WAF là gì?
WAF (Web Application Firewall - Tường lửa ứng dụng web) là giải pháp bảo mật giám sát, lọc và chặn các gói tin dữ liệu khi đi đến và từ các ứng dụng web. WAF hoạt động ở lớp ứng dụng (Layer 7 OSI), khác với tường lửa truyền thống hoạt động ở lớp mạng.
Nguyên lý hoạt động của WAF
- Đặt trước ứng dụng web (thường qua reverse proxy)
- Kiểm tra tất cả lưu lượng HTTP/HTTPS đến/máy chủ web
- Áp dụng bộ quy tắc (policies/rules) để phát hiện và chặn lưu lượng độc hại
- Cho phép lưu lượng hợp pháp đi qua
Các cuộc tấn công WAF bảo vệ
| Loại tấn công | Mô tả |
|---|
| SQL Injection | Chèn mã SQL độc hại qua input để truy xuất/xóa DB |
| Cross-Site Scripting (XSS) | Chèn script độc hại chạy trên trình duyệt nạn nhân |
| Cross-Site Request Forgery (CSRF) | Lừa người dùng thực hiện hành động không mong muốn |
| File Inclusion (LFI/RFI) | Truy cập file nhạy cảm trên server |
| Cookie Poisoning | Thay đổi cookie để leo thang đặc quyền |
| DDoS lớp 7 | Ngập ứng dụng bằng request giả |
Loại WAF phổ biến
- Network-based WAF: Phần cứng chuyên dụng, độ trễ thấp, chi phí cao
- Host-based WAF: Cài trên server web (ModSecurity), tích hợp tốt, tiêu tốn tài nguyên server
- Cloud WAF (WAF-as-a-Service): AWS WAF, Cloudflare, Akamai - dễ triển khai, mở rộng tốt, mô hình thuê bao
Tại sao WAF quan trọng?
- Bảo vệ ứng dụng web 24/7 mà không cần canh gác
- Tuân thủ tiêu chuẩn PCI DSS (bắt buộc nếu nhận thanh toán thẻ tín dụng)
- Bảo vệ khi ứng dụng có lỗ hổng chưa vá (virtual patching)
- Giám sát và ghi log tấn công cho phân tích sau này
- Giảm rủi ro rò rỉ dữ liệu nhạy cảm
AWS WAF - Ví dụ WAF đám mây
AWS WAF cho phép tạo Web ACL (Access Control List) với các quy tắc: IP reputation, rate limiting, geographic blocking, managed rule groups (AWS Managed Rules, OWASP Top 10). Áp dụng cho CloudFront, ALB, API Gateway, AppSync.
WAF có thay thế được bảo mật mã nguồn?
KHÔNG. WAF là lớp bảo vệ bổ sung (defense in depth). Cần: Code an toàn (secure coding), kiểm thử bảo mật (SAST/DAST/penetration test), cập nhật thư viện, quản trị secret đúng cách. WAF chặn được khai thác, không sửa được lỗ hổng gốc.
