"Có WAF rồi mà website vẫn bị chèn mã độc" là một trong những câu chúng tôi nghe nhiều nhất khi tiếp nhận sự cố. Người quản trị thường mở bảng điều khiển ra, chỉ vào con số vài chục nghìn request đã bị chặn trong tháng, và không hiểu vì sao thứ đó không cứu được họ.
WAF là gì? Viết tắt của Web Application Firewall — tường lửa ứng dụng web. Nó là một lớp lọc đứng trước website, đọc nội dung từng request HTTP gửi tới và chặn những request trông giống tấn công. Khác với firewall mạng thông thường chỉ quan tâm địa chỉ IP và cổng, WAF đọc được cả nội dung bên trong: người dùng gõ gì vào ô tìm kiếm, gửi gì lên form, tham số URL có gì bất thường.
Vấn đề nằm ở chỗ WAF hay được bán như một tấm bùa hộ mệnh: cứ bật lên là an toàn. Không phải vậy. Dưới đây là ranh giới thật của công nghệ này — chặn được gì, bó tay trước gì, website loại nào thật sự cần chi tiền, và vì sao khá nhiều website hỏng form ngay ngày đầu bật WAF.
WAF chặn gì: giải thích bằng ví dụ đời thường
Hình dung website của bạn là một tòa nhà văn phòng. Firewall mạng là bảo vệ ở cổng: chỉ kiểm tra người này đến từ đâu, có nằm trong danh sách cấm không, được vào cửa số mấy. WAF là nhân viên lễ tân đọc kỹ nội dung tờ phiếu yêu cầu mà khách điền — thấy khách viết "cho tôi xem toàn bộ hồ sơ nhân sự" vào ô "tên người cần gặp" thì giữ lại, không chuyển vào trong.
Cụ thể, một tường lửa ứng dụng web xử lý tốt các nhóm sau:
- Tấn công tiêm mã kinh điển: SQL injection, XSS, command injection, path traversal. Đây là những kiểu tấn công có dấu hiệu nhận dạng rõ ràng trong nội dung request, ví dụ chuỗi lệnh SQL nằm trong ô nhập liệu.
- Dò quét tự động: bot quét thư mục quản trị, dò file cấu hình, thử hàng loạt đường dẫn plugin đã biết lỗ hổng. Nhóm này chiếm phần lớn lưu lượng độc hại của website vừa và nhỏ, và WAF chặn rất hiệu quả.
- Brute force đăng nhập: giới hạn số lần thử mật khẩu theo IP, theo phiên, theo khoảng thời gian.
- Tấn công từ chối dịch vụ tầng ứng dụng: hàng nghìn request hợp lệ về mặt cú pháp nhưng nhắm vào trang nặng nhất để làm nghẽn máy chủ.
- Vá ảo (virtual patching): khi một CMS công bố lỗ hổng mới mà bạn chưa kịp cập nhật, WAF có thể chặn đúng mẫu khai thác đó trong lúc chờ. Đây là giá trị thực tế lớn nhất của WAF với doanh nghiệp không có đội kỹ thuật trực suốt.
Hai chế độ vận hành cần phân biệt
Mọi WAF đều có ít nhất hai chế độ: ghi log (phát hiện và ghi lại nhưng vẫn cho request đi qua) và chặn (trả về lỗi 403). Rất nhiều WAF ngoài thực tế đang chạy ở chế độ ghi log mà chủ website tưởng là đang chặn — vì đơn vị triển khai bật log-only để tránh lỗi rồi quên chuyển. Hãy kiểm tra lại điều này trước khi tin vào lớp bảo vệ của mình.
Những gì WAF không bảo vệ được — ranh giới hay bị bán quá
Đây là phần ít được nói trong các buổi tư vấn bán hàng. WAF lọc request dựa trên hình dạng của request. Nếu cuộc tấn công có hình dạng của một thao tác hợp lệ, WAF không có cơ sở nào để chặn.
Lỗi logic nghiệp vụ. Một website bán hàng để giá sản phẩm trong tham số gửi lên khi thêm vào giỏ. Kẻ tấn công sửa giá từ 5.000.000 xuống 5.000 rồi đặt hàng. Request đó hoàn toàn đúng cú pháp, đúng định dạng, không chứa ký tự lạ nào. Tương tự với lỗi truy cập trái phép theo mã đối tượng: đổi số 1042 trong đường dẫn xem đơn hàng thành 1043 để xem đơn của khách khác. Với WAF, cả hai đều chỉ là người dùng bấm chuột bình thường.
