Kalau ngobrol soal keamanan jaringan, dua istilah yang paling sering muncul dan paling sering bikin bingung orang adalah Web Application Firewall (WAF) dan Firewall biasa (network firewall). Banyak yang mengira keduanya cuma beda nama untuk alat yang sama, padahal fungsinya jauh berbeda. Kesalahpahaman ini bukan cuma soal istilah teknis, tapi bisa berdampak serius kalau sampai memengaruhi keputusan arsitektur keamanan di perusahaan.
Pada artikel ini mencoba menjelaskan perbedaan keduanya dengan bahasa yang mudah dipahami, sekaligus kenapa dua-duanya sebenarnya saling melengkapi, bukan saling menggantikan.
Firewall
Firewall tradisional bekerja di level jaringan (network layer) dan transport layer, kira-kira di lapisan 3 dan 4 dari model OSI. Tugas utamanya adalah menyaring lalu lintas data berdasarkan alamat IP, port, dan protokol. Bayangkan firewall seperti satpam di gerbang kompleks perumahan. Ia mengecek siapa yang boleh masuk berdasarkan data di KTP dan daftar tamu, tapi tidak tahu isi tas atau niat sebenarnya orang yang masuk.
Firewall biasanya digunakan untuk:
- Memblokir akses dari IP atau negara tertentu
- Membatasi port yang terbuka, misalnya hanya membuka port 443 untuk HTTPS
- Mengontrol arah lalu lintas, mana yang boleh masuk (inbound) dan mana yang boleh keluar (outbound)
- Segmentasi jaringan internal, misalnya memisahkan jaringan server dari jaringan kantor
Kelemahan firewall jenis ini adalah ia tidak "membaca" isi dari data yang lewat. Selama traffic datang dari IP yang diizinkan dan lewat port yang terbuka, firewall akan meloloskannya, meskipun di dalam paket data itu ada payload serangan seperti SQL Injection atau Cross Site Scripting.
Web Application Firewall (WAF)
WAF bekerja di level yang lebih tinggi, yaitu application layer atau lapisan 7 OSI. Kalau firewall itu satpam gerbang, WAF lebih mirip resepsionis yang paham betul bagaimana cara kerja perusahaan di dalamnya. Ia bisa membaca isi request HTTP/HTTPS yang masuk ke aplikasi web, lalu menilai apakah request tersebut wajar atau mencurigakan.
WAF dirancang khusus untuk mendeteksi dan memblokir serangan yang menyasar aplikasi web, seperti:
- SQL Injection, upaya menyisipkan perintah database lewat form input
- Cross Site Scripting (XSS), menyisipkan script berbahaya ke halaman web
- Path traversal, upaya mengakses direktori di luar yang seharusnya
- Serangan berbasis parameter tampering atau manipulasi request
Karena WAF memahami struktur HTTP request, header, cookie, hingga body dari request, ia bisa mendeteksi pola serangan yang tidak akan pernah terlihat oleh firewall biasa. Beberapa WAF modern bahkan sudah menggunakan pendekatan berbasis machine learning untuk mendeteksi anomali traffic, bukan cuma mengandalkan signature-based rules.
Kesimpulan Firewall dan WAF
WAF dan firewall bukan dua produk yang bersaing, melainkan dua lapisan pertahanan yang saling mengisi celah satu sama lain. Firewall menjaga gerbang jaringan, WAF menjaga pintu aplikasi. Firewall tidak akan pernah tahu ada SQL Injection yang menyelinap lewat form login, karena traffic itu datang dari IP sah lewat port yang memang terbuka. Sebaliknya, WAF tidak dirancang untuk menahan gempuran DDoS volumetrik yang membanjiri jaringan dengan jutaan paket per detik.
Karena itu, bagi tim keamanan, memahami perbedaan keduanya bukan sekadar urusan teori atau istilah teknis. Ini menentukan bagaimana arsitektur pertahanan disusun, di titik mana masing-masing alat ditempatkan, dan mitigasi seperti apa yang harus diambil ketika insiden benar-benar terjadi di lapangan. Mengandalkan salah satu saja dan mengabaikan yang lain sama saja membiarkan satu pintu tetap terbuka lebar sementara pintu lainnya dikunci rapat.
