Un firewall que reconoce aplicaciones no solo comprende puertos, sino que las aplicaciones específicas escuchan puertos específicos. De hecho, se basan en el host (se instalan en una estación de trabajo de un usuario o en un servidor) y evitan que el malware escuche en un puerto que normalmente usaría una aplicación legítima.
Por ejemplo, puede abrir el puerto 80 en un firewall tradicional porque tiene IIS en ejecución y desea permitir el tráfico web. Si el malware eliminara IIS y comenzara a escuchar en el puerto 80, el firewall de red tradicional le enviará felizmente el tráfico, porque todo lo que sabe es que tiene una regla que dice que debería permitir el tráfico especificado para el puerto 80.
Por otra parte, un firewall que reconoce la aplicación tiene una regla que permite el tráfico a IIS específicamente, y si el malware lo apaga, el firewall comenzará a bloquear el tráfico hacia los puertos en los que IIS escuchó, y en ausencia de Las reglas que permiten ese tráfico, el malware está efectivamente bloqueado por defecto.
El ejemplo de entrada es real, pero ligeramente ideado. Donde esto se vuelve particularmente útil es en situaciones en las que tiene un host muy bloqueado y un conjunto limitado de aplicaciones que deben poder comunicarse. Ahora ya no necesita permitir el tráfico saliente a través de puertos abiertos a través del firewall, sino que simplemente puede establecer reglas específicas de la aplicación permitiendo que solo el conjunto de aplicaciones que necesitan comunicarse saliente lo haga. Hecho correctamente, esto puede restringir severamente la capacidad del malware para comunicarse con el comando & Infraestructura de control, para filtrar datos o para utilizarlos en movimientos adicionales en una red.
Por otra parte, un servidor de seguridad de aplicaciones web es consciente de la aplicación en un sentido diferente, en el sentido de que aunque solo es un servidor de seguridad basado en la red, tiene una comprensión específica de cómo se ve el tráfico HTTP y puede inspeccionar el trazar y aplicar reglas para identificar y detener el tráfico potencialmente malicioso antes de que llegue a la aplicación HTTP. Por lo tanto, no importa si la aplicación del servidor web es IIS, Apache o malware, pero si ve una solicitud entrante que contiene un patrón de inyección de SQL común, por ejemplo, puede rechazar el reenvío de la solicitud a el servidor web, protegiéndolo de ataques de los que no está diseñado para protegerse a sí mismo.