F5 BIG-IP cho Ngân hàng - Tài chính: Giải pháp đảm bảo hiệu năng, bảo mật và tuân thủ

Ngành ngân hàng và tài chính là một trong những lĩnh vực đầu tư hạ tầng ADC (Application Delivery Controller) lớn nhất, vì hệ thống core banking, ngân hàng số (digital banking) và cổng thanh toán không chấp nhận downtime hay lỗ hổng bảo mật. Mỗi phút gián đoạn dịch vụ hoặc mỗi vụ gian lận giao dịch đều có thể gây thiệt hại tài chính và uy tín trực tiếp. Dưới đây, Việt Tuấn sẽ phân tích giải pháp F5 BIG-IP cho ngân hàng - tài chính đảm bảo hiệu năng, bảo mật và tuân thủ pháp luật tại Việt Nam. 

Vì sao ngân hàng cần F5 BIG-IP?

Với ngân hàng, Application Delivery Controller (ADC) không còn là bộ cân bằng tải đặt trước máy chủ web. Đây là điểm kiểm soát tập trung của các luồng truy cập vào ứng dụng ngân hàng, từ Internet Banking, Mobile Banking đến các API kết nối với đối tác và hệ thống fintech. Vì vậy, ADC phải đồng thời đảm bảo nhiều yêu cầu: duy trì tính sẵn sàng của dịch vụ, xử lý SSL/TLS, kiểm soát lưu lượng ở tầng ứng dụng, giảm thiểu các cuộc tấn công tự động và cung cấp dữ liệu phục vụ giám sát, điều tra, kiểm toán. 

Bối cảnh ngân hàng tại Việt Nam càng làm rõ yêu cầu này trong những năm gần đây: 

• Quy định chặt hơn: Thông tư 50/2024/TT-NHNN về an toàn, bảo mật dịch vụ trực tuyến có hiệu lực từ 01/01/2025, thay thế Thông tư 35/2016 và 35/2018. Quyết định 2345/QĐ-NHNN bắt buộc xác thực sinh trắc học với giao dịch chuyển tiền trên 10 triệu đồng từ 01/07/2024. Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025/QH15) có hiệu lực từ 01/01/2026.
• Lưu lượng dồn về mobile và API: Phần lớn giao dịch bán lẻ đã chuyển sang ứng dụng di động và QR, sinh ra rất nhiều request API nhỏ, liên tục, khó phân biệt người thật với bot.
• Kẻ tấn công dùng tự động hóa và AI: Dò mật khẩu hàng loạt, chiếm đoạt tài khoản, giả mạo sinh trắc học bằng deepfake đều đã được công nghiệp hóa.

F5 BIG-IP có những module nào cho ngân hàng?

Tham khảo: Khám phá dòng thiết bị F5 BIG-IP iSeries: Thông số kỹ thuật và cách chọn model phù hợp

Mô hình triển khai F5 BIG-IP trong ngân hàng

Với ngân hàng có yêu cầu cao về tính sẵn sàng, F5 BIG-IP thường được triển khai theo mô hình HA kết hợp đa trung tâm dữ liệu. Một kiến trúc tham khảo có thể gồm hai DC, mỗi DC triển khai một cặp BIG-IP để dự phòng, phía trước là BIG-IP DNS (GSLB) đảm nhiệm phân phối lưu lượng giữa các site, kết hợp với lớp bảo vệ DDoS tại Internet edge. Mô hình dưới đây chỉ mang tính minh họa, giúp bạn hình dung rõ hơn cách F5 BIG-IP có thể được bố trí trong kiến trúc ngân hàng thực tế. 

F5 BIG-IP kiểm tra lưu lượng HTTPS mã hóa ra sao?

Gần như toàn bộ lưu lượng ngân hàng hiện nay đều được mã hóa bằng TLS, vì vậy các thiết bị IPS, sandbox hay DLP đặt inline sẽ không thể kiểm tra nội dung nếu không có cơ chế giải mã. F5 SSL Orchestrator (SSLO) giải mã lưu lượng một lần, đưa dữ liệu bản rõ qua chuỗi thiết bị kiểm tra theo chính sách, sau đó mã hóa lại trước khi chuyển tiếp. 

