Чем плох WAF ( Web Application Firewall )?

Щас читаю книжку по Пентесту и закрепляю практикой. Как ни старался мне всегда прилетает access denied от WAF. Почему WAF используют не очень часто на сайтах? В чем проблема?