MainFooter

Công Ty

Tài Nguyên

Mạng xã hội

Main Navigation

Websites and Applications

Video Stream

Sản Phẩm

Bảng Giá

Login

Under Attack

## Hiệu suất theo địa lý

Một yếu tố quan trọng cần cân nhắc khi chọn CDN là vị trí của người dùng. Hãy chọn một CDN có hiệu suất tốt ở khu vực nơi có đa phần là người dùng của bạn. Khi xem xét lưu lượng truy cập toàn cầu, khả năng mở rộng của CDN là vô cùng quan trọng. 	
Ví dụ: nếu tăng lưu lượng truy cập từ Dubai hoặc Ấn Độ, bạn nên chọn một CDN có hiệu suất vượt trội tại 2 khu vực đó trong chiến lược Multi CDN của mình.

## Giám Sát Người Dùng Thực (Real User Monitoring | RUM)
Sử dụng Multi CDN mà không có RUM giống như một cơ thể không có linh hồn. RUM là tính năng giúp phân tích trạng thái mạng và xác định CDN nào có hiệu năng tốt nhất. Với tính năng RUM, bạn có thể chọn được CDN tốt nhất và loại bỏ các CDN có hiệu suất kém hơn.
Phương pháp truyền thống là sử dụng RUM và quản lý Multi CDN riêng biệt, thực hiện điều chỉnh thủ công bất cứ khi nào. Tuy nhiên, sẽ có giải pháp tích hợp cả hai tính năng trên với nhau, giúp bạn quản lý tất cả trên cùng một nền tảng, chẳng hạn như tính năng Cân bằng tải thông minh của VNIS

## Xu Hướng Và Lịch Sử Dữ Liệu Của CDN

Tổng hợp tốt các xu hướng và lịch sử dữ liệu về CDN sẽ cung cấp đầy đủ thông tin về hiệu suất của CDN đó, ví dụ như độ trễ và tính khả dụng của nó vào 1 ngày cụ thể. Từ những thông tin hữu ích này, có thể phân tích và xác định được CDN nào có đủ điều kiện để đưa vào chiến lược Multi CDN.

Tuy nhiên, các dạng thông tin này chỉ có thể thu thập được thông qua một số công cụ cụ thể và không được chia sẻ rộng rãi trên thị trường. Để có được chúng, cần phải kết nối trực tiếp với các nhà cung cấp CDN và yêu cầu những dữ liệu cần thiết.

## Chi Phí

Nếu biết cách triển khai và quản lý Multi CDN hiệu quả, doanh nghiệp có thể tối ưu hóa chi phí hơn so với việc chỉ sử dụng CDN đơn lẻ.

Trên thực tế, sử dụng một CDN có thể tốn kém hơn khi triển khai Multi CDN vì:
- Mức phí trung bình có thể tăng lên khi lưu lượng truy cập tăng đột biến 
- Một CDN không thể cung cấp hiệu suất tốt như nhau ở tất cả khu vực. Việc đặt tất cả lưu lượng truy cập toàn cầu vào một CDN có thể dẫn đến nguy cơ bị tính phí vượt quá hạn mức, nhất là đối với các doanh nghiệp có đa phần người dùng quốc tế.
- Việc không có CDN dự phòng có thể gây ra các thiệt hại đáng kể khác cho doanh nghiệp như giảm doanh số, mất khách hàng tiềm năng,... nếu CDN đang sử dụng gặp bất kỳ rủi ro nào.

## Phủ Sóng

Một số CDN cung cấp phạm vi phủ sóng toàn cầu trong khi một số lại có hiệu suất tốt hơn ở các khu vực cụ thể. Do đó, chìa khóa cho việc chọn CDN là số lượng PoPs (Point Of Presence), CDN nào có càng nhiều PoPs thì mang lại hiệu suất càng tốt. Ví dụ: Nếu Trung Quốc là một trong những khu vực có người dùng mục tiêu của bạn, sử dụng CDN ở Trung Quốc là sẽ là giải pháp tối ưu.


Bài viết sau đây sẽ mang đến thông tin tổng quan về các yếu tố quan trọng để lựa chọn CDN cho doanh nghiệp, tổ chức.

large_cac-yeu-to-lua-chon-cdn-phu-hop.png

medium_cac-yeu-to-lua-chon-cdn-phu-hop.png

small_cac-yeu-to-lua-chon-cdn-phu-hop.png

thumbnail_cac-yeu-to-lua-chon-cdn-phu-hop.png

cac-yeu-to-lua-chon-cdn-phu-hop.png

Các yếu tố để lựa chọn CDN cho chiến lược Multi CDN

## CDN

Giải pháp CDN đơn lẻ được khuyến nghị cho các doanh nghiệp muốn nhắm vào một vị trí địa lý cụ thể trong quá trình mở rộng quy mô phân phối nội dung website của họ trên toàn cầu

Với các website chủ yếu mang nội dung/ ứng dụng tĩnh thì giải pháp CDN đơn lẻ có thể phù hợp với hầu hết nhu cầu của thị trường; khi website có lượng truy cập trên mức trung bình thì phương tiện truyền phát trực tiếp, nền tảng truyền thông xã hội hoặc ứng dụng nền tảng web có thể gặp khó khăn đáng kể trong quá trình phân phối nội dung tới người dùng cuối.

## Multi CDN

Với Multi CDN, do nhiều CDN có sẵn đồng thời ở nhiều vị trí khác nhau nên có thể tối ưu tốc độ phân phối nội dung website cho người dùng trên toàn cầu. Multi CDN còn là giải pháp mạng phân phối nội dung dự phòng cho website, tránh tình trạng downtime và duy trì hoạt động website nếu có bất kỳ CDN cơ bản nào bị lỗi.

Chiến lược Multi CDN có thể mang lại hiệu suất, độ tin cậy và lợi thế cạnh tranh vượt trội. Với khả năng tăng tốc quy mô toàn cầu bao gồm Trung Quốc, WAF và chống DDoS có thể là giải pháp duy nhất hoặc một phần của chiến lược Multi CDN.

## Multi CDN so với CDN

Mặc dù có thể chỉ cần một CDN cho một địa phương nhất định, doanh nghiệp có thể triển khai thêm nhiều CDN khác có trung tâm dữ liệu ở xa khu vực cung cấp của nhà cung cấp chính. Lúc này, Multi CDN hữu ích hơn vì:
- Hiệu suất của các nhà cung cấp CDN khác nhau ở các khu vực địa lý khác nhau
- Không phải tất cả các nhà cung cấp CDN đều đáng tin cậy như nhau 
- Không phải tất cả các nhà cung cấp CDN đều có tính năng và chiến lược giống nhau
- Không cần tự thực hiện chuyển đổi nhà cung cấp CDN vì quá trình này đã được tự động hóa
- Multi CDN là xu hướng trong bối cảnh ngành thương mại điện tử phát triển mạnh như hiện nay

Mặc dù các nhà cung cấp CDN đều tuyên bố đảm bảo thời gian uptime 100% nhưng chúng ta đều biết ngay cả nhà cung cấp CDN tốt nhất cũng có thể gặp phải tình trạng ngừng hoạt động. Do đó, doanh nghiệp nên chọn Multi CDN để giảm rủi ro nếu một nhà cung cấp CDN bị ngừng hoạt động, như dân gian có câu: Tránh bỏ tất cả trứng vào một giỏ.

CDN và Multi CDN khác nhau như thế nào? Khi nào nên sử dụng Multi CDN thay vì CDN? Hãy cùng tìm hiểu tổng quan qua bài viết dưới đây.

large_cdn_vs_multi_cdn.png

medium_cdn_vs_multi_cdn.png

small_cdn_vs_multi_cdn.png

thumbnail_cdn_vs_multi_cdn.png

cdn_vs_multi_cdn.png

CDN và Multi CDN

Các doanh nghiệp thường tập trung đầu tư vào giải pháp synthetic monitoring (giám sát tổng hợp) trong cơ sở hạ tầng và đám mây lưu trữ của họ, nhưng các nghiên cứu chỉ ra rằng phương pháp này chỉ chiếm 26% độ trễ trong quá trình truy cập ứng dụng web của khách hàng. 

Quá trình truy cập của khách hàng bắt đầu bằng việc tải ứng dụng web từ thiết bị di động hoặc máy tính của họ và đi qua nhà cung cấp dịch vụ mạng (Internet Service Provider | ISP), sau đó đến nhà cung cấp dịch vụ đám mây (Cloud Service Provider | CSP) hoặc Mạng phân phối nội dung (Content Delivery Network | CDN) nếu có. 

Quá trình này chiếm 74% độ trễ và thường không được theo dõi. Do đó, doanh nghiệp trực tuyến không kiểm soát được toàn bộ quá trình này, ảnh hưởng đến trải nghiệm của khách hàng. 

## RUM giải quyết vấn đề này như thế nào?
Với RUM (Real User Monitoring | Giám sát người dùng thực), các doanh nghiệp có thể cải thiện vấn đề trên như sau:
- Đo lường người dùng thực giúp cung cấp dữ liệu trực quan cho doanh nghiệp toàn diện.
- Doanh nghiệp có thể sử dụng dữ liệu thực từ RUM để thực hiện cam kết với các mục tiêu kinh doanh.
- Loại bỏ các điểm mù trong quá trình giám sát website và ngăn chặn các rủi ro, hạn chế thiệt hại cho doanh nghiệp.
- Theo dõi trải nghiệm người dùng cuối như thời gian để tải, thời gian tải thay vì chỉ là thời gian hoạt động của ứng dụng web. 
- Chủ động trong việc quản lý hành vi khách hàng, giúp phát hiện và khắc phục sự cố kịp thời, và góp phần đưa ra quyết định đúng đăn về hiệu suất ứng dụng web.


Doanh nghiệp thường đầu tư vào synthetic monitoring (giám sát tổng hợp), nhưng nghiên cứu cho thấy chỉ 26% độ trễ là trong truy cập là do phương pháp này.

large_tai-sao-rum-quan-trong.png

medium_tai-sao-rum-quan-trong.png

small_tai-sao-rum-quan-trong.png

thumbnail_tai-sao-rum-quan-trong.png

tai-sao-rum-quan-trong.png

Tại sao RUM lại quan trọng (đối với các ứng dụng web hiện đại)?

