Web应用防火墙（WAF）是一种硬件设备、虚拟设备或基于云的服务，位于最前方或位于面向Web的应用之前，以检测和防止各种恶意攻击。WAF专注于监测Web应用流量（HTTP/S），并在网络中面向互联网的区域保护各种应用。
WAF可以使用多种技术来了解是应该放行还是拦截通过应用的流量，包括行为算法（机器学习和主动安全模型）或被动安全模型。
最后，WAF正在从独立工具过渡到完全集成的Web应用和API保护（WAAP）产品，其中包括API防护、僵尸程序管理和风险缓解功能、第7层应用层DDoS防护、Web应用安全等一整套功能。
运行时应用自我保护（RASP）是一种可实时保护单个应用的代理或关联库。RASP工具和库成为应用的一部分，且必须作为应用运行时的一部分运行，因而会影响应用初始化开销和应用性能。
从传统WAF过渡到WAAP并使用RASP增强应用安全态势是推荐大多数组织采用的最佳实践。该方案使用RASP保护单个应用免受某些威胁，同时使用WAF或WAAP保护所有面向Web的应用。
通常，WAF/WAAP是网络威胁触达应用之前的主要防御措施。如果网络威胁触达应用，RASP和应用编码将保护应用。
根据WAF或WAAP的开发方式及其功能，WAF和WAAP还可能包含许多RASP功能或使用RASP库本身。
比较表：WAF与RASP
| |
WAF |
RASP |
| 侧重领域 |
Web应用 |
个体应用 |
| 工作原理 |
API和应用流量的内联或路径外流量扫描 |
来自应用内部的实时流量 |
| 保护措施 |
跨越多个Web应用的行为和静态保护 |
输入数据的启发式和静态检查 |
| 部署 |
在混合拓扑中独立部署 |
与受保护应用位于同一位置或作为受保护应用的关联库 |
| 可见性和日志 |
跨越多个应用 |
针对一个特定应用 |
其他资源