Hai hướng lưu lượng cần tách bạch:

• Chiều vào (inbound): Từ Internet tới Internet Banking, API. SSLO dùng chứng chỉ của chính ngân hàng, thường kết hợp luôn với LTM và Advanced WAF trên cùng nền tảng.
• Chiều ra (outbound): Nhân viên, máy chủ truy cập Internet. SSLO hoạt động như forward proxy và sử dụng chứng chỉ động từ CA nội bộ để kiểm tra nội dung. 

SSLO cho phép chọn chuỗi theo chính sách, ví dụ:

Điểm cần lưu ý khi định cỡ và vận hành:

• Định cỡ không chỉ theo Gbps mà cần xem xét số TLS handshake mới mỗi giây, loại cipher, kích thước phiên và lưu lượng giờ cao điểm.
• Danh sách bypass cần được quản lý chặt chẽ, đặc biệt với các dịch vụ sử dụng certificate pinning hoặc có yêu cầu riêng về quyền riêng tư.
• Bảo vệ khóa riêng của chứng chỉ bằng HSM hoặc cơ chế quản lý khóa phù hợp với kiến trúc và yêu cầu tuân thủ của ngân hàng.
• Hạn chế giải mã nhiều lần. Nếu nhiều thiết bị cùng thực hiện TLS inspection, độ trễ và độ phức tạp vận hành sẽ tăng. Mô hình hợp lý là một điểm giải mã, nhiều điểm kiểm tra.

F5 BIG-IP chống bot và chiếm đoạt tài khoản ngân hàng

ADC không thay thế hệ thống chống gian lận giao dịch của ngân hàng. Vai trò phù hợp của nó là phát hiện và chặn tự động hóa độc hại trước khi request chạm tới logic nghiệp vụ, đồng thời chuyển các tín hiệu rủi ro cho hệ thống chống gian lận giao dịch để đánh giá sâu hơn. 

F5 BIG-IP có thể kiểm soát quy mô tự động hóa. Khi kẻ tấn công sử dụng AI để tạo hàng nghìn phiên tương tác giống người thật, Bot Defense có thể dựa vào tín hiệu thiết bị và hành vi để phát hiện các hoạt động bất thường thay vì chỉ dựa vào chữ ký tĩnh. 

Tuy nhiên, F5 BIG-IP không thể phát hiện video/giọng nói deepfake trong luồng xác thực sinh trắc học. Phần này thuộc hệ thống eKYC, liveness detection và các cơ chế xác thực sinh trắc học của ngân hàng. 

F5 BIG-IP ADC có thể gửi log hoặc tín hiệu rủi ro như điểm bot, thiết bị mới, IP bất thường để hệ thống chống gian lận giao dịch sử dụng làm một trong các đầu vào khi chấm điểm giao dịch 

Bảo vệ API Mobile Banking và Open Banking bằng F5

Rủi ro API lớn nhất ở ngân hàng thường không phải lỗ hổng kỹ thuật phức tạp, mà là lỗi phân quyền theo đối tượng (BOLA): người dùng A đổi số tài khoản trong request và xem được dữ liệu của người dùng B. WAF truyền thống dựa chủ yếu vào chữ ký tấn công có thể không phát hiện được trường hợp này vì request về mặt cú pháp vẫn hợp lệ. 

Năm lớp kiểm soát nên có:

1. Kho API: Liệt kê toàn bộ endpoint đang hoạt động và đối chiếu với tài liệu OpenAPI. API cũ, API thử nghiệm hoặc endpoint bị bỏ quên cần được phát hiện và xử lý. 
2. Kiểm tra theo schema: Nạp file OpenAPI vào Advanced WAF hoặc NGINX để chặn tham số lạ, kiểu dữ liệu sai, phương thức không khai báo.
3. Xác thực và ủy quyền tại cổng: Kiểm tra JWT/OAuth 2.0 (chữ ký, thời hạn, audience, scope). Với đối tác, dùng mTLS để gắn danh tính đối tác với chứng chỉ.
4. Rate limit theo danh tính, không chỉ theo IP: Giới hạn theo client ID của đối tác, theo người dùng và theo loại API. Đối tác fintech thường đi qua NAT nên giới hạn theo IP dễ chặn nhầm.
5. Giám sát hành vi: Phát hiện một token truy vấn hàng trăm số tài khoản khác nhau, hoặc tốc độ gọi API tra cứu tăng đột biến.