## Máy chủ biên CDN là gì?

Máy chủ biên là loại thiết bị nằm ở vị trí biên của hai mạng riêng biệt, có chức năng kết nối các mạng với nhau. Ngoài ra, còn có các thiết bị biên phổ biến khác như bộ định tuyến (router) và bộ chuyển mạch (switch). Các thiết bị biên này được đặt bên trong các điểm trao đổi internet (IXP), cho phép các mạng kết nối và chia sẻ tài nguyên.
Tương tự như vậy, máy chủ biên CDN cũng được đặt tại các vùng chuyển tiếp giữa các mạng riêng biệt. Tuy nhiên máy chủ biên CDN vừa đóng vai trò như một CDN vừa như một thiết bị biên. Cũng giống như CDN, mục tiêu chính của máy chủ biên CDN là giúp lưu trữ nội dung càng gần máy khách yêu cầu càng tốt, đáp ứng nhu cầu truy cập tốc độ cao.
## Vai trò của máy chủ biên CDN

Trong bất kỳ mô hình mạng nào, các thiết bị sẽ kết nối với nhau bằng một hoặc nhiều kiến trúc mạng khác nhau. Nếu một mạng muốn kết nối với một mạng khác hoặc mạng Internet lớn hơn, thì mạng đó phải có một số loại cầu nối trung gian, các thiết bị phần cứng tạo nên cầu nối này được gọi là thiết bị biên. Tất cả các thiết bị này đều tồn tại trong một mạng LAN (Local Area Network - Mạng cục bộ).
Để kết nối hai mạng, một kết nối phải được phát triển giữa hai mạng và kết nối đó được thực hiện bởi máy chủ biên _(Hình minh họa 1.1)_


Máy chủ biên là loại thiết bị nằm ở vị trí biên của hai mạng riêng biệt, có chức năng kết nối các mạng với nhau. 

Nếu một máy tính bên trong mạng X cần kết nối với một máy tính bên trong Mạng Y, kết nối phải đi từ mạng X, đi qua biên mạng rồi mới vào mạng Y, thậm chí thực tế sẽ phải thực hiện nhiều bước trung gian hơn khi một kết nối đi qua Internet. Để trực quan hơn, hãy hình dung rằng mỗi mạng là một vòng tròn và vị trí tiếp xúc của các vòng tròn là biên mạng. Quá trình kết nối hai mạng trên internet sẽ đi qua nhiều biên mạng, khoảng cách kết nối 2 mạng càng xa thì số lượng biên mạng phải đi qua càng lớn _(Hình minh họa 1.2)_. 

Lúc này, nhà cung cấp CDN sẽ đặt máy chủ biên CDN ở một số vị trí quan trọng, đặc biệt ở các điểm nối giữa các mạng khác nhau (biên mạng), từ đó các yêu cầu truy cập từ người dùng cuối sẽ đến máy chủ biên CDN trước khi đến máy chủ gốc, qua đó cho phép phản hồi nhanh chóng và hiệu quả giữa các mạng, tăng trải nghiệm người dùng cuối. Nếu không có máy chủ biên CDN, quá trình truyền tải lưu lượng truy cập giữa các mạng với nhau để đến người dùng cuối sẽ phức tạp và mất nhiều thời gian hơn.


## Sự khác biệt giữa máy chủ biên CDN và máy chủ gốc là gì?
 
Máy chủ gốc là máy chủ nhận và xử lý tất cả lưu lượng truy cập Internet. Máy chủ gốc sẽ đảm nhận mọi yêu cầu truy cập từ máy khách, việc sử dụng máy chủ gốc không có CDN sẽ làm tăng độ trễ và tăng thời gian truyền tải nội dung đến người dùng cuối bởi khoảng cách vật lý giữa máy chủ gốc và máy khách đưa ra yêu cầu. 

Mặt khác, máy chủ biên CDN sẽ đảm nhận vai trò lưu trữ nội dung ( bộ nhớ đệm) ở các vị trí quan trọng để giảm tải yêu cầu đến máy chủ gốc. Bằng cách lưu trữ các nội dung tĩnh như hình ảnh, tệp HTML và JavaScript,... càng gần máy khách yêu cầu càng tốt, bộ nhớ đệm của máy chủ biên CDN giúp giảm thời gian và độ trễ khi thực hiện tải tài nguyên Internet. 


large_maychubienlagi.png

medium_maychubienlagi.png

small_maychubienlagi.png

thumbnail_maychubienlagi.png

maychubienlagi.png

Máy chủ biên là gì?

Việc chuyển sang nền tảng Multi CDN có vẻ phức tạp. Nhiều doanh nghiệp thường do dự khi bắt đầu với một nhà cung cấp mới, đặc biệt khi nhà cung cấp CDN hiện tại của họ đang hoạt động tốt. 

Tuy nhiên, việc triển khai Multi CDN sẽ mang lại các lợi ích tối ưu hơn về hiệu suất và trải nghiệm trong kinh doanh trực tuyến của doanh nghiệp. Multi CDN sẽ đảm bảo người dùng từ bất kỳ đâu trên thế giới đều truy cập website của bạn, giúp bảo vệ website khỏi các rủi ro downtime hoặc thậm chí hỗ trợ giảm thiểu các cuộc tấn công mạng.

Điều quan trọng trước khi triển khai Multi CDN là việc xem xét các yếu tố quan trọng để tối đa hóa lợi ích khi sử dụng. Sau đây là một số câu hỏi hữu ích mà doanh nghiệp có thể tự đặt ra trước khi triển khai Multi CDN:
1. CDN mà tôi sử dụng có thể duy trì hiệu suất nhất quán ở mọi khu vực và vào giờ cao điểm không? 
2. Tôi có quyền tối ưu hoá chi phí phân phối CDN bằng cách tận dụng ưu thế về địa lý và giá của các CDN khác nhau hay không
3. Doanh nghiệp có tùy chọn dự phòng nào nếu nhà cung cấp CDN hiện tại quá tải hoặc ngừng hoạt động không?
4. Rủi ro hoặc tác động của sự cố ngừng hoạt động đối với doanh nghiệp lớn đến mức nào?
5. Doanh nghiệp có biết được hiệu suất hay trải nghiệm người dùng thực không nếu CDN báo rằng có một nút biên trong khu vực đó ?

## Multi CDN có phù hợp với doanh nghiệp không?
 
Việc triển khai tốt chiến lược Multi CDN có thể mang lại cho doanh nghiệp nhiều lợi ích: hiệu suất website cao, tăng dung lượng chịu tải và bảo mật. Tuy nhiên để đánh giá chiến lược Multi CDN có thật sự phù hợp với mình hay không, doanh nghiệp cần quan tâm tới các yếu tố sau:

_**Loại cấu hình khi sử dụng CDN**_
 
Trong nhiều năm, các doanh nghiệp đã sử dụng Multi CDN với cấu hình active-inactive, nghĩa là họ sẽ sử dụng một CDN thường xuyên và các CDN còn lại để khắc phục sự cố. Tuy nhiên cấu hình này dễ xảy ra sự cố downtime khi chuyển từ CDN này sang CDN khác, dẫn đến hiệu suất không nhất quán trong quá trình chuyển đổi.

Sẽ khả quan hơn cho doanh nghiệp khi sử dụng cấu hình active - active CDN do các CDN đều nhận được lưu lượng truy cập, người dùng vẫn được trải nghiệm liền mạch, không bị gián đoạn nếu một CDN gặp sự cố.

_**Quản lý lưu lượng bằng thuật toán phù hợp**_ 
 
Để đánh giá Multi CDN, doanh nghiệp cần có các thuật toán phù hợp để định tuyến lưu lượng truy cập đến từng máy chủ. Trong số 3 thuật toán được sử dụng phổ biến: round-robin, geo-based (dựa trên địa lý) và performance-based (dựa trên hiệu suất), tùy vào tính chất hoạt động kinh doanh mà doanh nghiệp sẽ xác định đâu là thuật toán tốt nhất để quản lý lưu lượng truy cập. Ví dụ: Nếu doanh nghiệp hoạt động ở nhiều khu vực trên thế giới, phương pháp tiếp cận geo-based có thể phù hợp nhất. 

Doanh nghiệp có thể điều hướng nhiều lưu lượng truy cập hơn đến các khu vực có hạ tầng CDN lớn hơn. Với các doanh nghiệp tập trung hoàn toàn vào việc tối ưu hóa hiệu suất, cách tiếp cận performance-based sẽ hiệu quả hơn. Nếu một doanh nghiệp cung cấp các dạng dịch vụ như bản tin dữ liệu truyền thông xã hội theo thời gian thực hoặc video streaming, Multi CDN có thể giúp cải thiện đáng kể về hiệu suất.

_**Đo lường hiệu suất thường xuyên**_ 
 
Cách duy nhất để chiến lược Multi CDN thực sự hiệu quả là giám sát hiệu suất thường xuyên. Khi đánh giá Multi CDN, nên kiểm tra để đảm bảo rằng cả máy chủ gốc và trải nghiệm người dùng cuối đều đang được theo dõi thường xuyên. Việc đo lường nên được thực hiện từ nhiều trung tâm dữ liệu và các ISP (Internet Service Provider) để phát hiện kịp thời nếu hiệu suất suy giảm.
 
Ngoài ra, trải nghiệm của người dùng cuối cũng cần có sự giám sát chặt chẽ để đảm bảo rằng các sự cố khó phát hiện được xử lý kịp thời trước khi chúng ảnh hưởng đến lưu lượng truy cập. Chẳng hạn như sự cố ISP gặp vấn đề về hiệu suất ảnh hưởng đến CDN cụ thể trong khu vực đó. 


Chuyển sang Multi CDN có vẻ phức tạp và doanh nghiệp thường do dự khi chọn một nhà cung cấp mới, đặc biệt khi nhà cung cấp CDN hiện tại của họ đang hoạt động tốt. 

large_Thumb LC (2).png

medium_Thumb LC (2).png

small_Thumb LC (2).png

thumbnail_Thumb LC (2).png

Thumb LC (2).png

Những điều cần lưu ý trước khi triển khai Multi CDN

## Giảm thiểu tấn công DDoS là gì?

Giảm thiểu tấn công DDoS (Distributed Denial-Of-Service) là quá trình bảo vệ mạng hoặc máy chủ bị nhắm mục tiêu khỏi các cuộc tấn công DDoS nguy hiểm. Việc giảm thiểu các mối đe dọa tấn công DDoS thường được triển khai bằng việc sử dụng các thiết bị hoặc sử dụng giải pháp bảo mật dựa trên Cloud. 

