Hướng dẫn kích hoạt WAF Free cho website chỉ trong 3 bước

WAF Free của VNETWORK là giải pháp tường lửa ứng dụng web miễn phí, nằm trong nền tảng Web/App/API Protection (WAAP) - VNIS. Được kiến tạo bởi AI, WAF Free ra đời nhằm giúp doanh nghiệp, đặc biệt là nhóm vừa và nhỏ (SME), dễ dàng tiếp cận tiêu chuẩn bảo mật quốc tế trước các nguy cơ tấn công mạng ngày càng gia tăng, mà không phát sinh chi phí ẩn.

Về bản chất, WAF (Web Application Firewall) là lớp phòng vệ ở tầng ứng dụng, chuyên phát hiện và ngăn chặn các truy vấn độc hại khai thác lỗ hổng phổ biến như SQL Injection, XSS hay dò quét tự động trước khi chúng chạm tới máy chủ gốc.

Điểm vượt trội của WAF Free là khả năng hoạt động trực tiếp trên hạ tầng mạng biên (Edge Network) của VNETWORK, giúp doanh nghiệp triển khai ngay mà không cần đầu tư thiết bị phần cứng, thuê dịch vụ riêng hay chuyển đổi nhà cung cấp DNS. Nhờ đó, một website chưa có lớp phòng vệ có thể nhanh chóng kích hoạt khiên chắn bảo mật tiêu chuẩn chỉ sau vài phút thiết lập.

WAF Free giúp doanh nghiệp giảm rủi ro tấn công mạng, đáp ứng yêu cầu tuân thủ pháp lý và tiếp cận năng lực bảo mật đẳng cấp doanh nghiệp lớn mà không tốn chi phí.

Doanh nghiệp nhỏ dễ trở thành mục tiêu vì thiếu nhân sự và ngân sách cho bảo mật. Theo báo cáo khảo sát an ninh mạng năm 2025 của Hiệp hội An ninh mạng Quốc gia, 52,3% cơ quan và doanh nghiệp từng chịu tổn hại do tấn công mạng; riêng thiệt hại, theo Bộ Công an, đã lên tới gần 40.000 tỷ đồng trong giai đoạn 2020 đến 2025.

Không dừng lại ở rủi ro bị tấn công, áp lực lên khối SME còn tăng khi trang bị giải pháp bảo mật đã trở thành nghĩa vụ pháp lý. Nghị định 85/2016/NĐ-CP và Thông tư 12/2022/TT-BTTTT quy định hệ thống thông tin từ cấp độ 2 trở lên phải triển khai tường lửa ứng dụng web (WAF), còn Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 buộc mọi tổ chức xử lý dữ liệu người dùng phải áp dụng giải pháp kỹ thuật chống rò rỉ trái phép. Thế nhưng, 56% đơn vị chưa có nhân sự chuyên trách an toàn thông tin và chỉ 11% đủ năng lực tự phòng thủ, khiến phần lớn SME đối mặt cả nguy cơ bị xử phạt lẫn gián đoạn kinh doanh.

WAF Free được tạo ra để lấp đúng khoảng trống này, mang lại cho doanh nghiệp các lợi ích chính:

• Giảm rủi ro, bảo vệ doanh thu và uy tín: chặn sớm các cuộc tấn công phổ biến trước khi gây gián đoạn dịch vụ hay rò rỉ dữ liệu khách hàng.
• Đáp ứng yêu cầu tuân thủ: hỗ trợ doanh nghiệp tuân thủ nghĩa vụ pháp lý nêu trên.
• Bảo mật đẳng cấp doanh nghiệp lớn, miễn phí: dùng chính lớp phòng vệ mà VNETWORK đang bảo vệ hơn 400.000 Web, App và API trên toàn cầu.
• Tiết kiệm chi phí và nhân sự: không cần tuyển đội IT chuyên trách hay đầu tư thiết bị riêng.

WAF Free giúp bảo vệ kênh kinh doanh số của doanh nghiệp với các tính năng:

• Chống khai thác lỗ hổng theo OWASP Top 10 như SQL Injection, XSS và RFI
• Chặn tấn công DDoS cơ bản nhắm vào website
• Rate Limiting giới hạn tần suất truy cập bất thường
• Tăng tốc truyền tải nội dung Web/App qua hạ tầng CDN
• Dashboard theo dõi lưu lượng truy cập theo thời gian thực

Bảng dưới đây so sánh nhanh WAF Free với gói Custom để doanh nghiệp chọn đúng nhu cầu:

Tiêu chí	Gói WAF Free	Gói Custom (WAAP)
Chi phí	Miễn phí	Liên hệ, tùy nhu cầu
Chống OWASP Top 10	Có	Có
Chặn DDoS	Cơ bản	Đa tầng Layer 3/4/7, duy trì liên tục
Rate Limiting	Có	Có
Tăng tốc CDN	Có	Multi-CDN và AI Load Balancing
AI-WAF phân tích real-time	Không	Có
Bot Management	Không	Có
API Protection	Không	Có
SOC 24/7 và SLA	Không	Có
Domain, traffic, RPS	Giới hạn theo gói	Tùy chỉnh theo nhu cầu

Với các nhu cầu cơ bản, WAF Free đã đủ để một website có lớp phòng vệ đúng chuẩn ngay từ đầu mà không phát sinh chi phí.

