WAF и RASP: в чём разница и что лучше для безопасности веб-приложений

Каким образом атакующие обходят защиту, на которую все привыкли полагаться?