Tài khoản thật bị lộ. Nhân viên nghỉ việc còn tài khoản quản trị, mật khẩu dùng chung với một dịch vụ khác đã rò rỉ, không bật xác thực hai lớp. Kẻ tấn công đăng nhập bằng đúng thông tin hợp lệ. WAF thấy một phiên đăng nhập thành công và không có lý do gì để can thiệp.
Cửa hậu đã nằm sẵn trong mã nguồn. Theme hoặc plugin bẻ khóa tải từ nguồn không rõ ràng thường kèm sẵn webshell. Mã độc đã ở bên trong máy chủ rồi thì nó không cần đi qua cửa nữa — nó chạy theo tác vụ định kỳ, gọi ra ngoài, hoặc được kích hoạt bằng một request trông vô hại. Nếu website bạn đã ở trạng thái này, việc cần làm là quy trình xử lý sự cố chứ không phải mua thêm lớp lọc; chúng tôi có hướng dẫn riêng cho tình huống website bị hack phải làm gì trong 24 giờ đầu.
Đường vòng qua IP gốc. Đây là lỗi cấu hình phổ biến nhất chúng tôi gặp khi rà soát. Bạn trỏ tên miền qua dịch vụ WAF đám mây, nhưng máy chủ gốc vẫn nhận kết nối từ mọi địa chỉ trên Internet. Kẻ tấn công tìm ra IP thật — qua bản ghi DNS cũ, qua chứng chỉ SSL, qua email gửi từ server — rồi gõ thẳng vào đó. Toàn bộ lớp WAF bị bỏ qua sạch. Cách khắc phục: chặn tường lửa ở máy chủ, chỉ cho phép dải IP của nhà cung cấp WAF đi vào cổng 80 và 443.
Các lối vào không phải HTTP. SSH mở ra Internet với mật khẩu yếu, cổng cơ sở dữ liệu 3306 lộ ra ngoài, file sao lưu .zip để nguyên trong thư mục web, file .env chứa mật khẩu tải về được. WAF chỉ đứng trước lưu lượng web; những cửa còn lại nó không nhìn thấy.
Tóm gọn ranh giới:
| Tình huống | WAF xử lý được? | Cái thật sự cần |
|---|---|---|
| SQL injection, XSS qua form | Có, rất tốt | — |
| Bot dò quét thư mục, plugin lỗi | Có | Cập nhật định kỳ |
| Sửa giá, đổi mã đơn hàng để xem dữ liệu người khác | Không | Kiểm thử logic, sửa mã nguồn |
| Mật khẩu quản trị bị lộ | Không | Xác thực hai lớp, phân quyền |
| Webshell cài sẵn trong theme bẻ khóa | Gần như không | Rà mã nguồn, cài lại sạch |
| Truy cập thẳng vào IP gốc | Không, nếu chưa khóa firewall | Chỉ mở cho IP nhà cung cấp WAF |
| SSH, cổng cơ sở dữ liệu lộ ra Internet | Không | Cứng hóa máy chủ |
| Nhân viên bị lừa qua email giả | Không | Đào tạo, quy trình duyệt |
Website nào cần WAF, website nào chưa
Câu hỏi "có cần WAF không" nên trả lời bằng rủi ro, không bằng quy mô doanh nghiệp. Một cửa hàng 8 nhân sự bán hàng online có thể cần WAF gấp hơn một công ty 200 người chỉ có trang giới thiệu tĩnh.
Bạn nên trang bị WAF nếu website rơi vào ít nhất hai trong các mục sau:
- Có thanh toán trực tuyến hoặc lưu thông tin cá nhân khách hàng (tên, số điện thoại, địa chỉ, hồ sơ y tế, hồ sơ vay).
- Có khu vực đăng nhập cho người dùng bên ngoài, không chỉ nội bộ.
- Chạy trên CMS phổ biến với nhiều plugin bên thứ ba — WordPress, Magento, OpenCart. Số lượng lỗ hổng công bố mỗi tháng ở nhóm này rất lớn.
- Có API mở cho ứng dụng di động hoặc đối tác.
- Từng bị tấn công, bị chèn liên kết ẩn, bị Google cảnh báo.
- Thuộc lĩnh vực dễ bị nhắm: tài chính, giáo dục, y tế, thương mại điện tử, hoặc đơn giản là thương hiệu có tiếng.
- Không có đội kỹ thuật trực để cập nhật bản vá trong vòng 48 giờ sau khi lỗ hổng được công bố.
Ngược lại, nếu website của bạn là trang tĩnh giới thiệu công ty, không form, không đăng nhập, không cơ sở dữ liệu — thì tiền nên đi vào chỗ khác trước: sao lưu tự động, chứng chỉ SSL, quản lý mật khẩu, giới hạn quyền truy cập. Muốn tự chấm trạng thái hiện tại trước khi quyết định, bạn có thể chạy qua checklist bảo mật website cho người không biết code — mất khoảng 30 phút và không cần kiến thức lập trình.
