Un altra tipologia di prodotti è quella dei firewall a livello di applicazione: si tratta di dispositivi che "vedono" il traffico passante non come una sequenza di pacchetti ma come un flusso di dati e verificano la legittimità delle connessioni permettendo soltanto il tipo di traffico che risponde a delle funzionalità specifiche (ad es. l'accesso alla rete Internet oppure lo scambio dei messaggi di posta elettronica).
In linea generale questa classe di prodotti è spesso rappresentata da sistemi con servizi di proxy che funzionano agendo da tramite tra un client ed un qualsiasi server esterno.
In pratica il client invia la sua richiesta di connessione ad una rete esterna al server proxy il quale, dopo aver verificato l'ammissibilità del traffico in base alle regole definite, la inoltra al sistema di destinazione.
Una volta ricevuta la risposta da parte del target essa viene reinoltrata al client che di conseguenza è sempre nascosto e non instaura mai una connessione diretta con il sistema esterno.
I vantaggi derivanti da questo differente meccanismo di funzionamento sono principalmente costituiti da un migliore controllo sui protocolli applicativi (vedi http, ftp, smtp, ecc..) dal momento che il software, se opportunamente configurato, è in grado anche di riconoscere la presenza di vulnerabilità specifiche ed evitare di conseguenza lo sfruttamento di exploit noti da parte di un aggressore.
Altri benefici sono inoltre costituiti dalla minore suscettibilità agli attacchi basati sulle tecniche di occultamento dei dati all'interno del traffico legittimo (cd. tunneling), dalla possibilità di produrre log dettagliati ed, in alcuni casi, dalla capacità di interfacciamento con altri sistemi (ad esempio gli IDS o sistemi di scoperta delle intrusioni) con un conseguente miglioramento dei livelli di sicurezza complessivi.
Purtroppo invece, a causa della differente filosofia di progetto che sta alla base di questi prodotti, il rovescio della medaglia consiste nella introduzione di una inevitabile lentezza nello smistamento del traffico di rete il che, peraltro, rende questi dispositivi anche più esposti ad una certa tipologia di attacchi (vedi D.o.S o Denial of Service).
