ປ້ອງກັນ DDoS ແລະ Web Application Firewall (WAF)
ລະບົບປ້ອງກັນ WAF ແລະ DDoS ສຳລັບເວັບໄຊລາວ, ໜ້າຈອງ, API ແລະ ພອດທັລ VPN ພ້ອມປັບຈູນ ແລະ ເຝົ້າລະວັງໃຫ້.

ບັນຫາທີ່ເຮົາພົບເລື້ອຍໜ້າງານ
ເວັບໄຊທຸລະກິດລາວຫຼາຍແຫ່ງໃຊ້ສາຍອິນເຕີເນັດ ISP ພຽງເສັ້ນດຽວ ໂດຍເປີດເຊີບເວີເວັບອອກສູ່ public IP ໂດຍກົງ. ປລັກອິນ CMS ບໍ່ໄດ້ອັບເດດເປັນເດືອນ, ໜ້າລັອກອິນຖືກໂປຣແກຣມເດົາລະຫັດຜ່ານໝົດມື້, ແລະ ການໂຈມຕີລາຄາຖືກພຽງຄັ້ງດຽວກໍເຮັດໃຫ້ເວັບລົ້ມທັງໝົດ ຈົນການຈອງ ແລະ ການຂາຍຢຸດຊະງັກທັນທີ.
ເປັນຫຍັງເວັບໄຊຂະໜາດນ້ອຍຈຶ່ງລົ້ມ
ເວັບໄຊທຸລະກິດໃນລາວສ່ວນຫຼາຍທີ່ພວກເຮົາເຫັນ ແມ່ນໃຊ້ສາຍອິນເຕີເນັດຈາກ ISP ເສັ້ນດຽວ ແລະ ວາງ web server ໃສ່ public IP ໂດຍກົງ. ມື້ປົກກະຕິກໍໃຊ້ງານໄດ້ຢູ່. ແຕ່ເມື່ອຖືກ booter ລາຄາຖືກຍິງທຣາຟຟິກຖ້ວມເຂົ້າມາ, ທໍ່ອິນເຕີເນັດກໍເຕັມກ່ອນທີ່ອຸປະກອນໃນຫ້ອງການຈະທັນຕອບສະໜອງ. Plugin ເກົ່າ, ໜ້າ admin ທີ່ເປີດປະໄວ້ ແລະ ທຣາຟຟິກທີ່ຍິງກົງເຂົ້າເຊີບເວີຕົ້ນທາງ ເຮັດໃຫ້ bot ເຈາະເຂົ້າໄດ້ງ່າຍ, ແລະ ຟອມທີ່ມີຊ່ອງໂຫວ່ພຽງຈຸດດຽວກໍສາມາດປ່ຽນໜ້າທຳອິດຂອງເວັບໄຊໄດ້.
ສິ່ງທີ່ພວກເຮົາວາງໄວ້ທາງໜ້າເວັບໄຊຂອງທ່ານ
ສຳລັບຫ້ອງການສ່ວນຫຼາຍທີ່ມີໜຶ່ງ ຫຼື ສອງເວັບໄຊ ພວກເຮົາໃຊ້ຊັ້ນກັ່ນກອງເທິງ cloud ແບບ reverse-proxy ໄວ້ທາງໜ້າ, ແລະ ໃຊ້ firewall ທີ່ມີຢູ່ເປັນຊັ້ນທີສອງ. ທຣາຟຟິກທີ່ຍິງຖ້ວມເຂົ້າມາຈະຖືກຮັບໄວ້ຈາກຕົ້ນທາງ ແທນທີ່ຈະໄຫຼມາເຕັມສາຍອິນເຕີເນັດຂອງຫ້ອງການ. ວຽກ firewall ຂອງພວກເຮົາ ຢູ່ຝັ່ງເຊີບເວີຕົ້ນທາງ ຈະອະນຸຍາດສະເພາະ IP ຂອງ proxy ເທົ່ານັ້ນ. ຈາກນັ້ນ WAF ຈະກວດກາຄຳຂໍເພື່ອຫາຮູບແບບການໂຈມຕີ, bot ອັນຕະລາຍ ແລະ ການພະຍາຍາມເດົາລະຫັດຜ່ານ.
- ກົດລະບຽບ WAF ສຳລັບການໂຈມຕີເວັບທົ່ວໄປ, ພ້ອມທັງ virtual patching ລະຫວ່າງລໍຖ້າອັບເດດ plugin.