## Quy trình giảm thiểu tấn công DDoS

Giảm thiểu tấn công DDoS (Distributed Denial-Of-Service) là quá trình bảo vệ mạng hoặc máy chủ bị nhắm mục tiêu khỏi các cuộc tấn công DDoS nguy hiểm.

_Quy trình giảm thiểu tấn công DDoS thường có 4 giai đoạn, bao gồm:_

Giai đoạn 1: Phát hiện

Để phát hiện các cuộc tấn công DDoS, website cần có khả năng phân biệt được lưu lượng truy cập trái phép và lưu lượng truy cập bình thường. Việc phát hiện được sự bất thường trong lưu lượng truy cập có thể báo hiệu một cuộc tấn công DDoS sắp diễn ra. Tính hiệu quả của giai đoạn này được đo lường bởi khả năng nhận biết sự bất thường nhanh hay chậm và đúng hay sai.

Giai đoạn 2: Phản hồi

Phản hồi là giai đoạn mạng hoặc máy chủ chống DDoS loại bỏ các lưu lượng độc hại hoặc chuyển các lưu lượng đó sang tuyến khác. Để thực hiện quá trình đó, cần sử dụng quy tắc WAF để chống lại các tấn công ở tầng ứng dụng (Layer 7) và các bộ lọc khác như khuếch đại bộ nhớ đệm & NTP (Network Time Protocol) để xử lý mối đe dọa ở các tầng thấp hơn tầng ứng dụng (Layer 3 và 4). 

Giai đoạn 3: Định tuyến

Bằng tính năng định tuyến lưu lượng thông minh, giải pháp giảm thiểu DDoS sẽ phân loại lưu lượng thành các phần khác nhau để dễ dàng quản lý và ngăn chặn tấn công DDoS hiệu quả.

Giai đoạn 4: Thích ứng

Khi đã có được dữ liệu từ các cuộc tấn công trước, hệ thống sẽ thu thập và phân tích để cải thiện và nâng cao khả năng bảo mật của mạng đó trong tương lai. Các kỹ thuật phân tích bảo mật nâng cao có thể cung cấp khả năng hiển thị chi tiết về lưu lượng tấn công và hiểu được bản chất của các cuộc tấn công trên.  

## Các yếu tố quan trọng khi lựa chọn dịch vụ giảm thiểu DDoS

Chọn nhà cung cấp dịch vụ giảm thiểu DDoS là giải pháp cần thiết để đối phó với các cuộc tấn công DDoS có quy mô lớn. Sau đây là các yếu tố quan trọng để đánh giá và lựa chọn nhà cung cấp dịch vụ giảm thiểu DDoS mà các doanh nghiệp nên cân nhắc:

_**Khả năng mở rộng**_

Giải pháp được đánh giá là hiệu quả khi cung cấp khả năng mở rộng có thể đáp ứng đồng thời nhu cầu của doanh nghiệp và quy mô ngày càng tăng của các cuộc tấn công DDoS. Do đó, giải pháp có khả năng mở rộng là cần thiết để xử lý hiệu quả các mối đe dọa trên.

_**Khả năng thích ứng:**_

Là giải pháp cho phép tạo ra các mô hình và chính sách giúp thuộc tính website thích ứng với các mối đe dọa mới theo thời gian thực. Khả năng triển khai các quy tắc trang và áp dụng những thay đổi cho toàn bộ website là tính năng quan trọng để giữ cho website luôn trực tuyến trong mọi cuộc tấn công. 

_**Độ tin cậy**_

Tính năng bảo vệ website khỏi DDoS chỉ cần khi đến thời điểm, nhưng khi tấn công xảy ra thì buộc giải pháp đó phải hoạt động hiệu quả. Do đó, độ tin cậy là quan trọng vì nó giúp đảm bảo dịch vụ bảo vệ có tỷ lệ thời gian hoạt động cao và các chuyên gia làm việc 24h để giữ mạng luôn trực tuyến và hỗ trợ kịp thời các mối đe dọa mới. Chính sách dự phòng, chuyển đổi dự phòng và trung tâm dữ liệu mở rộng phải là nền tảng của chiến lược có độ tin cậy cao. 		
		
_**Quy mô cơ sở hạ tầng mạng**_

Các cuộc tấn công DDoS xảy ra với các giao thức và vecto tấn công khác nhau, thay đổi theo thời gian. Do đó, quy mô mạng lớn với khả năng thu thập dữ liệu rộng rãi cho phép nhà cung cấp dịch vụ giảm thiểu DDoS phân tích và ứng phó với các cuộc tấn công một cách nhanh chóng và hiệu quả, ngăn chặn kịp thời các mối đe dọa nguy hiểm với website doanh nghiệp. 

large_giam-thieu-ddos.png

medium_giam-thieu-ddos.png

small_giam-thieu-ddos.png

thumbnail_giam-thieu-ddos.png

giam-thieu-ddos.png

Giảm thiểu tấn công DDoS

## Chứng chỉ SSL là gì?

SSL là từ viết tắt của Secure Sockets Layer, là giao thức bảo mật tạo ra liên kết được mã hóa giữa máy chủ web và trình duyệt web. SSL đảm bảo tất cả dữ liệu trao đổi giữa máy chủ web và trình duyệt web được an toàn và bảo mật.

Chứng chỉ SSL là chứng chỉ kỹ thuật số nhằm xác thực danh tính của website và cho phép mã hóa các liên kết, được cấp bởi cơ quan cấp chứng chỉ (CA| Certificate authority) - một tổ chức bên thứ ba uy tín tạo và cấp chứng chỉ SSL cho chủ sở hữu website. Các tổ chức doanh nghiệp sử dụng chứng chỉ SSL đảm bảo các giao dịch trực tuyến và thông tin khách hàng trên website của họ được giữ an toàn và riêng tư. 

Chứng chỉ SSL đóng vai trò quan trọng trong việc tạo sự tin cậy giữa máy chủ web và trình duyệt web với 2 tính năng chính:
Xác thực danh tính của máy chủ web và website
Mã hóa dữ liệu giữa máy chủ web và trình duyệt web

## Chứng chỉ SSL hoạt động như thế nào?

Chứng chỉ SSL sử dụng các thuật toán mã hóa để xáo trộn dữ liệu trong quá trình truyền tải, ngăn không cho hacker đọc được khi dữ liệu được gửi qua kết nối. Dữ liệu có thể là các thông tin nhạy cảm như tên, địa chỉ, số thẻ tín dụng hoặc các chi tiết tài chính khác.

_Quá trình hoạt động của chứng chỉ SSL theo trình tự như sau:_
1. Trình duyệt hoặc máy chủ cố gắng kết nối với một website được bảo mật bằng SSL và yêu cầu máy chủ web xác thực chính nó
2. Máy chủ web gửi lại cho trình duyệt hoặc máy chủ một bản sao chứng chỉ SSL
3. Trình duyệt hoặc máy chủ sẽ kiểm tra xem chứng chỉ SSL đó có đáng tin cậy hay không? Nếu có nó sẽ gửi một tín hiệu đến máy chủ web
4. Máy chủ web nhận tín hiệu và gửi lại xác nhận được ký điện tử để bắt đầu phiên mã hóa SSL
5. Cuối cùng, dữ liệu đã mã hóa được chia sẻ qua lại giữa trình duyệt và máy chủ web.

Quá trình này đôi khi được nhận định như là “SSL handshake”. Nghe có vẻ mất nhiều thời gian tuy nhiên quá trình trên chỉ mất vài phần nghìn giây.

Để xem chi tiết chứng chỉ SSL, bạn có thể nhấp vào biểu tượng ổ khóa nằm trên thanh trình duyệt. Các thông tin và dữ liệu trong chứng chỉ SSL bao gồm:
- Tên miền được chứng nhận
- Thông tin người, tổ chức hoặc thiết bị sở hữu miền
- Các tên miền phụ được liên kết
- Cơ quan cấp chứng chỉ 
- Chữ ký số của cơ quan cấp chứng chỉ 
- Ngày cấp chứng chỉ
- Ngày hết hạn chứng chỉ
- Khóa công khai (khóa riêng không được chia sẻ)

## Các loại chứng chỉ SSL

Có nhiều loại chứng chỉ SSL với các mức xác thực khác nhau. Hiện nay có 6 loại chính:

_1. Chứng chỉ xác thực mở rộng (EV | Extended Validation SSL):_ Đây là chứng chỉ có mức bảo mật và tin cậy cao nhất, sử dụng cho các website có cấu hình cao. Chứng chỉ EV SSL khi được cài đặt sẽ hiển thị ổ khóa, HTTPS, tên doanh nghiệp và quốc gia trên thanh địa chỉ trình duyệt giúp phân biệt website uy tín với website độc hại. Để thiết lập chứng chỉ, chủ sở hữu website phải xác thực danh tính theo tiêu chuẩn hóa để được độc quyền sử dụng hợp pháp tên miền đó.

_2. Chứng chỉ xác thực tổ chức (OV | Organization Validated SSL):_ Là chứng chỉ có mức bảo mật và tin cậy cao tương tự như chứng chỉ EV SSL dành cho tổ chức, doanh nghiệp. Để có được chứng chỉ này, chủ sở hữu website cần hoàn thành một quá trình xác thực quan trọng. Giá chứng chỉ OV SSL thường đắt hơn, đứng thứ hai sau EV SSL. Các website thương mại hoặc công cộng nên cài đặt chứng chỉ OV SSL để đảm bảo mọi thông tin khách hàng đều được bảo mật. 

_3. Chứng chỉ xác thực tên miền (DV | Domain Validated SSL):_ Là loại chứng chỉ SSL có mức độ bảo mật và mã hóa thấp hơn các chứng chỉ còn lại. Chứng chỉ xác thực tên miền thường được dùng cho các website không liên quan đến việc thu thập dữ liệu hoặc thanh toán trực tuyến, ví dụ như trang blog. Ưu điểm của chứng chỉ là thời gian đăng ký nhanh, quá trình xác thực danh tính chỉ yêu trả lời qua email hoặc điện thoại để chứng minh quyền sở hữu miền. Với chứng chỉ xác thực tên miền, ổ khóa trên thanh địa chỉ trình duyệt chỉ hiển thị HTTPS và không có tên doanh nghiệp.

