Tấn công DDoS và giải pháp phòng thủ ứng dụng Web (WAF)

Tấn công DDoS (từ chối dịch vụ phân tán) làm website hoặc ứng dụng ngừng phục vụ người dùng bằng cách dồn lượng truy cập vượt quá khả năng xử lý. Tường lửa ứng dụng web (WAF) là một phần quan trọng của giải pháp phòng thủ, đặc biệt với tấn công tầng ứng dụng, nhưng không phải là tất cả. Phòng thủ DDoS hiệu quả cần kết hợp nhiều lớp: hấp thụ lưu lượng ở biên mạng, lọc yêu cầu độc hại bằng WAF và thiết kế ứng dụng chịu tải tốt.

Phân loại tấn công DDoS

Hiểu kẻ tấn công nhắm vào đâu giúp chọn đúng công cụ phòng thủ. Có thể chia DDoS thành ba nhóm chính:

Tấn công tầng ứng dụng khó phát hiện nhất vì mỗi yêu cầu trông giống người dùng thật. Chỉ vài nghìn yêu cầu mỗi giây vào trang tìm kiếm không có bộ nhớ đệm có thể làm sập cơ sở dữ liệu, trong khi lưu lượng mạng vẫn có vẻ bình thường.

WAF hoạt động như thế nào

WAF đứng giữa người dùng và ứng dụng web, kiểm tra từng yêu cầu HTTP/HTTPS trước khi chuyển tiếp. Nó có thể chặn dựa trên chữ ký tấn công đã biết, quy tắc tùy chỉnh, danh tiếng IP, vị trí địa lý, tốc độ yêu cầu và hành vi của client.

Ngoài chống DDoS tầng ứng dụng, WAF còn bảo vệ trước các lỗ hổng web phổ biến như SQL injection, cross-site scripting, truy cập tệp trái phép. Bộ quy tắc mã nguồn mở OWASP Core Rule Set là nền tảng của nhiều sản phẩm WAF. Tuy nhiên, WAF là lớp giảm thiểu, không thay thế việc sửa lỗ hổng trong mã nguồn.

Các hình thức triển khai

• WAF đám mây: tích hợp với CDN, dễ triển khai bằng cách trỏ DNS, có lợi thế hấp thụ lưu lượng lớn ở biên. Phù hợp với đa số website doanh nghiệp.
• WAF của nhà cung cấp cloud: gắn với bộ cân bằng tải hoặc API gateway trên AWS, Azure, Google Cloud.
• WAF tại chỗ: thiết bị phần cứng hoặc phần mềm trong trung tâm dữ liệu, kiểm soát cao nhưng không giúp gì nếu đường truyền đã bị nghẽn.
• WAF chạy cùng máy chủ web: module như ModSecurity, chi phí thấp nhưng dùng chung tài nguyên với ứng dụng.

Những lớp phòng thủ cần kết hợp

Ẩn và bảo vệ máy chủ gốc

Nếu kẻ tấn công biết địa chỉ IP thật của máy chủ, chúng có thể vượt qua CDN và WAF để đánh thẳng vào. Hãy cấu hình máy chủ chỉ nhận kết nối từ dải IP của nhà cung cấp CDN, rà soát bản ghi DNS cũ, tên miền phụ, header email có thể làm lộ IP gốc. Việc này liên quan mật thiết tới bảo vệ tên miền trước các kiểu tấn công, vì DNS là điểm yếu thường bị bỏ quên.

Giới hạn tốc độ thông minh

Áp giới hạn khác nhau cho từng loại endpoint: trang tĩnh có thể cho phép nhiều, trang đăng nhập, tìm kiếm, API tạo đơn hàng cần chặt hơn. Giới hạn theo IP đơn thuần kém hiệu quả với botnet lớn, nên kết hợp theo phiên, theo token hoặc theo dấu vân tay client.

Thử thách và phát hiện bot

Khi lưu lượng bất thường, có thể yêu cầu client chạy JavaScript hoặc giải thử thách trước khi được phục vụ. Bot đơn giản sẽ bị loại, người dùng thật gần như không nhận ra.

Ứng dụng chịu tải tốt

Bộ nhớ đệm cho nội dung tĩnh và trang ít thay đổi, hàng đợi cho tác vụ nặng, tự động mở rộng tài nguyên, tách cơ sở dữ liệu đọc và ghi đều giúp ứng dụng trụ vững lâu hơn. Kiến trúc Cloud Native với khả năng co giãn linh hoạt là lợi thế rõ trong tình huống này, dù cần đặt giới hạn để hóa đơn không tăng vọt vì lưu lượng tấn công.

Kế hoạch ứng phó DDoS

Khi bị tấn công, phản ứng nhanh quan trọng hơn mọi thứ. Kế hoạch nên được chuẩn bị trước với các nội dung:

1. Đường cơ sở: biết lưu lượng bình thường theo giờ, ngày để nhận ra bất thường.
2. Cảnh báo: ngưỡng về số yêu cầu, tỷ lệ lỗi, thời gian phản hồi.
3. Đầu mối: số điện thoại hỗ trợ khẩn cấp của nhà cung cấp CDN, ISP, hosting.
4. Chế độ phòng thủ cao: bộ quy tắc WAF chặt hơn, bật thử thách cho mọi truy cập, chặn tạm khu vực địa lý không có khách hàng.
5. Trang dự phòng: trang tĩnh thông báo bảo trì phục vụ từ CDN khi ứng dụng quá tải.
6. Truyền thông: thông báo cho khách hàng qua kênh khác.
7. Rút kinh nghiệm: phân tích log sau sự cố, cập nhật quy tắc.

Lưu ý khi vận hành WAF

WAF cấu hình sai có thể gây hại không kém tấn công: chặn nhầm khách hàng, làm hỏng chức năng tải tệp, gây lỗi API. Nên triển khai ở chế độ giám sát trước, tinh chỉnh dần rồi mới bật chặn. Mỗi lần phát hành tính năng mới, đội phát triển và đội vận hành cần kiểm tra lại quy tắc. Log của WAF cũng là nguồn dữ liệu quý cho đội giám sát an ninh, như mô tả trong bài vai trò của hệ thống SOC.

Chống DDoS không có giải pháp một lần là xong. Kẻ tấn công thay đổi kỹ thuật liên tục, ứng dụng cũng thay đổi theo từng bản phát hành. Doanh nghiệp nên coi đây là năng lực vận hành cần duy trì: có công cụ phù hợp, có người hiểu công cụ và có kịch bản đã diễn tập.