Kích hoạt WAF Free chỉ gồm ba bước đơn giản và mất chưa tới 2 phút, không yêu cầu đổi kiến trúc hệ thống hiện tại.

Trước khi bắt đầu, doanh nghiệp truy cập Partner Portal của VNETWORK và tạo tài khoản (chọn Business Account nếu đăng ký cho doanh nghiệp, hoặc Individual Account nếu đăng ký với tư cách cá nhân). Nếu bấm trực tiếp vào đường link trên, hệ thống sẽ đưa thẳng vào trang Onboarding để kích hoạt WAF Free ngay.

Trường hợp doanh nghiệp đăng nhập bình thường bằng tài khoản VNETWORK-ID đã có sẵn, cần thực hiện thêm các bước sau: vào Services → Security → Web Application & API Protection → Activate. Hệ thống provision WAAP cho project hiện tại, và thẻ dịch vụ mở ra console WAAP để đưa website đầu tiên vào bảo vệ qua ba bước sau.

Bước 1. Thêm website và khai báo Origin

• Mở Onboarding hoặc chọn Add Website từ trang Websites để khởi động wizard.
• Tại bước Domain & Origin, nhập Website Domain: hostname công khai người dùng truy cập, ví dụ example.com, không kèm http hoặc https.
• Nhập Origin Server: scheme https cùng IP hoặc domain gốc, nơi WAAP chuyển tiếp lưu lượng sạch (hiện chưa hỗ trợ IPv6).

Bước 2. Cấu hình SSL

• Tại bước SSL, chọn cách cấp chứng chỉ TLS cho website (có thể đổi hoặc thêm chứng chỉ sau trong tab SSL của website).
• Free managed SSL (khuyến nghị): VNETWORK tự cấp và tự động gia hạn chứng chỉ, dùng được cho nhiều dịch vụ. Nhấn Issue free certificate, thêm một bản ghi DNS để xác thực quyền sở hữu, sau đó chứng chỉ tự gia hạn.
• Auto-generated vendor certificate: edge tự cấp chứng chỉ Let's Encrypt sau khi bạn trỏ một bản ghi CNAME.
• Nhấn Continue để sang bước tiếp, hoặc Skip & verify later nếu muốn cấu hình SSL sau.

Bước 3. Chọn Security Features

• Ở bước Security Features, bật nút AI-WAF Protection để kích hoạt lớp bảo vệ AI-WAF cho website.
• Chọn mức bảo vệ trong danh sách: Basic (khuyến nghị), Standard, Strict, Basic Plus, Standard Plus, Monitoring hoặc Balanced. Nếu mới bắt đầu, nên để Basic, hoặc chọn Monitoring để theo dõi trước khi chặn thật.
• Nhấn Complete Setup để hoàn tất wizard onboarding.

Sau khi hoàn tất wizard, trỏ bản ghi DNS của domain về CNAME (đích mà console hiển thị) để toàn bộ lưu lượng đi qua WAAP. Ngay khi DNS có hiệu lực, website bắt đầu được lọc và bảo vệ tự động.

Ngoài lớp phòng vệ cơ bản trong WAF Free, VNIS còn có nhiều tính năng chuyên sâu sẵn sàng cho mọi kịch bản tấn công. Dưới đây là các tính năng nổi bật:

1. AI-WAF

AI-WAF phát hiện và chặn các mối đe dọa Web/App theo thời gian thực ngay tại biên node CDN, phân tích ngữ cảnh và hành vi từng request với hơn 2.400 quy tắc. AI-WAF chống khai thác lỗ hổng, brute force và tấn công Layer 7, đồng thời giảm thiểu cảnh báo nhầm để không ảnh hưởng người dùng thật.

2. Bot Management

Bot Management nhận diện người dùng thật và chặn bot độc hại theo thời gian thực, ngăn cào dữ liệu và lạm dụng tự động. Bot Management giúp loại bỏ lưu lượng từ botnet trước khi chúng gây quá tải hoặc đánh cắp nội dung website.

3. DDoS Protection

DDoS Protection hấp thụ và giảm thiểu các cuộc tấn công từ chối dịch vụ đa tầng, duy trì hoạt động liên tục cho website ngay cả khi bị tấn công quy mô lớn. DDoS Protection kết hợp năng lực mạng lưới toàn cầu để phân tán và loại bỏ lưu lượng bất thường.

4. Emergency Mitigation

Emergency Mitigation cho phép kích hoạt tức thì chế độ chặn khẩn cấp khi phát hiện tấn công. Với Emergency Mitigation, đội vận hành có thể giới hạn tần suất truy cập hoặc chặn lưu lượng theo quốc gia, dải IP và nhà mạng chỉ trong vài thao tác.