Cloudflare miễn phí vs WAF trả phí: đủ dùng đến đâu
Gói miễn phí của Cloudflare đã cho bạn một lớp bảo vệ thật: che IP gốc, chống DDoS tầng mạng, SSL, chặn một số mẫu tấn công cơ bản và cho phép tạo tối đa 5 luật tùy chỉnh. Với website giới thiệu hoặc blog, chừng đó thường là đủ.
Ranh giới bắt đầu lộ ra khi bạn cần bộ luật quản trị theo OWASP, cần đặt luật riêng theo đường dẫn, cần log chi tiết để điều tra, hoặc cần chặn bot tinh vi.
Bảng dưới là khoảng giá tham khảo thị trường tại thời điểm viết (08/2026), chưa gồm VAT. Giá dịch vụ nước ngoài quy đổi theo tỷ giá tại thời điểm viết và có thể thay đổi theo chính sách nhà cung cấp.
| Phương án | Chi phí tham khảo/tháng | Bộ luật & tùy biến | Phù hợp với | Điểm yếu |
|---|---|---|---|---|
| Cloudflare Free | 0đ | 5 luật tùy chỉnh, bộ luật cơ bản | Trang giới thiệu, blog, landing page | Không có bộ luật OWASP quản trị, log giữ rất ngắn |
| Cloudflare Pro | ~25 USD (~650.000đ) | Bộ luật OWASP quản trị, 20 luật tùy chỉnh | Website bán hàng nhỏ, có form và đăng nhập | Tùy biến còn hạn chế, phân tích log chưa sâu |
| Cloudflare Business | ~200 USD (~5.200.000đ) | 100 luật tùy chỉnh, chặn bot nâng cao | Thương mại điện tử, doanh nghiệp có API mở | Chi phí nhảy bậc mạnh so với Pro |
| ModSecurity + OWASP CRS tự cài trên máy chủ | 0đ phí bản quyền, 2.000.000 - 6.000.000đ nếu thuê vận hành | Toàn quyền chỉnh luật | Đơn vị có kỹ sư hệ thống, muốn kiểm soát dữ liệu | Tốn công tinh chỉnh, không chống DDoS lớn |
| WAF quản trị trọn gói tại Việt Nam | 3.000.000 - 15.000.000đ tùy lưu lượng | Bộ luật riêng, có người trực xử lý cảnh báo | Doanh nghiệp không có đội bảo mật riêng | Phụ thuộc chất lượng đội vận hành của nhà cung cấp |
| Thiết bị WAF chuyên dụng | Đầu tư ban đầu từ vài trăm triệu | Tùy biến sâu nhất | Ngân hàng, hệ thống chịu ràng buộc tuân thủ | Chi phí và nhân sự vận hành lớn |
Nguyên tắc chọn của chúng tôi khá đơn giản: nếu website ngừng hoạt động một ngày mà thiệt hại nhỏ hơn chi phí WAF trả phí một năm, hãy bắt đầu bằng gói miễn phí cấu hình đúng. Cấu hình đúng ở đây quan trọng hơn hạng gói — một Cloudflare Free có khóa firewall máy chủ chặt chẽ bảo vệ tốt hơn một gói Business để hở IP gốc.
Nếu website đang chạy trên hạ tầng do chúng tôi quản lý, lớp lọc và quy tắc tường lửa được cấu hình sẵn theo từng ứng dụng; bạn có thể xem thêm ở dịch vụ máy chủ và VPS của Microads, khởi điểm 199.000đ/tháng với cam kết uptime 99,9% và sao lưu hằng ngày lưu 30 ngày.
Bật WAF xong website lỗi: các case chặn nhầm và cách xử
Đây là tình huống chúng tôi được gọi nhiều nhất liên quan tới WAF, và gần như luôn xảy ra trong 72 giờ đầu sau khi bật chế độ chặn.
Form liên hệ trả về lỗi 403 với một số khách. Khách gõ nội dung có dấu nháy đơn, dấu ngoặc, hoặc dán một đoạn có ký tự đặc biệt. Bộ luật chống SQL injection bắt đúng mẫu đó và chặn. Chủ website không hề biết, vì phía họ chỉ thấy số lượng liên hệ giảm dần.
Trình soạn thảo bài viết không lưu được. CKEditor, TinyMCE gửi nội dung HTML lên máy chủ. Bộ luật chống XSS nhìn thấy thẻ HTML trong dữ liệu gửi lên và chặn thẳng. Biểu hiện: bấm lưu, trang quay vòng rồi mất bài.
