Positive Technologies перестраивает направление защиты веб-приложений после более чем десяти лет развития PT Application Firewall 3. Компания завершает активную разработку PT AF 3, но сохранит техническую поддержку действующих заказчиков. Новые функции и основные ресурсы разработчиков сосредоточатся на PT Application Firewall PRO и облачном PT Cloud Application Firewall.
Решение отражает изменения в корпоративной инфраструктуре и характере атак. За последние годы вместо нескольких десятков сайтов и внутренних порталов крупные организации получили сотни веб-приложений, микросервисов и API, распределенных между собственными дата-центрами, облаками, филиалами и дочерними структурами. Классического WAF, который анализирует HTTP- и HTTPS-запросы перед передачей веб-приложению, в подобных инфраструктурах уже недостаточно рассматривать как отдельный фильтр перед сайтом.
Дополнительным фактором стал рост значения веб-приложений как точки входа во внутреннюю сеть. В расследованиях Positive Technologies за 2024-2025 годы эксплуатация уязвимостей в доступных из интернета веб-приложениях стала начальным способом проникновения в корпоративную инфраструктуру в 36% случаев. В предыдущем периоде специалисты компании фиксировали более высокую долю, однако веб-периметр продолжает оставаться одним из основных направлений атак.
Цель злоумышленников при взломе веб-сервиса также изменилась. Дефейс сайта или кража отдельной базы данных больше не исчерпывают возможный сценарий. После первоначального доступа атакующие могут закрепиться внутри инфраструктуры, перемещаться между системами, похищать учетные данные, добираться до критически важных узлов и готовить остановку бизнес-процессов или крупную утечку.
Расширение поверхности атаки изменило требования к межсетевым экранам веб-приложений. Современной системе приходится не только искать SQL-инъекции, межсайтовый скриптинг и другие известные классы атак, но и контролировать API, распознавать автоматизированную активность, ограничивать вредоносных ботов и противодействовать перегрузке прикладного уровня.
Особенно сложными становятся атаки на API, где вредоносный запрос может полностью соответствовать формату протокола и использовать штатную функцию приложения. Атакующий способен массово регистрировать учетные записи, перебирать данные, вызывать ресурсоемкие операции или злоупотреблять бизнес-логикой без эксплуатации классической программной уязвимости. Для обнаружения подобной активности одного сигнатурного анализа зачастую недостаточно.
Похожая проблема возникает при L7 DDoS. В отличие от атак, забивающих сетевой канал большим объемом пакетов, воздействие на прикладном уровне может состоять из внешне корректных HTTP-запросов к наиболее тяжелым функциям сайта или API. Небольшой по объему поток способен создать серьезную нагрузку на базы данных, механизмы поиска, авторизацию или другие ресурсоемкие компоненты.
Positive Technologies начала разрабатывать PT AF PRO с нуля более шести лет назад. Новую платформу постепенно внедряли в инфраструктурах с высокими требованиями к производительности и распределению нагрузки, параллельно собирая обратную связь от заказчиков. Теперь компания переводит PT AF PRO из роли более производительной альтернативы в основной продукт WAF-направления.
PT AF PRO рассчитан на инфраструктуры с большим количеством приложений, размещенных в нескольких дата-центрах и географических точках. Архитектура позволяет увеличивать вычислительные ресурсы при росте трафика, централизованно распространять политики безопасности и использовать внешние агенты в удаленных сегментах сети. Защищаемые приложения можно разделять на изолированные пространства с собственными ресурсами обработки и разными правами доступа к событиям безопасности.
Подобная схема предназначена прежде всего для крупных компаний и холдингов, где разные команды отвечают за отдельные сервисы. Критически важное приложение можно разместить в выделенном контуре с отдельными ресурсами, а менее требовательные системы обслуживать в общей инфраструктуре. Распределенная архитектура также снижает необходимость строить отдельную независимую WAF-инсталляцию в каждом филиале или дата-центре.
Вторым основным направлением становится PT Cloud AF. Облачная модель рассчитана на организации и отдельные веб-ресурсы, для которых развертывание собственной инфраструктуры WAF оказывается избыточным. Защита предоставляется по подписке, а управление можно оставить внутри компании или передать партнеру.
Разделение на локальную и облачную модели позволяет Positive Technologies закрывать разные сценарии внутри одной организации. Критические системы могут работать под контролем собственного PT AF PRO, тогда как филиалы, отдельные сайты, новые проекты или быстро запускаемые сервисы могут подключаться к облачной защите без закупки дополнительного оборудования.
По информации Positive Technologies, за последний год клиентская база PT AF PRO выросла в два раза. Среди причин перехода компания называет сезонные всплески нагрузки, необходимость контролировать веб-трафик сразу в нескольких дата-центрах и расширение задач WAF за пределы блокировки классических веб-атак.
Изменение стратегии не означает немедленного прекращения работы PT AF 3 у действующих клиентов. Positive Technologies продолжит техническую поддержку установленной версии, но дальнейшее развитие функций и архитектуры перенесет в PT AF PRO и PT Cloud AF. Для заказчиков PT AF 3 главным практическим вопросом станет планирование дальнейшего жизненного цикла системы и возможного перехода на одну из двух новых моделей защиты.