5. TLS và HTTP/3

TLS và HTTP/3 mã hóa kết nối và tăng tốc truyền tải, giảm độ trễ cho người dùng cuối. Việc hỗ trợ giao thức hiện đại HTTP/3 giúp website tải nhanh và ổn định hơn, đồng thời giữ an toàn cho dữ liệu trên đường truyền.

6. Rate Limiting

Rate Limiting giới hạn số lượng request từ một nguồn trong khoảng thời gian nhất định, ngăn lạm dụng và các đợt dò quét tự động. Rate Limiting là tuyến phòng vệ hiệu quả trước brute force và các hành vi truy cập bất thường mà vẫn giữ trải nghiệm mượt cho người dùng hợp lệ.

7. API Protection

API Protection phát hiện và bảo vệ toàn bộ endpoint API khỏi truy cập trái phép. API Protection giám sát luồng giao tiếp API, phát hiện endpoint ẩn và ngăn khai thác, góp phần đảm bảo bảo mật API cho các ứng dụng hiện đại. Ngoài ra, API Protection còn giúp chống thất thoát dữ liệu (Data Loss Prevention - DLP) bằng cách kiểm tra nội dung trao đổi qua từng endpoint, phát hiện các trường dữ liệu nhạy cảm như thông tin định danh cá nhân hoặc số thẻ thanh toán bị lộ ra ngoài trong response. Nhờ khả năng này, doanh nghiệp giảm nguy cơ rò rỉ dữ liệu khách hàng qua API và dễ đáp ứng các yêu cầu tuân thủ bảo vệ dữ liệu hiện hành.

WAF Free mang đến trải nghiệm đơn giản và tiện dụng: chỉ 3 bước, tích hợp trong 2 phút, không cần đội IT, không tốn chi phí, không đổi kiến trúc CNTT. Doanh nghiệp còn dễ dàng tùy chỉnh theo nhu cầu qua yêu cầu bổ sung tính năng, có hệ thống ticket support, tài liệu hướng dẫn chi tiết và báo cáo chuyên sâu. Trải nghiệm WAF Free trên chính nền tảng mà nhiều doanh nghiệp lớn đang tin dùng, và nâng lên gói Custom bất cứ khi nào hệ thống cần lớp bảo vệ chuyên sâu hơn.

Trải nghiệm ngay

1. WAF Free là gì?

WAF Free là gói giải pháp tường lửa ứng dụng web miễn phí của VNETWORK, nằm trong hệ sinh thái bảo mật Web/App/API VNIS. Được kiến tạo bởi AI, WAF Free giúp doanh nghiệp, đặc biệt là nhóm vừa và nhỏ, dễ dàng tiếp cận tiêu chuẩn bảo mật quốc tế để bảo vệ website và ứng dụng mà không phát sinh chi phí ẩn.

2. WAF Free giúp ích gì cho website?

WAF Free chống các tấn công theo OWASP Top 10 như SQL Injection, XSS và RFI, chặn DDoS cơ bản, Rate Limiting, tăng tốc truyền tải qua CDN và cung cấp dashboard theo dõi theo thời gian thực. WAF Free còn hỗ trợ doanh nghiệp đáp ứng yêu cầu tuân thủ về an toàn thông tin.

3. Kích hoạt WAF Free mất bao lâu và có cần đổi hạ tầng không?

Ba bước: thêm website và khai báo Origin, cấu hình SSL, và bật Security Features; sau đó trỏ DNS về edge để website đi vào hoạt động. Toàn bộ mất chưa tới 2 phút, không cần thay đổi kiến trúc CNTT và không bắt buộc chuyển nhà cung cấp DNS.

4. WAF Free và gói Custom khác nhau thế nào?

WAF Free miễn phí, bảo vệ OWASP Top 10, chặn DDoS cơ bản, Rate Limiting, tăng tốc CDN và dashboard real-time. Gói Custom bổ sung AI-WAF phân tích real-time, Bot Management, API Protection, Multi-CDN, SOC 24/7 và cam kết SLA cho nhu cầu bảo vệ chuyên sâu.

5. Có cần đội IT chuyên môn cao để vận hành WAF Free không?

Không. WAF Free là dịch vụ self-serve: doanh nghiệp tự đăng ký và kích hoạt qua giao diện wizard trực quan. Nhờ đó, ngay cả đội ngũ chưa có nhân sự ATTT chuyên trách vẫn tự vận hành được.

6. Khi gặp vấn đề trong quá trình sử dụng, doanh nghiệp có thể liên hệ hỗ trợ qua đâu?

Doanh nghiệp có thể gửi yêu cầu hỗ trợ qua hệ thống ticket support của VNETWORK ngay trên nền tảng, kèm theo tài liệu hướng dẫn chi tiết để tự tra cứu trước khi cần đội ngũ kỹ thuật can thiệp. Với các sự cố cần xử lý nhanh, đội ngũ VNETWORK sẽ tiếp nhận và phản hồi trực tiếp qua ticket để đảm bảo website không bị gián đoạn bảo vệ.