Webhook từ cổng thanh toán không tới. Đây là case tốn kém nhất. Máy chủ của cổng thanh toán gọi về đường dẫn thông báo kết quả giao dịch với tác nhân người dùng lạ, không cookie, không referer. WAF xếp nó vào nhóm đáng ngờ và chặn. Kết quả: khách trả tiền thành công nhưng đơn hàng vẫn treo ở trạng thái chờ, kế toán đối soát cuối ngày mới phát hiện.
Tác vụ quản trị bị giới hạn tốc độ. Nhập kho hàng loạt, cập nhật giá 2.000 sản phẩm, đồng bộ dữ liệu — nhìn từ WAF giống hệt hành vi tự động độc hại.
Cách xử lý mà chúng tôi áp dụng theo thứ tự:
- Chạy chế độ ghi log 7-14 ngày trước khi chặn. Đủ để bắt trọn một chu kỳ nghiệp vụ, gồm cả những tác vụ chỉ chạy cuối tháng.
- Đọc log theo mã luật, không đoán. Mỗi lần chặn đều có mã luật cụ thể và đường dẫn cụ thể. Đó là hai thứ cần cho bước tiếp theo.
- Loại trừ hẹp, không tắt cả nhóm. Tắt toàn bộ nhóm luật chống XSS để cứu trình soạn thảo là cách nhanh nhất mở lại cửa cho tấn công thật. Đúng cách là loại trừ đúng mã luật đó, chỉ trên đúng đường dẫn quản trị đó, và chỉ với tài khoản đã đăng nhập.
- Cho phép trước dải IP của cổng thanh toán và đối tác tích hợp. Danh sách này nhà cung cấp luôn công bố công khai.
- Chuẩn bị đường lùi. Trước khi chuyển sang chế độ chặn, hãy biết chính xác cần bấm gì để quay lại trạng thái cũ trong 5 phút. Với khách hàng đang dùng dịch vụ vận hành của chúng tôi, sự cố mức P1 được phản hồi trong 15 phút, và bước đầu tiên luôn là đưa hệ thống về trạng thái chạy được rồi mới tinh chỉnh luật.
Lưu ý: đừng bật WAF vào chiều thứ Sáu. Nghe như đùa, nhưng phần lớn thiệt hại do chặn nhầm đến từ việc không ai theo dõi log trong hai ngày cuối tuần.
WAF trong bức tranh bảo mật tổng thể
Hãy đặt WAF vào đúng vai trò của nó: một lớp giảm thiệt hại, mua thời gian cho bạn. Nó không sửa mã nguồn viết ẩu, không tạo bản sao lưu, không thay bạn quản lý ai đang giữ mật khẩu quản trị.
Với ngân sách bảo mật của một doanh nghiệp vừa và nhỏ, thứ tự chi tiền chúng tôi thường khuyến nghị:
- Sao lưu tự động có kiểm tra phục hồi định kỳ — thứ duy nhất cứu bạn khi mọi lớp khác thất bại.
- Xác thực hai lớp cho toàn bộ tài khoản quản trị và phân quyền theo vai trò.
- Quy trình cập nhật bản vá cho hệ điều hành, CMS, plugin.
- WAF cấu hình đúng, kèm khóa tường lửa ở máy chủ gốc.
- Kiểm thử xâm nhập định kỳ để tìm những lỗi WAF không thấy — đặc biệt là nhóm lỗi logic nghiệp vụ. Nếu chưa chắc doanh nghiệp mình đã tới lúc cần, 7 dấu hiệu cho thấy doanh nghiệp nhỏ cần pentest là bộ tiêu chí đủ dùng để tự đánh giá, còn chi phí thì tham khảo khung báo giá pentest theo phạm vi kiểm thử.
- Giám sát và cảnh báo: có người thật đọc log, không chỉ có phần mềm ghi log.
Từ 2015 tới nay, qua hơn 500 dự án, mô hình lặp lại rõ nhất mà chúng tôi thấy là: doanh nghiệp mua lớp phòng thủ đắt nhất nhưng bỏ qua ba việc rẻ nhất ở đầu danh sách trên. WAF đứng ở vị trí thứ tư là có lý do.
Nếu bạn đang phân vân website của mình cần WAF hạng nào, hoặc vừa bật WAF xong và có thứ gì đó ngừng hoạt động, gọi cho chúng tôi theo hotline 0919 788 815 để được rà soát và tư vấn miễn phí. Đội ngũ kỹ sư bảo mật của Microads sẽ xem cấu hình hiện tại, chỉ ra chỗ hở thật sự, và nói thẳng nếu bạn chưa cần chi thêm tiền.
