Tường lửa ứng dụng web (WAF)

Web Application Firewall (WAF) là lớp bảo vệ chuyên dụng cho website, cổng thanh toán, phần mềm web và API của doanh nghiệp. Khác với firewall mạng thông thường, tường lửa ứng dụng web kiểm tra từng request HTTP/HTTPS để chặn SQL Injection, XSS, chiếm quyền phiên, bot xấu và DDoS lớp 7 trước khi chúng chạm tới máy chủ.

Web Application Firewall / WAF là gì?

Web Application Firewall (WAF) là thiết bị hoặc phần mềm đứng trước ứng dụng web, kiểm soát lưu lượng HTTP/HTTPS giữa người dùng và máy chủ. WAF hoạt động ở lớp 7 (lớp ứng dụng) trong mô hình OSI, nơi firewall mạng truyền thống gần như không nhìn thấy.

Nói đơn giản, firewall mạng quyết định ai được vào, còn tường lửa ứng dụng web quyết định nội dung gì được gửi vào. Một request đi qua cổng 443 hợp lệ vẫn có thể chứa câu lệnh SQL độc hại; WAF đọc và chặn chính request đó.

WAF bảo vệ mọi thứ chạy trên nền web: website giới thiệu, trang thương mại điện tử, cổng dịch vụ công, internet banking, phần mềm ERP/CRM bản web và các API của ứng dụng di động.

Web Application Firewall hoạt động như thế nào?

Mọi request từ trình duyệt hay ứng dụng di động đều đi qua WAF trước khi tới máy chủ web. WAF giải mã HTTPS, phân tích URL, header, cookie và nội dung gửi lên, rồi đối chiếu với chính sách bảo mật. Request sạch được chuyển tiếp; request độc hại bị chặn và ghi log để quản trị viên theo dõi.

WAF kiểm tra những gì trong một request?

Khác với firewall mạng chỉ nhìn địa chỉ IP và cổng, Web Application Firewall mở từng request HTTP ra và đọc toàn bộ nội dung:

• URL và tham số (query string): phát hiện chuỗi SQL, đoạn script hoặc đường dẫn kiểu ../../etc/passwd chèn vào đường link.
• Header: User-Agent giả mạo, Host lạ, Referer bất thường, header bị nhồi dữ liệu quá dài.
• Cookie và phiên đăng nhập: cookie bị sửa, đánh cắp hoặc dùng lại phiên (session hijacking).
• Nội dung gửi lên (body): dữ liệu form, JSON/XML của API, kiểm tra cả kiểu dữ liệu và độ dài từng trường.
• File upload: chặn web shell, file thực thi đội lốt ảnh hoặc tài liệu.
• Phản hồi từ máy chủ: che số thẻ, số CMND/CCCD hay thông báo lỗi hệ thống trước khi trả về người dùng, tránh rò rỉ dữ liệu.

Với firewall mạng, đây chỉ là một kết nối HTTPS bình thường tới cổng 443 nên được cho qua. Với WAF, request được giải mã, ô tên đăng nhập bị phát hiện chứa cú pháp SQL, request bị chặn (trả mã 403), địa chỉ IP bị ghi log và có thể tự động đưa vào danh sách chặn. Website không cần sửa một dòng code nào: đây chính là giá trị "vá ảo"của tường lửa ứng dụng web.

Web App Firewall khác Firewall thường và NGFW thế nào?

Firewall truyền thống, Firewall thế hệ mới (NGFW) và Web Application Firewall (WAF) đều có chức năng kiểm soát, bảo vệ hệ thống trước các mối đe dọa an ninh mạng. Để phân biệt rõ các giải pháp này, bạn hãy tham khảo bảng so sánh dưới đây:

WAF không thay thế NGFW mà đóng vai trò bổ sung cho nhau. NGFW bảo vệ hệ thống mạng trước các mối đe dọa từ bên ngoài. WAF tập trung kiểm tra và ngăn chặn các cuộc tấn công nhắm vào ứng dụng web. Mô hình triển khai phổ biến là đặt NGFW tại vị trí kết nối Internet và WAF ngay trước cụm máy chủ web để tạo nhiều lớp bảo vệ.

Tường lửa ứng dụng web chặn được những tấn công nào?

Web App Firewall giảm thiểu phần lớn các kiểu tấn công nhắm vào website và API như:

• SQL Injection: Chèn lệnh vào form, URL để đọc, sửa hoặc xóa dữ liệu. Hậu quả thường gặp là lộ thông tin khách hàng, tài khoản.
• Cross-Site Scripting (XSS): Chèn mã JavaScript độc vào trang. Khách truy cập có thể bị đánh cắp phiên đăng nhập hoặc chuyển sang trang lừa đảo mang giao diện của bạn.
• Rủi ro trong OWASP Top 10: Danh sách các nhóm rủi ro bảo mật web phổ biến nhất do cộng đồng OWASP công bố như lỗi kiểm soát truy cập, cấu hình sai, thành phần phần mềm có lỗ hổng….
• Bot xấu: Dò mật khẩu hàng loạt, cào giá, giữ hàng ảo trong mùa khuyến mãi, spam form đăng ký.
• DDoS lớp 7 (HTTP flood): Hàng nghìn yêu cầu trông như hợp lệ làm website quá tải. WAF giới hạn tần suất và thử thách trình duyệt để lọc bớt.
• Tấn công API: API của app di động, cổng đối tác bị gửi dữ liệu sai định dạng hoặc gọi quá mức. WAF kiểm tra cấu trúc JSON/XML và giới hạn lượt gọi.
• Vá ảo (virtual patching): Khi một lỗ hổng vừa công bố mà lập trình viên chưa kịp sửa code, WAF chặn đúng kiểu khai thác đó trong thời gian chờ.