_4. Chứng chỉ miền ký tự đại diện SSL (Wildcard SSL):_ Chứng chỉ miền ký tự đại diện SSL cho phép bảo mật không giới hạn miền chính và miền phụ (sub-domain) trên cùng một chứng chỉ, phù hợp với khách hàng nhu cầu sử dụng nhiều miền phụ. Chứng chỉ SSL ký tự đại diện có dấu hoa thị * như một phần của tên chung, đại diện cho bất kỳ miền con hợp lệ nào có cùng miền chính. Ví dụ: *.example.com bao gồm example.com, www.example.com, mail.example.com. 

_5. Chứng chỉ SSL Multi-Domain (Multi-Domain Certificate | MDC):_ Là chứng chỉ hỗ trợ cho tất cả các loại tên miền và miền phụ khác nhau, bao gồm sự kết hợp độc lập của các miền chính và miền phụ ngoại trừ miền cục bộ hay nội bộ. Ví dụ:
- www.example.com
- example.org
- mail.this-domain.net
- example.anything.com.au
- checkout.example.com

_6. Chứng chỉ SSL UCC (Unified Communications Certificates):_ Chứng chỉ SSL UCC cũng được xem như chứng chỉ SSL Multi-Domain, không giới hạn cho một miền duy nhất và có thể bao gồm nhiều miền khác nhau với số lượng nhất định, miễn đó là các website liên quan với nhau. Ban đầu UCC được thiết kế để bảo mật các phần mềm Communication của Microsoft như Microsoft Exchange hay Live Communications. Tuy nhiên, hiện nay bất kỳ chủ sở hữu website nào cũng có thể sử dụng để bảo mật nhiều tên miền trên cùng một chứng chỉ. Chứng chỉ UCC được xác thực về mặt tổ chức và có hiển thị ổ khóa trên trình duyệt.

SSL là từ viết tắt của Secure Sockets Layer, là giao thức bảo mật tạo ra liên kết được mã hóa giữa máy chủ web và trình duyệt web.


large_Thumb LC (1).png

medium_Thumb LC (1).png

small_Thumb LC (1).png

thumbnail_Thumb LC (1).png

Thumb LC (1).png

Chứng chỉ SSL

## Bảo mật ứng dụng web là gì?

Bảo mật ứng dụng web là quá trình, công nghệ hoặc giải pháp ngăn chặn các mối đe dọa dựa trên các lỗ hổng bảo mật để bảo vệ website, ứng dụng web và dịch vụ web như API. Bảo mật ứng dụng web là yếu tố quan trọng đối với doanh nghiệp hoạt động dựa trên web. Vì tính chất trao đổi thường xuyên các thông tin, dữ liệu nhạy cảm của doanh nghiệp và khách hàng, trở thành mục tiêu tấn công hàng đầu của hacker hiện nay.

## Các lỗ hổng bảo mật ứng dụng web phổ biến là gì?

Theo ước tính, hơn 3/4 tội phạm mạng nhắm mục tiêu tấn công vào các ứng dụng web và lỗ hổng bảo mật để đánh cắp dữ liệu và làm gián đoạn hoạt động kinh doanh của doanh nghiệp. 

Các lỗ hổng cho phép tạo ra các vector tấn công khác nhau, phổ biến bao gồm:

_Cross site scripting (XSS):_ là lỗ hổng phổ biến trong ứng dụng web. Để khai thác một lỗ hổng XSS, hacker sẽ chèn mã độc thông qua các đoạn script để thực thi chúng ở phía client. Thông thường, các cuộc tấn công XSS được sử dụng để vượt qua các hệ thống kiểm soát truy cập và mạo danh người dùng.

_SQL injection (SQi):_ Là phương pháp hacker khai thác lỗ hổng trong cơ sở dữ liệu để thực hiện các truy vấn tìm kiếm. Hacker sử dụng SQi để chiếm quyền truy cập, thao túng và phá hủy dữ liệu trên web server của doanh nghiệp. 

_Denial-of-service (DoS):_ Qua nhiều vecto tấn công khác nhau, hacker làm quá tải máy chủ mục tiêu hoặc cơ sở hạ tầng xung quanh với lưu lượng tấn công khác nhau. Khi máy chủ không còn khả năng xử lý yêu cầu truy cập, bắt đầu hoạt động chậm và cuối cùng là từ chối dịch vụ đối với các yêu cầu hợp pháp từ người dùng.

_Tấn công giả mạo (Cross-site request forgery / CSRF):_  Là phương thức tấn công lạm dụng quyền xác thực của người dùng với một website mà họ đã đăng nhập. Bằng cách tận dụng đặc quyền tài khoản, hacker gửi yêu cầu giả dạng người dùng để đánh cắp dữ liệu, thay đổi mật khẩu hoặc thực hiện các giao dịch trái phép khác. 

_Vi phạm dữ liệu (Data breach):_ Là một thuật ngữ chung đề cập đến việc tiết lộ thông tin nhạy cảm hoặc bí mật và có thể xảy ra thông qua các hành động ác ý hoặc do nhầm lẫn. Mức độ ảnh hưởng của vi phạm dữ liệu khá rộng, có thể làm ảnh hưởng đến những ghi giá trị cho đến hàng triệu tài khoản người dùng bị lộ.

## Giải pháp bảo mật ứng dụng web hiệu quả

Các bước cơ bản để bảo vệ ứng dụng web bao gồm sử dụng mã hóa cập nhật mới nhất, yêu cầu xác thực thích hợp, liên tục vá lỗ hổng đã phát hiện. Tuy nhiên trong thực tế, hacker tinh vi có thể tìm thấy lỗ hổng ngay cả trong môi trường bảo mật cao. Do đó, triển khai chiến lược bảo mật nâng cao là điều cần thiết. 

Bảo mật ứng dụng web có thể toàn diện hơn bằng các giải pháp chống tấn công DDoS, tấn công vào tầng ứng dụng (layer 7) và DNS, bao gồm:

_WAF_ - Chống tấn công vào tầng ứng dụng: WAF giúp bảo vệ ứng dụng web khỏi các lưu lượng HTTP độc hại bằng một lớp bảo vệ giữa máy chủ mục tiêu và hacker. WAF có thể chống lại các tấn công như tấn công XSS và SQL injection. 

_Giảm thiểu DDoS:_ Giảm thiểu DDoS có thể thông qua nhiều chiến lược khác nhau tùy thuộc vào từng nhà cung cấp dịch vụ chống DDoS và quy mô của các cuộc tấn công DDoS mà doanh nghiệp nên cân nhắc kỹ lưỡng trước khi triển khai. Tham khảo dịch vụ giảm thiểu DDoS của VNIS [tại đây.](https://www.vnis.vn/vi-VN/features/origin-ddos-protection)

_Bảo mật DNS - DNSSEC:_ Bảo mật DNS bao gồm áp dụng giao thức DNSSEC - Phần mở rộng bảo mật tên miền. Đây là một tính năng DNS nâng cao khi thêm một lớp bảo mật phụ cho miền bằng cách đính kèm bản ghi chữ ký số (DS) vào thông tin DNS, giúp tăng cường mức bảo mật cao hơn



Bảo mật ứng dụng web là quá trình, giải pháp giúp ngăn chặn các mối đe dọa dựa trên các lỗ hổng bảo mật để bảo vệ website, ứng dụng web và dịch vụ web như API.

large_bao-mat-ung-dung-web.png

medium_bao-mat-ung-dung-web.png

small_bao-mat-ung-dung-web.png

thumbnail_bao-mat-ung-dung-web.png

bao-mat-ung-dung-web.png

Bảo mật ứng dụng web

**Dưới sự phát triển mạnh mẽ của công nghệ, lượng truy cập website hay ứng dụng thông qua Internet ngày càng tăng cao, thúc đẩy nhu cầu về hiệu suất và tối ưu hóa chi phí trong phân phối nội dung. Từ đây, khái niệm về Mạng phân phối ứng dụng (Application Delivery Network | ADN) ra đời để đáp ứng tối đa các nhu cầu trên.**

## Mạng phân phối ứng dụng (Application Delivery Network | ADN) là gì?

Mạng phân phối ứng dụng là một bộ các công nghệ được triển khai đồng thời qua Internet nhằm tối đa hóa hiệu suất ứng dụng như nâng cao khả năng hiển thị, tính bảo mật và tốc độ truyền tải từ máy chủ ứng dụng đến người dùng cuối. Khác với CDN, Mạng phân phối ứng dụng chủ yếu tập trung cho phân phối nội dung động.

Mạng phân phối ứng dụng là sự kết hợp của 2 công nghệ chính:

_Bộ điều khiển tối ưu hóa mạng WAN (WAN Optimization Controller | WOC):_  WOC sử dụng nhiều kỹ thuật bao gồm nén, lưu vào bộ nhớ đệm, loại bỏ trùng lặp, giả mạo giao thức và tối ưu hóa độ trễ giúp cải thiện hiệu suất ứng dụng.

_Bộ điều khiển phân phối ứng dụng (Application Delivery Controller | ADC):_ ADC bao gồm một bộ cân bằng tải phân phối lưu lượng truy cập web trên nhiều máy chủ. ADC cũng có chức năng xử lý bộ nhớ đệm, nén và giảm tải mã hóa lớp cổng bảo mật (SSL).
ADC và WOC kết hợp hoạt động cùng nhau trong mạng phân phối ứng dụng để tối đa hóa tốc độ, tính khả dụng và khả năng mở rộng cao hơn cho ứng dụng.

## Lợi ích của ADN

Như đã đề cập, mạng phân phối ứng dụng mang lại những lợi ích về tốc độ, tính bảo mật và khả năng mở rộng, cụ thể như sau:
- Di chuyển dữ liệu qua mạng với tốc độ cao hơn bằng các công nghệ nén.
- Tăng cường tính bảo mật với tính năng lọc IP, ràng buộc trễ, tường lửa ứng dụng web và mã hóa SSL.
- Quản lý lưu lượng truy cập hiệu quả hơn với công nghệ cân bằng tải, tự động kiểm tra tình trạng và định tuyến lại lưu lượng khi cần thiết.

## Sự khác biệt giữa ADN và CDN

ADN được tạo ra do nhu cầu về giải pháp phân phối nội dung mạnh mẽ trên diện rộng. Số lượng các Ứng dụng dựa trên web (Web-based application) ngày càng tăng buộc CDN truyền thống phải có sự cải tiến để phân phối nội dung động và ADN ra đời để đáp ứng nhu cầu đó.

Sự khác biệt chính giữa hai mạng phân phối này nằm ở việc ADN thông minh hơn trong việc hiểu và tối ưu hoá các ứng dụng, thường gọi là nhận biết ứng dụng. 


