一方、ホワイトリスト方式は、「許可する通信のパターン（許可される入力文字の種類や長さ、遷移パラメータなど）」を厳密に定義し、それに合致しない通信をすべて拒否する方式です。高いセキュリティ性能を発揮しますが、Webアプリケーションの仕様変更のたびにリストを更新する必要があり、運用の難易度が高いという特徴があります。近年では、機械学習を用いて正常な通信を学習し、自動でホワイトリストをチューニングするインテリジェントなWAFも普及しています。
試験では、ファイアウォール、IDS/IPS、WAFのそれぞれの防御対象（階層）の違いが非常によく出題されます。ファイアウォールは「ネットワーク層・トランスポート層（IPアドレスやポート番号）」、IDS/IPSは「ネットワーク層〜アプリケーション層全般（OSやプロトコルの脆弱性）」、WAFは「アプリケーション層（HTTPのヘッダやボディ、Webアプリのプログラム脆弱性）」を守るという役割分担を正しく区別できるかがポイントです。
また、WAFが防ぐことができる具体的な攻撃手法（SQLインジェクション、XSS、セッションハイジャックなど）の名前もセットで問われます。
関連する用語には、データベースを不正に操作する攻撃である「SQLインジェクション」、ユーザーのブラウザ上で悪意あるスクリプトを実行させる「クロスサイトスクリプティング（XSS）」、およびネットワーク全体を防御する「ファイアウォール」や「IPS」があります。