Tường lửa ứng dụng web hiệu quả nhất khi chính sách được tinh chỉnh theo ứng dụng, chữ ký được cập nhật thường xuyên và vá lỗi mã nguồn, kiểm thử định kỳ. Với các cuộc tấn công DDoS có lưu lượng rất lớn ở lớp mạng, doanh nghiệp vẫn cần triển khai thêm giải pháp chống DDoS chuyên dụng, thường được các nhà cung cấp tích hợp cùng WAF.

Đối tượng phù hợp triển khai tường lửa ứng dụng web

WAF gần như bắt buộc với tổ chức có ứng dụng web công khai, xử lý tiền hoặc dữ liệu cá nhân. Một số trường hợp còn có yêu cầu pháp lý hoặc tiêu chuẩn ngành cụ thể.

Cơ quan nhà nước và hệ thống thông tin theo cấp độ

Thông tư 12/2022/TT-BTTTT hướng dẫn Nghị định 85/2016/NĐ-CP xếp Web App Firewall vào nhóm thiết bị mạng chính của hệ thống thông tin. Các phụ lục yêu cầu cơ bản nêu rõ việc có phương án phòng chống tấn công cho ứng dụng web và sử dụng sản phẩm tường lửa ứng dụng web với hệ thống thuộc khoản 2 Điều 8 Nghị định 85. Cổng thông tin, cổng dịch vụ công lại thường xuyên bị dò lỗ hổng và thay giao diện.

Ngân hàng, công ty tài chính, ví điện tử

Internet banking, app di động và API mở cho đối tác là mục tiêu tấn công hàng đầu. Rủi ro chính là chiếm tài khoản bằng bot, khai thác lỗ hổng API và DDoS lớp ứng dụng vào giờ giao dịch. Các tổ chức này thường cần WAF hiệu năng cao, có dự phòng và tích hợp với hệ thống giám sát an ninh (SOC).

Doanh nghiệp có cổng thanh toán thẻ

Theo PCI DSS v4.0.1, bắt buộc từ 31/3/2025:

• Yêu cầu 6.4.2: Ứng dụng web công khai phải có giải pháp kỹ thuật tự động, liên tục phát hiện và ngăn tấn công. WAF là một phương án phổ biến để đáp ứng mục tiêu này, nhưng PCI DSS không bắt buộc doanh nghiệp phải sử dụng một sản phẩm WAF cụ thể. 
• Yêu cầu 6.4.3 và 11.6.1: Phải kiểm kê, phê duyệt và giám sát thay đổi của mọi script trên trang thanh toán, nhằm chống mã độc đánh cắp thẻ ngay trong trình duyệt. Mã độc này chạy phía khách nên WAF truyền thống không thấy hết. Một số hãng có module riêng như Imperva Client-Side Protection hay F5 Distributed Cloud Client-Side Defense.

Thương mại điện tử, doanh nghiệp có app, API, SaaS

Lưu lượng tăng đột biến mùa khuyến mãi, bot cào giá, bot dò tài khoản và API mở cho đối tác. Mọi hệ thống mở ra Internet đều bị dò quét tự động hằng ngày, kể cả website doanh nghiệp nhỏ.

Tính năng cần có của một WAF doanh nghiệp

Khi so sánh các dòng tường lửa ứng dụng web, hãy kiểm tra đủ các tính năng sau:

• Bảo vệ OWASP Top 10 và cập nhật chữ ký tấn công tự động từ hãng.
• Bảo mật API: kiểm tra JSON, XML, REST theo đặc tả OpenAPI.
• Chống bot: phân biệt người thật với bot cào dữ liệu, dò mật khẩu.
• Chống DDoS lớp 7 và giới hạn tốc độ request (rate limiting).
• SSL/TLS offload: giải mã HTTPS để kiểm tra, giảm tải cho máy chủ.
• Cân bằng tải tích hợp giữa nhiều máy chủ web.
• Học tự động (Machine Learning) để giảm báo nhầm và chặn tấn công zero-day.
• Chống lộ dữ liệu (DLP): che số thẻ, CMND/CCCD trong phản hồi của ứng dụng.
• Báo cáo và log chi tiết, hỗ trợ đẩy về hệ thống SIEM.
• High Availability (HA): chạy cặp thiết bị dự phòng, website không gián đoạn khi một máy gặp sự cố.
• Cổng bypass phần cứng: lưu lượng vẫn đi qua khi thiết bị mất nguồn 

Mua Web Application Firewall chính hãng tại Việt Tuấn

Việt Tuấn có hơn 10 năm kinh nghiệm phân phối thiết bị bảo mật và thiết bị mạng cho doanh nghiệp, cơ quan nhà nước và dự án trên toàn quốc. Khi mua WAF tại Việt Tuấn, bạn được:

• Sản phẩm chính hãng 100%, đầy đủ CO/CQ và hóa đơn VAT.
• Khảo sát ứng dụng, tư vấn chọn model và chế độ triển khai miễn phí.
• Hỗ trợ cài đặt, cấu hình chính sách bảo mật 
• Bảo hành chính hãng, hỗ trợ kỹ thuật tại Hà Nội và TP. Hồ Chí Minh.

Liên hệ tư vấn và báo giá WAF:

• Hotline/Zalo: 0934.666.003 – 0903.209.123 – 0938.086.846
• Email: sales@viettuans.vn
• Hà Nội: Tầng 6, Số 23 Tô Vĩnh Diện, P. Khương Đình
• TP. Hồ Chí Minh: 129E Nguyễn Đình Chính, P. Phú Nhuận

Xem thêm

Rút gọn