Phân vai hợp lý giữa ADC và API gateway:

Thông tư 50/2024 yêu cầu phần mềm Mobile Banking đáp ứng các điều kiện bảo mật riêng. Việc kiểm tra kênh API từ app ở ADC là lớp bổ sung, không thay thế kiểm thử bảo mật ứng dụng định kỳ.

Giữ giao dịch ổn định giờ cao điểm với F5 BIG-IP

Khi lưu lượng tăng vượt năng lực xử lý, cần xác định chức năng nào cần được ưu tiên. Các giao dịch tài chính như chuyển tiền, thanh toán cần được đảm bảo trước, trong khi những nội dung ít quan trọng hơn như khuyến mãi hay tin tức có thể giảm mức phục vụ. BIG-IP có thể thực thi các chính sách phân loại và điều phối lưu lượng. 

Công cụ thực thi trên BIG-IP:

• Chính sách L7 (LTM policy, iRule) định tuyến theo URI hoặc tên API vào các pool riêng, để P4 quá tải không kéo P1 chết theo.
• Giới hạn kết nối và rate shaping theo pool và theo virtual server.
• Connection queuing có thể hạn chế lượng kết nối chuyển xuống máy chủ khi backend đã gần đạt ngưỡng, thay vì để ứng dụng nhận quá nhiều request cùng lúc. 
• Cache và nén giảm số request cũng như lượng dữ liệu phải xử lý ở backend đối với các nội dung phù hợp. 

Các thời điểm như cuối tháng, đầu tháng, Tết Nguyên đán, Black Friday, 11/11, 12/12 hoặc các đợt nộp thuế, học phí có thể tạo ra lưu lượng tăng cao. Kế hoạch chuẩn bị nên bao gồm kiểm thử tải ở mức cao hơn đỉnh thực tế trước đó, kiểm tra giới hạn hiệu năng và license của BIG-IP, đồng thời rà soát các ngưỡng rate limit để tránh ảnh hưởng đến người dùng hợp lệ. 

Vận hành F5 BIG-IP an toàn trong ngân hàng

Thiết bị ADC F5 BIG-IP cũng là mục tiêu tấn công. Tháng 10/2025, F5 công bố một nhóm tấn công cấp quốc gia đã truy cập lâu dài vào môi trường phát triển BIG-IP và lấy đi một phần mã nguồn cùng thông tin về lỗ hổng chưa công bố. CISA lập tức ra chỉ thị khẩn yêu cầu các cơ quan liên bang Mỹ kiểm kê thiết bị F5, kiểm tra cổng quản trị có lộ ra Internet không và cập nhật bản vá.

F5 cho biết không phát hiện dấu hiệu chuỗi cung ứng phần mềm bị sửa đổi. Tuy vậy, sự cố cho thấy ngân hàng đang dùng hoặc định dùng F5 cần coi bảo mật và vá lỗi là yêu cầu vận hành bắt buộc.

Checklist tăng cường bảo mật tối thiểu:

• Kiểm kê toàn bộ thiết bị BIG-IP (phần cứng, VE, BIG-IQ), phiên bản TMOS/F5OS, ngày hết hỗ trợ.
• Cổng quản trị và iControl REST không truy cập được từ Internet, không để self IP ở VLAN ngoài cho phép truy cập quản trị (port lockdown).
• Đăng nhập quản trị qua AAA tập trung (TACACS+/RADIUS/LDAP) có MFA, đổi mọi mật khẩu mặc định; tắt tài khoản không dùng.
• Đăng ký nhận Security Advisory và Quarterly Security Notification của F5; có quy trình đánh giá và vá trong thời hạn theo mức độ nghiêm trọng.
• Thay thế thiết bị đã hết hỗ trợ, vì sẽ không còn bản vá.
• Mã hóa cookie persistence để không lộ địa chỉ máy chủ nội bộ.
• Gửi log quản trị và log hệ thống tới SIEM, cảnh báo khi có đăng nhập quản trị bất thường.
• Sao lưu UCS định kỳ, lưu ngoài thiết bị, có mã hóa.

