什么是应用层防火墙？

应用防火墙是一种用于管控流入、流出应用或服务，或由应用或服务产生的流量的防火墙。

应用防火墙（即应用层防火墙）使用一系列已配置的策略，确定是阻止还是允许传入或传出应用的通信。

传统防火墙控制进出CPU的数据流，并检查经过的每个数据包。应用防火墙则更进一步，通过控制特定应用对文件或代码的执行，确保即使入侵者进入网络或服务器，也无法执行恶意代码。

应用防火墙可分为主动模式和被动模式。

主动模式：主动式应用防火墙会主动检查所有传入请求，包括实际交换的消息，并识别其中是否存在已知漏洞，例如SQL注入、参数和Cookie篡改以及跨站脚本攻击。只有被判定为“无恶意内容”的请求才会传递给应用。

被动模式：被动式应用防火墙的工作方式与入侵检测系统（IDS）类似，也会检查所有传入请求是否存在已知漏洞，但即使发现潜在攻击，也不会主动拒绝或阻止这些请求。

应用防火墙通常支持远程更新，因此能够防范新发现的漏洞。相比应用中包含的特定安全代码，应用防火墙通常更新得更及时，因为将此类代码集成到应用中需要更长的开发和测试周期。

如今，最常见的是Web应用防火墙（WAF），专门用于过滤、监控和阻止进出Web应用的HTTP/S流量。