Perché i firewall dei filtri di pacchetto sono insufficienti per la protezione delle applicazioni Web?

Un semplice filtro firewall a pacchetto può filtrare solo i criteri basati sui pacchetti come l'indirizzo IP di origine e il numero di porta di destinazione (ad esempio 80 e 443). Ma un pacchetto proveniente da un indirizzo IP di origine fidato (ad es. Un host intranet) e destinato alla porta 80 (http) sul server web, può essere consentito da un semplice filtro firewall a pacchetto. Tuttavia quel pacchetto (beh, quella serie di pacchetti) può ancora contenere dati dannosi, come i caratteri di input del modulo che compongono un attacco di SQL injection contro l'applicazione web.

Un semplice filtro firewall per pacchetti potrebbe non essere necessariamente stato, il che significa che non può guardare la conversazione non solo i singoli pacchetti. Inoltre, questi dispositivi non sono solitamente abbastanza complessi da gestire dati e specifiche dell'applicazione (TCP / IP Layer 5). È possibile utilizzare un firewall a livello di rete per filtrare e bloccare gli attacchi di rete, ma un firewall per applicazioni Web è progettato per gestire meglio le specifiche delle richieste HTTP a livello di applicazione. Utilizzare un firewall Layer 3 con stato con un firewall per applicazioni Web sarebbe una buona combinazione.