Mạng phân phối ứng dụng (Application Delivery Network | ADN) đã ra đời để đáp ứng tối đa các nhu cầu về lượng truy cập website và ứng dụng ngày càng tăng cao.

## Chọn ADN hay CDN?

Mặc dù ADN là công nghệ phát triển dựa trên CDN, nhưng do thuật ngữ ADN chưa được sử dụng rộng rãi và tính năng chung có vẻ tương tự như nhau nên hầu hết các nhà cung cấp AND đều gọi chung thành CDN. Trên thực tế, đa phần các CDN trên thị trường hiện nay đều là ADN.


large_Mạng phân phối ứng dụng.png

medium_Mạng phân phối ứng dụng.png

small_Mạng phân phối ứng dụng.png

thumbnail_Mạng phân phối ứng dụng.png

Mạng phân phối ứng dụng.png

Mạng phân phối ứng dụng là gì?

SNI, viết tắt của Server Name Indication, là phần mở rộng của giao thức TLS (giao thức phát triển dựa trên tiêu chuẩn SSL) và được sử dụng phổ biến trong HTTPS. SNI được đưa vào quy trình bắt tay TLS/ SSL (Handshake TLS/ SSL) để đảm bảo rằng các thiết bị khách có thể nhìn thấy chứng chỉ SSL chính xác cho website đang truy cập. 

Tiện ích mở rộng SNI cho phép chỉ định tên máy chủ hoặc tên miền của website trong suốt quá trình bắt tay TLS/ SSL, thay vì phải đợi kết nối HTTP mở ra sau quá trình đó. Hay nói theo cách dễ hiểu, SNI giống như việc gửi hàng đến một căn hộ trong toà chung cư, ngoài địa chỉ của chung cư, cần phải có địa chỉ cụ thể của căn hộ đó để đơn hàng đến được đúng người. 

SNI giúp ngăn chặn lỗi phổ biến “common name mismatch error” (lỗi tên chứng chỉ SSL không khớp với tên miền website). Đây là lỗi dẫn đến thông báo “your connection is not private" trên trình duyệt của người dùng

## Hostname là gì? Virtual hostname là gì?

Hostname hay còn gọi là Tên máy chủ, là nhãn của một thiết bị được kết nối với mạng ví dụ như tên miền hay tên website. Cả hai có đặc điểm chung là đều tách biệt với địa chỉ IP được liên kết với tên miền.  Cả hai có đặc điểm chung là đều tách biệt với địa chỉ IP được liên kết với tên miền.

Tên máy chủ ảo (Virtual hostname) là tên máy chủ không có địa chỉ IP riêng và được lưu trữ trên máy chủ cùng với các tên máy chủ khác. Đây là thiết bị ảo vì nó không có máy chủ vật lý chuyên dụng chỉ tồn tại ở dạng kỹ thuật số.

## Công dụng phần mở rộng TLS của SNI

Thông thường, máy chủ web bao gồm nhiều hostname hoặc tên miền (là tên các website mà người dùng có thể đọc được). Mỗi hostname sẽ có chứng chỉ SSL riêng nếu website sử dụng giao thức HTTPS.

Tuy nhiên, hầu hết các tên máy chủ đều có cùng địa chỉ IP và nằm trên một máy chủ. Đây không phải là vấn đề đối với giao thức HTTP, vì ngay khi kết nối TCP được mở, máy khách sẽ cho biết website nào đang có người dùng truy cập trong yêu cầu HTTP. 

Nhưng trong HTTPS, quá trình bắt tay TLS diễn ra trước khi HTTP bắt đầu. Nếu không có SNI, máy khách không thể cho máy chủ biết tên máy chủ cụ thể là gì. Dẫn đến việc máy chủ có thể tạo sai chứng chỉ SSL cho tên máy chủ. Khi tên trên chứng chỉ SSL không khớp với tên mà máy khách đang truy cập, trình duyệt web sẽ trả về lỗi và bị ngắt kết nối.

Để khắc phục vấn đề này, SNI thêm tên miền vào quy trình bắt tay TLS để quy trình có thể đến đúng tên miền và nhận được chứng chỉ SSL chính xác, đồng thời vẫn đảm bảo quy trình đó diễn ra bình thường. 

## Điều gì xảy ra nếu trình duyệt của người dùng không hỗ trợ SNI?

Với trường hợp này, người dùng sẽ không thể truy cập một số website nhất định và trình duyệt của họ sẽ trả về thông báo lỗi "Your connection is not private".

Phần lớn các trình duyệt và hệ điều hành hiện nay đều hỗ trợ SNI. Chỉ những phiên bản rất cũ của Internet Explorer, hệ điều hành BlackBerry hay các phần mềm lỗi thời khác mới không hỗ trợ SNI.

SNI là phần mở rộng của giao thức TLS (giao thức phát triển dựa trên tiêu chuẩn SSL) và được sử dụng phổ biến trong HTTPS. 


large_sni-la-gi.png

medium_sni-la-gi.png

small_sni-la-gi.png

thumbnail_sni-la-gi.png

sni-la-gi.png

SNI là gì?

## Giảm Thiểu Các Cuộc Tấn Công Mạng

Multi CDN có thể trực tiếp giảm thiểu hoặc loại bỏ các yêu cầu tấn công hay lưu lượng truy cập quá tải vào các CDN có sẵn, giúp website uptime liên tục mà không ảnh hưởng đến hoạt động của Website đó. Tuy nhiên, phần lớn các chuyên gia IT đều thấy khó khăn khi phải quản lý CDN theo cách thủ công, đặc biệt là khi gặp phải các kịch bản tấn công phức tạp. 

Hầu hết các tùy chọn Multi CDN hiện nay vẫn phải quản lý theo cách thủ công hoặc sử dụng cơ chế phân phối phổ biến là round-robin (định tuyến các yêu cầu đến CDN tiếp theo theo hàng). Trong trường hợp này, việc áp dụng cơ chế cân bằng tải tập trung giúp điều phối CDN tự động như tính năng [Cân bằng tải thông minh](https://www.vnis.vn/vi-VN/products/smart-load-balancing) của VNIS là giải pháp hiệu quả cho doanh nghiệp.

## Ngăn Chặn Tình Trạng Downtime Cho Website

Khi website đang gặp sự cố mạng nhưng các giải pháp dự phòng lại hạn chế, bạn không thể làm gì khác ngoài việc chờ đợi nhà mạng trực tuyến trở lại. Ngay cả khi website được trang bị CDN vẫn có thể gặp tình trạng downtime khi nhà cung cấp CDN gặp sự cố bất ngờ. 

Trong khi đó, nền tảng Multi CDN có thể tự động phát hiện sự cố downtime và thậm chí là các vấn đề về hiệu suất website. Multi CDN sẽ thực hiện cân bằng tải để phân phối lại lưu lượng truy cập đến các CDN ổn định khác, có thể tránh được tình trạng downtime của website. 

Multi CDN mang đến lợi ích gì cho một website? Hãy cùng tìm hiểu thông qua bài viết dưới đây.

large_multi-cdn-bao-ve-website.png

medium_multi-cdn-bao-ve-website.png

small_multi-cdn-bao-ve-website.png

thumbnail_multi-cdn-bao-ve-website.png

multi-cdn-bao-ve-website.png

Multi CDN bảo vệ website như thế nào?

WAF được triển khai dưới dạng các thiết bị phần cứng, phần mềm, kết hợp hoặc trên đám mây. WAF hoạt động với một bộ quy tắc cụ thể được gọi là chính sách. Chính sách này giúp WAF phát hiện lỗ hổng bảo mật/ hành vi lưu lượng tìm kiếm v.v. Nói cách khác, các chính sách cho phép WAF bảo vệ các ứng dụng web và máy chủ khỏi các cuộc tấn công độc hại. 

Dựa trên các chính sách này, WAF sẽ quét các ứng dụng web và dùng  phương thức GET & POST để xác định và lọc các yêu cầu độc hại. WAF không chỉ phân tích tiêu đề mà còn phân tích nội dung của tất cả các gói để chặn các yêu cầu bất hợp lệ. WAF thông minh còn yêu cầu chứng minh họ là con người hay là bot. 

Khi phát hiện lỗ hổng ứng dụng, WAF sẽ ngay lập tức ngăn chặn vá các lỗ hổng đó để tự động chặn hacker và các tác nhân độc hại (bot, tấn công địa chỉ IP, tấn công đầu vào v.v.). WAF thường được cấu hình theo ba mô hình bảo mật cơ bản, gồm có:

_Mô hình danh sách trắng:_ Với mô hình này, WAF chỉ cho phép lưu lượng được phê duyệt trước theo các tiêu chí được cấu hình cụ thể và từ chối các yêu cầu truy cập còn lại. Nó cung cấp danh sách các địa chỉ IP được cho là đáng tin cậy. Mô hình danh sách trắng phù hợp để áp dụng với ứng dụng web trên mạng nội bộ, được sử dụng bởi một nhóm người dùng hạn chế (ví dụ: nhân viên). Tuy nhiên, nhược điểm của mô hình danh sách trắng là các yêu cầu và lưu lượng truy cập hợp lệ vẫn có thể bị chặn.

_Mô hình danh sách đen:_ Với mô hình này, WAF cho phép tất cả các gói tin đi qua và sử dụng chữ ký đặt trước để chặn lưu lượng truy cập độc hại vào ứng dụng web. Các chữ ký được thiết kế để ngăn chặn các tấn công khai thác lỗ hổng trên ứng dụng và website. Đây là mô hình bảo mật phù hợp với các ứng dụng web trên mạng công cộng, nơi nhận lượng lớn truy cập từ các địa chỉ IP lạ khác nhau. Trái ngược với việc mặc định là địa chỉ IP đáng tin cậy, mô hình danh sách đen tiêu hao nhiều tài nguyên hơn để phân tích và lọc các gói tin dựa trên các đặc điểm cụ thể. WAF với mô hình danh sách đen có thể bảo vệ ứng dụng khỏi một số tấn công DDoS nhưng nó không hiệu quả với các tấn công Zero-day.

_Mô hình kết hợp:_ WAF có thể được cấu hình để kết hợp hai phương pháp danh sách trắng và danh sách đen với nhau dựa trên nhu cầu cụ thể của ứng dụng. Tường lửa ứng dụng web kết hợp là sự lựa chọn tốt nhất cho các ứng dụng web trên mạng nội bộ và cả mạng công cộng.


