнего железа и рук - вероятно, весь бизнес будет стоить меньше, чем TCO on-prem WAF, но сервис от MSSP в пару миллионов рублей в год будет вполне подъемным. Время подключения - пару недель с учетом необходимости тюнинга и обучения системы профилю трафика. WAF как сервис можно рассмотреть и как переходной вариант, когда хотелось бы проверить работу разных WAF на проде, разделив ответственность с MSSP (в отличие от пилота).
Смотрите сами, какой вариант вашему бюджету ближе и роднее.

От вендора прозвучало утверждение, что стоимость on-prem и облачного одинакова. Но это только стоимость лицензии на обрабатываемый веб-трафик. Больше никакие косты не учитываются.

2. WAF нужно использовать в связке с другими средствами обеспечения сетевой безопасности, чтобы не получилось ситуации "ваш сайт не взломают, если он лежит под DDoS-атакой".

Первый рубеж обороны (фильтр грубой очистки) - AntiDDoS. Работает прозрачно, в сети не виден и не чувствуется. Срезает откровенно мусорный трафик и флуд, если он не был явно завернут в запросы, зашифрованные TLS. Тогда только по косвенным признакам можно отсекать, и будет страдать точность.

Второй рубеж - AntiBot. Срезает автоматизированные атаки ботов (большое количество тяжелых запросов, сканы и т.п.). Необходимо приземлить трафик защищаемого ресурса на него и скормить антиботу TLS-сертификат с приватным ключом. А уже очищенный от ботов трафик пробрасывать дальше, на WAF.

Третий рубеж - WAF. Он отражает более точечные атаки на веб-приложения. Ему тоже нужен сертификат с ключом, если до WAF в этой цепочке не поставить AntiBot.

О том, у какого MSSP-провайдера все это есть, я напоминать не буду, вы и так поняли. Ждем вас.