Защита веб-приложений оказалась одним из немногих ИБ-сегментов, который продемонстрировал уверенный рост по итогам 2025 года. Многие поставщики WAF-решений кратно нарастили выручку и увеличили отгрузки ПАК. В частности, у WMX выручка увеличилась на 216% до 1,8 млрд руб., а чистая прибыль на 370% до 1,35 млрд руб.
На активный рост рынка WAF влияет продолжающаяся цифровизация бизнеса. Современная инфраструктура все чаще строится вокруг API, микросервисов, Kubernetes, мобильных приложений. Спрос на решение растет даже в тех отраслях экономики, которые традиционно ориентировались на оффлайн. Кроме того, атаки становятся не просто сложнее, они ускоряются в разы из-за массового внедрения ИИ. А регуляторные требования к ИБ при этом становятся жёстче, и наличие WAF уже рассматривает как необходимый стандарт соответствия.
Это все означает, что компании более придирчиво начинают выбирать вендора или конкретное ИБ-решение. Технологичность, качество детекта, комфорт эксплуатации, комплаенс – заказчик стремится найти продукт, который сочетает в себе все эти показатели. Но основная дилемма: отечественное или зарубежное решение выбрать?
Как выбрать?
Еще несколько лет назад выбор WAF для российского заказчика был достаточно очевидным. Иностранные производители фактически доминировали на рынке и воспринимались как отраслевой стандарт. Они развивались на глобальном рынке, обрабатывали огромные объемы трафика и имели доступ к масштабной аналитике угроз со всего мира.
При этом российские разработчики средств защиты традиционно концентрировались на других направлениях информационной безопасности. В течение длительного времени приоритет отдавался средствам защиты конечных точек, системам предотвращения вторжений, межсетевым экранам. Рынок WAF оставался относительно небольшим, а спрос на него был ограничен преимущественно банками, телекоммуникационными компаниями и крупными интернет-сервисами.
Но после 2022 года ситуация кардинально изменилась. Уход западных вендоров, ограничения на поставки и обслуживание продуктов, а также растущие требования к технологической независимости со стороны регуляторов привели к ускоренному развитию отечественных решений.
Сегодня необходимо оценивать не только качество обнаружения атак (хотя уровень защиты ресурсов остается ключевым), но и архитектуру решения, возможность его долгосрочной эксплуатации, соответствие нормативным требованиям и потенциальные риски использования той или иной технологии. В первую очередь это касается:
- банков;
- государственных организаций;
- субъектов КИИ;
- телеком-компаний;
- промышленных предприятий;
- крупных enterprise-заказчиков.
Плюсы и минусы зарубежных WAF
Зарубежные WAF по-прежнему обладают рядом объективных преимуществ:
- переход от классического WAF к платформам класса WAAP, которые объединяют защиту веб-приложений, API, ботов и прикладных DDoS-атак;
- активное развитие cloud-native платформ и SaaS-моделей для быстрого масштабирования защиты в распределенных инфраструктурах;
- развитие технологий искусственного интеллекта и поведенческого анализа для выявления сложных атак, которые невозможно обнаружить исключительно с помощью сигнатурных методов.
Однако использование зарубежных средств защиты информации (в том числе и WAF) сопряжено с рядом рисков. Самый очевидный – это невозможность полноценной технической поддержки российских клиентов со стороны вендора, особенно если речь идет о потреблении ИБ-услуг в SaaS-формате. В этом случае вся логика фильтрации трафика и значительная часть аналитики находятся в инфраструктуре поставщика. Если по каким-то причинам вендор ограничивает поддержку заказчиков конкретного региона, то последние лишаются доступа к актуальной базе угроз, обновлению систем и в итоге остаются без киберзащиты своих ресурсов. Так, например, произошло в марте 2022 года, когда американская компания Fortinet одномоментно отключила поддержку российских клиентов от своих сервисов.
Дополнительным фактором становятся требования российских регуляторов в части хранения данных, контроля телеметрии и размещения средств защиты внутри инфраструктуры организации. Использование зарубежных СЗИ может привести к нарушению законодательства или внутренних ИБ-политик компании.
Показательна история с американской компании Cloudflare, услугами которой до сих пор пользуются российские компании. В июне 2025 года Cloudflare официально заявила, что российские интернет-провайдеры начали ограничивать трафик к сайтам, работающим через его сеть. А еще через год – в июне 2026 - ФСБ России связала технологии Cloudflare со слежкой за высокопоставленными российскими служащими.
Плюсы и минусы российских WAF
На этом фоне российские WAF имеют преимущества по ряду критериев, связанных с локализацией, соответствием требованиям регуляторов и доступностью технической поддержки. Сегодня они активно развивают функциональность и постепенно движутся в сторону тех же платформенных подходов, которые уже реализованы на мировом рынке. Российские производители развивают защиту API, добавляют к WAF механизмы противодействия ботам, строят детектирование угроз на основе глубокой фильтрации трафика и поведенческого анализа.
Но главным преимуществом отечественных решений остается их адаптация к российской нормативной среде. Они проектируются с учетом как требований регуляторов, так и особенностей корпоративных политик безопасности.
Именно под влиянием регуляторики и требований ИБ российский рынок постепенно смещается в сторону гибридных и on-premise моделей. Подобная архитектура позволяет совместить:
- локальную фильтрацию трафика;
- централизованную аналитику;
- контроль телеметрии;
- требования регуляторов;
- удобство эксплуатации.
В случае ПроWAF от WMX фильтрующая нода размещается внутри инфраструктуры клиента и обрабатывает трафик локально, тогда как вычислительный кластер используется для централизованного управления и аналитики. Это снижает риски, связанные с выводом чувствительных данных за корпоративный контур, и одновременно сохраняет возможности централизованного управления безопасностью. Для enterprise-сегмента это становится не дополнительным преимуществом, а обязательным требованием при выборе системы защиты веб-приложений.
Кроме того, российские ИБ-решения могут иметь сертификат соответствия ФСТЭК. Он подтверждает, что программные продукты, технические средства и системы соответствуют установленным требованиям кибербезопасности. Такой сертификат соответствия необходим при работе с государственными информационными системами, персональными данными, объектами критической информационной инфраструктуры (ОКИИ).
Нормативные акты
Использование сертифицированных СЗИ, в том числе межсетевых экранов уровня веб-приложений, обусловлено требованиями ряда нормативных актов:
Заключение
В результате российский и зарубежный рынки WAF сегодня движутся к одной цели — созданию комплексных платформ защиты приложений и API. Однако пути достижения этой цели различаются. Международные вендоры делают ставку на облачные сервисы, искусственный интеллект и глобальные экосистемы безопасности. Российские разработчики ориентируются на локальное размещение, гибридные архитектуры, соответствие требованиям регуляторов и снижение санкционных рисков. Именно поэтому при выборе WAF современному заказчику необходимо оценивать не только функциональность продукта, но и то, насколько его архитектура соответствует долгосрочным требованиям бизнеса и регуляторной среды.