WAF được triển khai dưới dạng các thiết bị phần cứng, phần mềm, kết hợp hoặc trên đám mây. WAF hoạt động với một bộ quy tắc cụ thể được gọi là chính sách.

large_waf-hoat-dong-nhu-the-nao..png

medium_waf-hoat-dong-nhu-the-nao..png

small_waf-hoat-dong-nhu-the-nao..png

thumbnail_waf-hoat-dong-nhu-the-nao..png

waf-hoat-dong-nhu-the-nao..png

WAF hoạt động như thế nào?

## Tổng quan
Trong kỷ nguyên kỹ thuật số phát triển mạnh mẽ, việc hiểu các mối đe dọa trực tuyến và có các biện pháp bảo mật là điều cấp thiết đối với các tổ chức hiện nay. Trước đây, các công ty bảo vệ thiết bị và dữ liệu người dùng bằng tường lửa mạng, thường được gọi là tường lửa. 

Tuy nhiên, các mối đe dọa ngày càng trở nên tinh vi và chỉ tường lửa là không đủ để loại bỏ các mối đe dọa trên. Để tăng cường bảo mật chống lại các cuộc tấn công mạng nguy hại, cần đặt các lớp bảo mật khác nhau trong hạ tầng mạng để thiết lập bảo vệ đa chiều. Tường lửa ứng dụng web (WAF | Web  Application Firewall) được phát triển để đáp ứng nhu cầu đó.

Tường lửa tiêu chuẩn là tường lửa bảo vệ tầng mạng và tầng giao vận (layer 3 và 4 trong mô hình OSI). WAF bổ sung cho tường lửa tiêu chuẩn, bảo vệ thêm tầng ứng dụng (layer 7). Tường lửa kết hợp với WAF có thể ngăn chặn các cuộc tấn công mạng ở mức tinh vi hơn. 


Trong kỷ nguyên kỹ thuật số phát triển mạnh mẽ, việc hiểu các mối đe dọa trực tuyến và có các biện pháp bảo mật là điều cấp thiết đối với các tổ chức hiện nay. 

Tường lửa và WAF đóng vai trò quan trọng trong an ninh mạng. Bất kể mô hình mạng nào, cả hai lớp bảo mật này đều phải áp dụng để bảo mật không chỉ cho thông tin người dùng mà kể cả chức năng của ứng dụng web và toàn bộ cơ sở hạ tầng mạng. 

Các doanh nghiệp cần phân biệt giữa tường lửa mạng và WAF để đánh giá đâu là giải pháp tối ưu nhất, để từ đó thiết lập các biện pháp phòng thủ hiệu quả khi bị tấn công mạng. Sau đây hãy bắt đầu với các định nghĩa cơ bản. 

## Tường lửa là gì?
Tường lửa là một hệ thống giám sát lưu lượng truy cập, cho phép hoặc chặn dữ liệu vào và ra dựa trên các quy tắc bảo mật đã được xác định. Tường lửa thiết lập một rào chắn giữa mạng nội bộ (mạng cục bộ hoặc mạng LAN) và mạng bên ngoài (Internet). Mục đích chính là cho phép lưu lượng truy cập từ một mạng được bảo mật và đáng tin cậy đi qua, và chặn lưu lượng truy cập từ mạng trái phép để loại bỏ sự xâm nhập của các phần mềm độc hại, virus và các hoạt động trái phép khác. 

Tường lửa tách “khu vực an toàn” (Khu vực bảo mật cao / Bên trong mạng) khỏi “khu vực kém an toàn” (Khu vực bảo mật thấp / Bên ngoài mạng), đồng thời kiểm soát sự trao đổi giữa hai bên bằng cách xác thực địa chỉ và gói dữ liệu vào/ ra mạng. Không có tường lửa, bất kỳ máy tính nào có địa chỉ IP (Internet Protocol) công khai đều có thể truy cập từ bên ngoài mạng và hoàn toàn dễ bị tấn công. 

## WAF là gì?
WAF là một loại proxy ngược, bảo vệ máy chủ bằng cách cho phép máy khách đi qua WAF trước khi đến máy chủ, do đó WAF giúp phát hiện và ngăn chặn các yêu cầu độc hại trước khi đến người dùng cuối hoặc ứng dụng web. 

WAF giám sát và lọc lưu lượng HTTP/HTTPS giữa ứng dụng web và mạng Internet. WAF thiết lập một rào cản bảo vệ các ứng dụng web khỏi các cuộc tấn công dựa trên ứng dụng, ví dụ như tấn công DDoS, CSRF, XSS, SQL Injection, v.v. WAF có thể ngăn chặn hàng loạt các tấn công độc hại ở layer 7 (tầng ứng dụng) - nơi dữ liệu người dùng có giá trị dễ dàng bị xâm nhập. 

Các doanh nghiệp hiện nay đang dần mở rộng sang mô hình kỹ thuật số, khiến ứng dụng web và API có nguy cơ bị tấn công cao. Vì thế WAF ngày càng đóng vai trò quan trọng trong việc kết hợp với tường lửa xây dựng hệ thống bảo mật toàn diện trước các cuộc tấn công mạng phức tạp khác nhau.


## Tường lửa so với WAF

Sau khi đã hiểu các khái niệm cơ bản của tường lửa và WAF, hãy tìm hiểu sâu hơn sự khác nhau về kỹ thuật và công nghệ của hai loại tường lửa thông qua bảng so sánh dưới đây:






large_tuong-lua-va-tuong-lua-ung-dung-web.png

medium_tuong-lua-va-tuong-lua-ung-dung-web.png

small_tuong-lua-va-tuong-lua-ung-dung-web.png

thumbnail_tuong-lua-va-tuong-lua-ung-dung-web.png

tuong-lua-va-tuong-lua-ung-dung-web.png

Tường lửa và tường lửa ứng dụng web

Trong thời đại hội nhập ngày nay, các doanh nghiệp đang mở rộng quy mô toàn cầu và sử dụng Internet như một công cụ để tăng trưởng. Tuy nhiên, Internet ban đầu được thiết kế để kết nối chứ không chú trọng đến hiệu suất, vì vậy nó sẽ ảnh hưởng trực tiếp đến các doanh nghiệp. Khi số lượng người dùng trực tuyến tăng lên, mạng Internet có thể bị quá tải, làm chậm hoặc gián đoạn các giao dịch trực tuyến. Những gián đoạn này sẽ ảnh hưởng đến trải nghiệm của người dùng cuối – một tham số quan trọng quyết định sự thành công của doanh nghiệp. Do đó, cần phải phát triển một hệ thống để giải quyết sự mong đợi ngày càng tăng từ người dùng.
Các **cơ chế định tuyến lưu lượng** đã được xây dựng nhằm đáp ứng những nhu cầu trên. Đó là những kỹ thuật đơn giản nhưng rất mạnh mẽ có thể định tuyến lưu lượng DNS một cách hiệu quả để giải quyết một số sự cố, cung cấp khả năng chuyển đổi dự phòng, cân bằng tải lưu lượng trên nhiều tài nguyên và thậm chí tính đến vị trí bắt nguồn truy vấn.

Cơ chế định tuyến lưu lượng DNS đã được xây dựng để giải quyết các sự cố, cung cấp khả năng chuyển đổi dự phòng và cân bằng tải lưu lượng trên nhiều tài nguyên.

Dưới đây là những khung (frameworks) chứa các quy tắc giúp phản hồi các yêu cầu DNS.

**1. Chuyển đổi dự phòng (Failover)**
Failover cho phép ưu tiên thứ tự các địa điểm mà chúng ta muốn điều hướng lưu lượng DNS. Ví dụ: bạn có máy chủ chính và phụ nằm ở 2 khu vực khác nhau. Trong cơ chế Failover, tất cả lưu lượng DNS sẽ được chuyển tiếp hoặc định tuyến đến máy chủ chính nhưng vì lý do nào đó, máy chủ chính bị lỗi hoặc không phản hồi, Failover sẽ tự động điều hướng lưu lượng DNS đến máy chủ phụ (hoặc dự phòng).

**2. Cân bằng tải (Load Balancer)**
Load Balancer cho phép phân phối lưu lượng DNS trên nhiều điểm cuối. Các điểm này có thể được gán các trọng số bằng nhau để phân phối lưu lượng đồng đều trên nhiều điểm cuối (round-robin) hoặc có thể chỉ định các trọng số tùy chỉnh để cân bằng tải theo tỷ lệ (weighted round-robin). Ví dụ: 80% lưu lượng DNS được chuyển hướng đến máy chủ tại chỗ của bạn, trong khi 20% được chuyển hướng đến đám mây công cộng (Public Cloud).

**3. Định tuyến định vị địa lý (Geolocation Steering)**
Geolocation Steering phân phối lưu lượng DNS đến các điểm cuối khác nhau dựa trên vị trí địa lý của người dùng cuối (nguồn của truy vấn). Khách hàng có thể chỉ định một hoặc nhiều điểm cuối cụ thể cho người dùng cuối (end-user) tại một địa điểm được xác định (ví dụ: lục địa, quốc gia hoặc tiểu bang/tỉnh). Ví dụ: tất cả các yêu cầu từ end-user có nguồn gốc từ Hoa Kỳ và Canada được định tuyến đến máy chủ Bắc Mỹ (hoặc nhóm máy chủ), các yêu cầu có nguồn gốc từ Châu Á được định tuyến đến máy chủ Singapore, trong khi các yêu cầu có nguồn gốc từ phần còn lại của thế giới được định tuyến đến máy chủ Bắc Mỹ.

**4. Định tuyến ASN (ASN Steering)**
ASN Steering là cơ chế định tuyến lưu lượng DNS dựa trên Số hiệu mạng (ASN). Các truy vấn DNS bắt nguồn từ một ASN cụ thể hoặc tập hợp các ASN được điều hướng đến một điểm cuối (endpoint) chỉ định.

**5. Định tuyến tiền tố ISP (ISP Prefix Steering)**
ISP Prefix Steering cho phép khách hàng điều hướng lưu lượng DNS dựa trên nhà cung cấp ISP ưa thích.

**6. Định tuyến mạng IP (IP Network Steering)**
IP Network Steering cho phép khách hàng điều hướng lưu lượng DNS dựa trên tiền tố IP của truy vấn ban đầu.

