WAFは、WebサイトやWebアプリケーションへのアクセスを監視し、不正な攻撃から守るためのセキュリティ対策システムです。一般的な「ファイアウォール」がネットワーク全体の通信を制御するのに対し、WAFはWebの通信（HTTP/HTTPS）に特化しています。通信の中身（リクエストデータ）を詳細にチェックし、SQLインジェクションやクロスサイトスクリプティング（XSS）といったWebアプリ特有の脆弱性を狙った攻撃パターンを検知して遮断します。

例えば、ネットショッピングサイトの検索窓やお問い合わせフォームに、悪意のあるプログラムコードを入力してデータベースを改ざんしようとする攻撃（SQLインジェクション）が発生したとします。WAFはこの悪意ある通信を事前に検知し、サイトの裏側にあるサーバーに届く前に自動的にブロックします。