Ví dụ: F5 BIG-IP xử lý tấn công vào ngày trả lương

Đây là tình huống giả định, tổng hợp từ các tình huống tấn công phổ biến, nhằm minh họa cách các lớp bảo vệ phối hợp khi ngân hàng vừa phải xử lý lưu lượng tăng cao vừa đối phó với nhiều cuộc tấn công cùng lúc. 

Bối cảnh: Lưu lượng đăng nhập Mobile Banking tăng gấp ba bình thường vì nhiều doanh nghiệp trả lương. Cùng lúc xảy ra ba hiện tượng: một chiến dịch Credential Stuffing ẩn trong lưu lượng đăng nhập, một đợt HTTP flood nhằm vào trang khuyến mãi và DDoS lưu lượng lớn vào dải IP của ngân hàng.

Quy trình thực hiện:

Điều kiện để F5 BIG-IP thực hiện quy trình:

• Hợp đồng scrubbing hoặc thỏa thuận với nhà mạng đã ký và đã diễn tập.
• Chính sách P1-P4 và trang tĩnh đã cấu hình sẵn, chỉ cần bật.
• Bot defense đã chạy chế độ giám sát đủ lâu để có ngưỡng tin cậy.
• Có người trực có quyền thay đổi chính sách ADC ngoài giờ hành chính, và quy trình phê duyệt khẩn.

Ngân hàng nên đánh giá F5 BIG-IP theo tiêu chí nào?

Dù lựa chọn F5, FortiADC, Citrix NetScaler, A10 hay một giải pháp khác, ngân hàng nên đánh giá các nhà cung cấp theo các tiêu chí dưới đây.

Câu hỏi thường gặp về F5 BIG-IP cho ngân hàng

Ngân hàng đã có WAF trên cloud (CDN) thì có cần Advanced WAF tại chỗ không? 

Tùy phạm vi. WAF trên CDN bảo vệ tốt ứng dụng công khai và chịu tải DDoS lớn. WAF tại chỗ cần cho ứng dụng nội bộ, kết nối đối tác qua kênh riêng và khi quy định yêu cầu dữ liệu giải mã không rời khỏi hạ tầng ngân hàng. Nhiều ngân hàng dùng cả hai.

Bật WAF có làm chậm giao dịch không? 

Độ trễ thêm thường ở mức mili giây nếu thiết bị được định cỡ đúng. Rủi ro lớn hơn là chặn nhầm do chính sách chưa tinh chỉnh, nên luôn bắt đầu ở chế độ giám sát.

Dữ liệu giải mã tại SSL Orchestrator có vi phạm quyền riêng tư không? 

Có thể, nếu không có chính sách. Cần danh sách bypass cho các danh mục nhạy cảm, thông báo cho nhân viên theo quy chế nội bộ, và kiểm soát ai được xem dữ liệu đã giải mã. Nên lấy ý kiến bộ phận pháp chế theo Luật Bảo vệ dữ liệu cá nhân.

Mất bao lâu để triển khai? 

Với một ngân hàng quy mô vừa, thay thế ADC cho một kênh ví dụ Internet Banking thường mất vài tháng tính cả POC, thiết kế, chuyển đổi và tinh chỉnh WAF. Triển khai đầy đủ nhiều kênh, hai site và SSL Orchestrator thường kéo dài hơn và nên chia giai đoạn.

Kết luận

F5 BIG-IP có thể đáp ứng nhiều bài toán quan trọng trong hạ tầng ứng dụng ngân hàng, từ HA/DR, phân phối và kiểm tra lưu lượng HTTPS đến chống bot và bảo vệ API. Khi đánh giá đầu tư, ngân hàng nên thực hiện POC với lưu lượng và cấu hình gần với thực tế, đồng thời đối chiếu các tiêu chí giữa nhiều nền tảng với yêu cầu của Thông tư 50/2024/TT-NHNN, Luật Bảo vệ dữ liệu cá nhân và PCI DSS 4.0.1. 

Việt Tuấn cung cấp giải pháp F5 BIG-IP cho hạ tầng ứng dụng và bảo mật trong ngành ngân hàng – tài chính, hỗ trợ tư vấn, triển khai và lựa chọn cấu hình phù hợp với nhu cầu thực tế. Liên hệ viettuans.vn để được đội kỹ thuật Việt Tuấn tư vấn giải pháp F5 BIG-IP phù hợp với hạ tầng và yêu cầu tuân thủ của tổ chức.