Hầu hết việc quản lý lưu lượng DNS ngày nay đều dựa trên cân bằng tải (Load balancing) và khoảng cách địa lý của end-user với endpoint. Tuy nhiên, chỉ phân phối theo cân bằng tải và khoảng cách địa lý (tức là định tuyến DNS tĩnh) không phải lúc nào cũng mang lại hiệu suất tốt hơn. Trên thực tế, các thông số hiệu suất như độ trễ, tính khả dụng, băng thông, v.v. không được tính đến trong định tuyến DNS tĩnh. Với sự phức tạp của Internet, định tuyến DNS tĩnh sẽ không thể cung cấp các quyết định điều hướng tốt nhất.

Với số lượng và kỳ vọng của người dùng ngày càng tăng, việc xem xét hiệu suất trở nên quan trọng hơn. Định tuyến DNS tĩnh sẽ không còn đủ sức mạnh nữa. Mặc dù “bình thường” các phương pháp điều tiết lưu lượng tĩnh như cân bằng tải và định vị địa lý vẫn có thể hiệu quả, nhưng “bình thường” ở đây là trong ngữ cảnh hàng trăm triệu truy vấn DNS có thể chuyển thành hàng trăm nghìn giao dịch dưới mức tối ưu. Từ góc độ kinh doanh, việc bỏ qua các yếu tố hiệu suất chắc chắn sẽ gây ra những hậu quả xấu đối với trải nghiệm người dùng, điều này có thể dẫn đến mất doanh thu hoặc tệ hơn là dẫn đến sự đi xuống của doanh nghiệp.

Do đó, nên sử dụng các chỉ số hiệu suất trong việc quyết định hoặc định tuyến lưu lượng DNS và được gọi là "cơ chế định tuyến dựa trên hiệu suất". Cơ chế này chỉ ra bản chất động và phức tạp của Internet, đồng thời đảm bảo rằng tất cả các truy vấn DNS có thể điều hướng lưu lượng truy cập với định tuyến nhanh và đáng tin cậy nhất. Qua đây, trải nghiệm người dùng sẽ được cải thiện và dẫn đến kinh doanh thành công.

Có nhiều chỉ số có thể được sử dụng trong cơ chế định tuyến lưu lượng dựa trên hiệu suất. Đó là: tính khả dụng (availability), độ tin cậy (reliability), độ trễ (latency), băng thông (throughput), mất gói dữ liệu (packet loss) và jitter. Mỗi chỉ số hiệu suất này hay sự kết hợp của chúng có thể được sử dụng làm cơ sở để định tuyến lưu lượng DNS nhằm đáp ứng các mục tiêu kinh doanh cụ thể.

**1. Khả dụng (Availability)**
Tính khả dụng được định nghĩa là thời gian máy chủ hoặc mạng hoạt động trong một khoảng thời gian nhất định. Tính khả dụng của mạng được đo dưới dạng phần trăm và được giám sát để đảm bảo dịch vụ được cung cấp liên tục cho người dùng cuối (end-users). Tỷ lệ phần trăm này thường được thể hiện dưới dạng "nines". Đây là một chỉ số quan trọng đối với end-users vì nó đánh giá độ khỏe và hiệu suất của mạng, vì vậy đó là lý do tại sao tính khả dụng nên được coi là ưu tiên. Theo tiêu chuẩn, một mạng khỏe được coi là có tính khả dụng cao (thời gian hoạt động) với giá trị hơn 99%.

**2. Độ tin cậy (Reliability)**
Độ tin cậy là chỉ số đo lường khả năng máy chủ hoặc hệ thống có thể gặp sự cố (tức là thời gian ngừng hoạt động) trong một khoảng thời gian. Độ tin cậy thường được biểu thị bằng thời gian trung bình giữa các lần sự cố hoặc MTBF, là tổng thời gian máy chủ “đang hoạt động” chia cho số lần xảy ra lỗi. Đôi khi, tỷ lệ thất bại cũng có thể được sử dụng, tỷ lệ này là nghịch đảo của MTBF (tức là số lần thất bại chia cho tổng thời gian hoạt động). Độ tin cậy về cơ bản là theo dõi thời gian máy chủ hoặc cơ sở hạ tầng mạng hoạt động mà không bị gián đoạn.

**3. Độ trễ (Latency)**
Độ trễ đo lường thời gian tối thiểu mà dữ liệu đi từ nguồn yêu cầu đến đích mong muốn trên mạng rồi quay lại. Nó được gọi là thời gian trễ trọn vòng (RTT) và thường được đo bằng mili giây (ms). Nói chung, độ trễ trong một trung tâm dữ liệu được đo bằng micro giây nhưng giữa các địa điểm được đo bằng hàng chục mili giây. Độ trễ (cùng với băng thông) về cơ bản là tốc độ của mạng. Do đó, nó có tác động trực tiếp đến hiệu suất của mạng. Khi khoảng cách càng xa thì RTT càng cao và (nếu kết hợp với băng thông thấp) sẽ dẫn đến tắc nghẽn mạng. Các sản phẩm nén và tăng tốc mạng WAN đôi khi hữu ích, nhưng trong một số trường hợp, chúng lại làm tăng độ trễ thay vì giảm. Cách tối ưu nhất để giảm độ trễ là giảm khoảng cách giữa các kênh giao tiếp. Bộ nhớ đệm cũng hoạt động tốt, nhưng chủ yếu là với nội dung tĩnh.

**4. Băng thông (Throughput)**
Băng thông là tốc độ gửi/xử lý tin nhắn hoặc dữ liệu thành công qua một kênh liên lạc. Nó thường được đo bằng bit trên giây (bit/s hoặc bps), hoặc gói dữ liệu trên giây (p/s hoặc pps). Băng thông về cơ bản là mức tiêu thụ băng thông kỹ thuật số. Các ứng dụng có yêu cầu băng thông cao như trò chơi trực tuyến, truyền phát video và truyền tệp kích thước lớn.

**5. Mất gói dữ liệu (Packet loss)**
Mất gói dữ liệu xảy ra khi một hoặc nhiều gói dữ liệu đang truyền trên mạng máy tính không đến được đích dự kiến. Mất gói dữ liệu là do lỗi trong quá trình truyền dữ liệu hoặc tắc nghẽn mạng, đôi khi lỗi do con người, định tuyến không hợp lý, thậm chí cả lỗi nguồn điện và phần cứng. Nó được đo bằng tỷ lệ phần trăm số gói dữ liệu bị mất so với tổng số gói dữ liệu được gửi. Giao thức điều khiển truyền vận (TCP) phát hiện mất gói dữ liệu và thực hiện truyền lại để đảm bảo thông điệp đáng tin cậy. Tuy nhiên, nếu mất quá nhiều gói, TCP sẽ hết dung lượng bộ đệm và sẽ ảnh hưởng đến sự ổn định chung của mạng. Đối với các ứng dụng thời gian thực như trò chơi trực tuyến hoặc truyền phát đa phương tiện, mất gói dữ liệu có thể ảnh hưởng nghiêm trọng đến chất lượng trải nghiệm của người dùng (QoE).

**6. Jitter**
Jitter là sự thay đổi về thời gian giữa các gói dữ liệu đến đích của chúng. Những khác biệt về thời gian thường do tắc nghẽn mạng hoặc thay đổi định tuyến, gây thất thường đối với sự ổn định của gói và dẫn đến một số gói bị loại bỏ. Đơn vị đo lường tiêu chuẩn của jitter là mili giây (ms). Đây là một vấn đề lớn đối với truyền thông thời gian thực như VoIP và truyền phát video. Thông thường, nếu jitter nhận cao hơn 20ms, nó có thể làm tăng độ trễ và dẫn đến mất gói dữ liệu, đồng thời sẽ làm giảm chất lượng và hiệu suất. Một số thiết bị mạng được trang bị bộ đệm jitter nhưng cách tốt nhất để khắc phục jitter là chọn đường dẫn ổn định nhất giữa hai điểm cuối.

Các ứng dụng web khác nhau sẽ có các ưu tiên và yêu cầu hiệu suất khác nhau. Tùy thuộc vào loại ứng dụng web, doanh nghiệp có thể quyết định sử dụng một hoặc kết hợp nhiều chỉ số để đưa ra quyết định định tuyến nhằm đáp ứng nhu cầu cụ thể của họ. Mặc dù toàn bộ Internet là động, nhưng thường thì hiệu suất của từng máy chủ và các thành phần khác trong mạng thay đổi theo thời gian. Sẽ rất tốn thời gian để đo lường các chỉ số và thay đổi tuyến đường truyền dữ liệu lặp đi lặp lại một cách thủ công. Để giải quyết vấn đề này, các doanh nghiệp có thể sử dụng định tuyến dữ liệu DNS thông minh.

Định tuyến lưu lượng DNS thông minh, cho phép theo dõi thời gian thực các chỉ số hiệu suất của máy chủ/mạng và tự động áp dụng các chỉ số đó cho các quyết định định tuyến. Nói cách khác, khi người dùng cuối thực hiện truy vấn cho một trang Web cụ thể, hệ thống điều khiển lưu lượng DNS thông minh sẽ tự động cập nhật định tuyến DNS dựa trên dữ liệu hiệu suất thời gian thực tốt nhất. Điều này không chỉ giúp tiết kiệm thời gian cho doanh nghiệp mà quan trọng hơn, nó sẽ tự động cung cấp định tuyến DNS tối ưu nhất tại bất kỳ thời điểm nào, từ đó cải thiện trải nghiệm người dùng.

**Giám sát dữ liệu**
Một thành phần quan trọng của định tuyến lưu lượng DNS thông minh là giám sát dữ liệu theo thời gian thực. Có hai công cụ thường được sử dụng để giám sát dữ liệu thời gian thực: Giám sát người dùng tổng hợp (SUM); và Giám sát người dùng thực (RUM).

**Giám sát người dùng tổng hợp - SUM** là kỹ thuật giám sát thời gian thực một cách chủ động được thực hiện bằng việc sử dụng các tập lệnh được tạo để mô phỏng một hành động hoặc một đường dẫn – đối với trường hợp lưu lượng DNS. Những đường dẫn đó được theo dõi liên tục trong khoảng thời gian được chỉ định để đánh giá hiệu suất. Vì SUM là một mô phỏng nên sẽ theo dõi các đường dẫn lưu lượng một cách tốt nhất.

