WAFは、HTTP/HTTPSリクエストのペイロード（データ部分）に含まれる不正な文字列や通信パターンを解析し、あらかじめ登録された攻撃シグネチャ（ブラックリスト）や振る舞い検知ルールと照合することで、Webアプリケーション層（OSI参照モデルの第7層）への攻撃を検知・防御します。従来のパケットフィルタリング型のファイアウォール（IPアドレスやポート番号のみを監視）や、トランスポート層を対象とするIDS/IPS（侵入検知・防止システム）では防ぎきれない、アプリケーションレベルでの不正なパラメーター操作を検知できるのが特徴です。WAFの導入形態には、Webサーバーの前面に専用のハードウェアや仮想アプライアンスを配置する「ゲートウェイ型（アプライアンス型）」、Webサーバー自体にソフトウェアモジュールをインストールする「ホスト型（ソフトウェア型）」、およびDNSを変更するだけで容易に導入可能な「クラウド型」の3種類が存在します。近年は、初期コストを抑えつつ迅速に導入でき、脅威情報の自動更新が可能なクラウド型WAFの採用が急速に進んでいます。