在Web安全风险与应用调查中，仍然可以看到防火墙仍然是用户必不可少的安全设备，有66.9%的用户在单位中进行部署，部署IPS的用户占17.7%，部署IDS的用户占14.9%，而部署UTM的用户也仅占6.1%。
虽然这些用户部署了种种安全网关，但仍然逃不过当今恶意软件和Web风险的威胁，稳捷网络首席技术官张鸿文解释说，传统的边界安全设备，如防火墙，作为整体安全策略中不可缺少的重要模块，但其局限于自身的产品定位和防护深度，不能有效地提供针对Web应用攻击完善的防御能力。针对Web应用攻击，必须采用专门的机制，对其进行有效检测、防护。
冯方回分析说，恶意软件和Web应用攻击之所以与其他攻击不同，是因为它们很难被发现，而且可能来自任何在线用户，甚至是经过验证的用户。迄今为止，该方面尚未受到重视，因为企业用户主要使用防火墙和入侵检测解决方案来保护其网络的安全，而防火墙和入侵检测解决方案发现不了Web攻击行动。
中国审计署计算机技术中心主任王智玉认为，安全漏洞是不断发展的，有新的应用出来，就会有新的漏洞。防火墙只保护大门，如果攻击者从别的途径进入，防火墙就没有用武之地了。很多公司都有防火墙，黑客知道这些很难进入，于是他们开始寻找新的方法。
许多Web应用程序容易受到通过服务器，直接穿透了周边防火墙安全措施，因为端口80或443必须开放，以便让应用程序正常运行Web应用程序攻击包括对应用程序本身的DoS攻击、改变网页内容以及盗走企业的关键信息或用户信息等。
比如在航空公司的网站上，手段高超的黑客只要利用一些加密传输协议的错误信息，改几个参数就可以看到其他旅客的信息。传统的应用程序安全保护措施工作在网络层，像传统的防火墙对应用层的信息很难进行检测。传输层上没有任何的内容检测技术，所以也就无法识别包含在Web服务数据包或元数据信息中的木马程序。