**Giám sát người dùng thực, hay [RUM](https://www.vnis.vn/vi-VN/knowledges/web-monitoring/tai-sao-rum-lai-quan-trong-doi-voi-cac-ung-dung-web-hien-dai)** là kỹ thuật giám sát thời gian thực một cách thụ động, theo dõi lưu lượng DNS được tạo ra bởi người dùng thực tế. RUM sử dụng một đoạn mã được gọi là mã beacon, thường được chèn vào ứng dụng Web và sẽ được kích hoạt để thu thập dữ liệu hiệu suất mỗi khi một người dùng thực tế truy cập trang Web. Vì RUM được khởi tạo bởi người dùng thực nên nó có thể giám sát đường dẫn lưu lượng bắt đầu từ vị trí của người dùng cuối đến điểm đích của nó.

Cả SUM và RUM đều cung cấp các quan điểm khác nhau về hiệu suất và hữu ích cho nhiều mục đích khác nhau. SUM cho phép tạo môi trường thử nghiệm nhất quán bằng cách loại bỏ các biến liên quan đến người dùng. Trong khi đó, RUM thu thập hiệu suất từ sự đa dạng của người dùng cuối, những người thực sự truy cập trang và sử dụng mạng. Cả RUM và SUM đều cung cấp phản hồi về hiệu suất DNS, nhưng chúng khác nhau về lưu lượng mà chúng tạo ra. SUM giúp chẩn đoán và giải quyết các vấn đề về hiệu suất ngắn hạn, trong khi RUM giúp hiểu các xu hướng dài hạn. Mỗi phương pháp đều có những lợi ích và hạn chế riêng, tuy nhiên, việc sử dụng dữ liệu từ cả hai sẽ cho thấy tầm nhìn tốt hơn, cho phép xem xét các loại vấn đề cụ thể và cách giải quyết chúng.

large_Thiết kế chưa có tên (1).png

medium_Thiết kế chưa có tên (1).png

small_Thiết kế chưa có tên (1).png

thumbnail_Thiết kế chưa có tên (1).png

Thiết kế chưa có tên (1).png

Làm thế nào để định tuyến lưu lượng DNS

**Token authentication** có thể hiểu là việc **Xác thực mã thông báo**. Thông qua tính năng này, người dùng có thể thực hiện kiểm soát truy cập thông qua các tham số URL (URL parameters) hoặc tiêu đề yêu cầu HTTP (HTTP request headers) mà không cần phải xây dựng các hệ thống phụ trợ (back-end systems) phức tạp.
Lấy nền tảng VNIS (VNIS platform) làm ví dụ, chúng tôi sẽ kiểm tra các Mã thông báo (Token) tại [Tường lửa ứng dụng web (WAF)](https://www.vnis.vn/vi-VN/features/web-application-firewall) trước khi bất kỳ yêu cầu (request) nào được chuyển tiếp đến máy chủ gốc (origin). Nếu Token không hợp lệ, request sẽ bị chặn. Vì VNIS xử lý tất cả Token authentication nên máy chủ gốc không cần phải có logic xác thực phức tạp. Ngoài ra, một người dùng độc hại (malicious user) cố gắng giả mạo Token sẽ bị chặn truy cập origin.


Token authentication có thể hiểu là việc Xác thực mã thông báo. Thông qua tính năng này, người dùng có thể thực hiện kiểm soát truy cập

**- Token Authentcation giúp bảo vệ API**  – Ngày nay, hầu hết các ứng dụng là phần mềm máy khách (client software) kết nối đến HTTP dựa trên API qua Internet. Việc bảo vệ các API khỏi các truy cập xấu là rất quan trọng. Chúng ta cần ngăn chặn việc lạm dụng và tải trái phép dữ liệu trên máy chủ API.


**- Token Authentcation hỗ trợ dịch vụ WebSocket** – WebSocket là một giao thức truyền thông máy tính, cung cấp các kênh truyền thông song công đầy đủ (full-duplex) qua một kết nối TCP. Giao thức WebSocket (WebSocket protocol) đã được IETF chuẩn hóa thành RFC 6455 vào năm 2011. API WebSocket trong Web IDL đang được W3C chuẩn hóa. WebSocket là một giao thức khác với HTTP nhưng mang trong lớp HTTP. Nó được sử dụng rộng rãi trong nhiều ứng dụng web cần giao tiếp giữa máy khách/máy chủ theo thời gian thực (real-time) và full-duplex, chẳng hạn như p2p game, bot công nghiệp như điều khiển từ xa bằng máy bay không người lái, v.v. Token authentication có thể được sử dụng để xác thực API hoặc WebSocket request từ user hợp lệ, client hoặc thiết bị di động ở biên (edge). VNIS sẽ lọc ra các request không được xác thực (non-authenticated) hoặc giả mạo và không chuyển chúng đến máy chủ API gốc (origin API server).


**- Các tình huống khác**  – Token authentication có thể được coi là một loại Cơ chế kiểm soát truy cập (Access Control Mechanism). Nó có thể được sử dụng để kiểm soát quyền truy cập vào tài nguyên web của bạn như tài liệu nội bộ, liên kết không thể chia sẻ (non-referable links), đặc biệt là nội dung tĩnh như hình ảnh, PDF, tệp zip, ứng dụng (app), sách điện tử (eBook) và những nội dung có thể tải xuống khác.

**Token authentication** tận dụng các Token để xác minh rằng người dùng có quyền truy cập vào một tài nguyên cụ thể. Token có thể được gửi dưới dạng tham số (parameter) URL hoặc trong tiêu đề (header) HTTP. Dưới đây là ba phương thức Token authentication được sử dụng rộng rãi:

**- Xác thực khóa (Key authentication)** - Một khóa trong tham số chuỗi truy vấn (query string parameter) hoặc tiêu đề (header) giúp xác thực các request. Token của khóa xác thực được tạo từ:


- Một khóa riêng chỉ được chia sẻ giữa VNIS và API hoặc WebSocket.
- Đường dẫn đến WebSocket hoặc API của VNIS WAF sẽ xác thực Token và cho phép truy cập hay không dựa trên kết quả. WAF chỉ cần xác minh xem URL’s key đã ký có giống với khóa của WAF hay không.


**- Xác thực chữ ký HMAC (HMAC authentication)** - Phương pháp này sẽ xác thực chữ ký điện tử được gửi trong Proxy-Ủy quyền (Proxy-Authorization) hoặc Tiêu đề Ủy quyền (Authorization header). Việc triển khai dựa trên bản nháp draft-cavage-http-signatures với lược đồ chữ ký chỉ khác một ít. Token là một HMAC được tạo từ:


- Một khóa riêng chỉ được chia sẻ giữa VNIS và API hoặc WebSocket
- Dấu thời gian (Timestamps) thời đại Unix
- Các tham số bổ sung tùy chọn tiềm năng (ví dụ: địa chỉ IP, giá trị cookie, tên người dùng). VNIS WAF sẽ xác thực Token và cho phép truy cập hay không dựa trên kết quả. HMAC đã tạo cũng có thể được định cấu hình để hết hạn sau một thời gian nhất định (ví dụ: 10 phút) hoặc việc hết hạn được kiểm soát trực tiếp từ máy chủ gốc. Sau đó, các URL được tạo tiếp theo sẽ chỉ bao gồm một Unix timestamp mới.


**- Xác thực JWT -  (JWT authentication)** – Xác minh các request chứa HS256 hoặc RS256 được ký JSON Web Tokens - viết tắt là JWT (theo quy định trong RFC 7519 - một tiêu chuẩn mở). Mỗi API hoặc WebSocket của bạn sẽ có thông tin đăng nhập JWT (khóa công khai và khóa bí mật) cần được sử dụng để ký JWT.

VNIS sẽ ủy quyền request cho các dịch vụ upstream nếu chữ ký của Token được xác minh hoặc hủy request nếu không được xác minh. VNIS cũng có thể thực hiện xác minh đối với một số xác nhận quyền sở hữu đã đăng ký RFC 7519.


- Một khóa riêng được chia sẻ giữa VNIS và API hoặc WebSocket
- Thuật toán: Thuật toán được sử dụng để xác minh chữ ký của Token. Có thể là HS256, HS384, HS512, RS256 hoặc ES256.
- RSA_public_Key: Nếu thuật toán là RS256 hoặc ES256, khóa public (ở định dạng PEM) sẽ được sử dụng để xác minh chữ ký của Token.
- Các tham số bổ sung tùy chọn tiềm năng như payload (ví dụ: địa chỉ IP, giá trị cookie, tên người dùng).

Việc triển khai **Token authentication** có thể được thực hiện qua một số bước. Lấy xác thực JWT làm ví dụ:

```

const jwt_key = "yourjwtkey"
const jwt_secret = "yourjwtsecret"
const jwt_secret = "yourjwtsecret"

var jwt = require('jwt-simple')
var uuid = require('uuid')

function genJWT(user_fields) { 
    var payload = { 
        iat: (new Date().getTime() / 1000), 
        jti: uuid.v4(), 
        iss: jwt_key, 
        user_fields: user_fields 
    } 
    var token = jwt.encode(payload, jwt_secret) 
    return token
    } //end gen jwt

var user_fields = { 
    customer: 'VNIS', 
    }

var token = genJWT(user_fields)
var link = 'yoururl?jwt=' + token;

```

Tính năng xác thực token sẽ sớm có trên VNIS.



**- Tấn công phát lại (Replay attack hoặc playback attack)** – Đây là một hình thức tấn công mạng trong đó việc truyền dữ liệu hợp lệ bị lặp lại hoặc trì hoãn một cách ác ý hoặc gian lận. Sau đây là các biện pháp phòng ngừa và đối phó:
- Nhãn thời gian (Timestamps)
- Mật khẩu một lần (One-time Password)
- Định danh phiên (Session Identifier)
- Xác minh trường người dùng khác - VNIS WAF xác thực Token và cho phép truy cập hay không dựa trên kết quả. WAF chỉ cần xác minh xem URL’s key đã ký có giống với key của WAF hay không.


**- Độ lệch của đồng hồ (Clock skew)** – Xác thực HMAC/JWT giúp kiểm tra độ lệch của đồng hồ như được mô tả trong thông số kỹ thuật, từ đó ngăn chặn các cuộc tấn công phát lại. Theo mặc định, mức độ cho phép độ trễ tối thiểu là 300 giây theo cả hai hướng (quá khứ/tương lai). Mọi request có giá trị ngày cao hơn hoặc thấp hơn sẽ bị từ chối. Server và request client phải được đồng bộ hóa với NTP (Network Time Protocol) và ngày hợp lệ (sử dụng định dạng GMT - Greenwich Mean Time).

Thư viện gồm các tài liệu liên quan đến dịch vụ đám mây

Tăng sức mạnh cho trang web của bạn