- ການໃຫ້ຄະແນນ bot, ໜ້າ challenge ແລະ ການປ້ອງກັນໜ້າ login ທີ່ຊ່ວຍຊະລໍການສຸ່ມລະຫັດຜ່ານ (credential stuffing).
- ການຈຳກັດອັດຕາການເອີ້ນໃຊ້ຕໍ່ URL (rate limit) ສຳລັບໜ້າຊອກຫາ, ຟອມ ແລະ ໜ້າ login.
- TLS ພ້ອມການບັງຄັບໃຊ້ HTTPS, ແລະ ລັອກເຊີບເວີຕົ້ນທາງໃຫ້ຮັບສະເພາະທຣາຟຟິກຈາກ proxy ເທົ່ານັ້ນ.
- ສົ່ງການແຈ້ງເຕືອນເຂົ້າ ລະບົບເຝົ້າລະວັງ ເພື່ອໃຫ້ເຫດການໂຈມຕີເຖິງມືວິສະວະກອນ, ບໍ່ແມ່ນຄ້າງຢູ່ໃນກ່ອງອີເມວທີ່ບໍ່ມີໃຜອ່ານ.
ການປັບແຕ່ງໂດຍບໍ່ບລັອກຜູ້ໃຊ້ງານຕົວຈິງ
ກົດລະບຽບທີ່ເຄັ່ງຄັດເກີນໄປຈະບລັອກຜູ້ເຂົ້າຊົມຕົວຈິງ, ພວກເຮົາຈຶ່ງເລີ່ມຈາກໂໝດບັນທຶກຂໍ້ມູນຢ່າງດຽວ (log-only) ກ່ອນສອງສາມມື້, ຕັ້ງຄ່າອະນຸຍາດ (allowlist) ໃຫ້ລະບົບຊຳລະເງິນ ແລະ ລະບົບຈອງ, ແລ້ວຈຶ່ງເປີດໂໝດບລັອກ. ສຳລັບຮ້ານຄ້າ ຫຼື ບໍລິສັດສ່ວນຫຼາຍທີ່ມີພະນັກງານຕ່ຳກວ່າ 50 ຄົນ ພວກເຮົາແຍກນະໂຍບາຍ login ເປັນສອງແບບຄື: ໜ້າ portal ຂອງພະນັກງານຈະໃຊ້ກົດລະບຽບທີ່ເຄັ່ງຄັດ, ສ່ວນໜ້າ login ສາທາລະນະຈະໃຊ້ເງື່ອນໄຂທີ່ຜ່ອນຜັນກວ່າພ້ອມໜ້າ challenge, ເພາະພະນັກງານສາມາດລອງໃໝ່ໄດ້ ແຕ່ລູກຄ້າທົ່ວໄປຈະປິດໜ້າເວັບໜີທັນທີ.
ເກີດຫຍັງຂຶ້ນໃນລະຫວ່າງຖືກໂຈມຕີ
ເມື່ອລະບົບກວດຈັບພົບຄວາມຜິດປົກກະຕິ, ທຣາຟຟິກຈະຖືກປ່ຽນເສັ້ນທາງໄປຫາຊັ້ນກັ່ນກອງ (scrubbing), ທຣາຟຟິກທີ່ໜ້າສົງໄສຈະພົບໜ້າ challenge, ແລະ ເຊີບເວີຕົ້ນທາງກໍຍັງສາມາດເຂົ້າໃຊ້ໄດ້ຜ່ານ proxy. ຫຼັງຈາກເຫດການສະຫງົບລົງ ທ່ານຈະໄດ້ຮັບລາຍງານສັ້ນໆວ່າ: ມີຫຍັງເຂົ້າມາແດ່, ບລັອກຫຍັງໄປແດ່ ແລະ ຄວນປັບແຕ່ງຈຸດໃດຕໍ່. ສົ່ງຊື່ໂດເມນຂອງທ່ານ ແລະ ພາບໜ້າຈໍຂໍ້ຄວາມຕອນເວັບລົ້ມຄັ້ງລ່າສຸດມາທາງ WhatsApp, ແລ້ວພວກເຮົາຈະບອກວ່າຄວນວາງລະບົບປ້ອງກັນໄວ້ຈຸດໃດ.
ສິ່ງທີ່ລະບົບເຮັດໄດ້
ກົດລະບຽບ WAF ແບບດູແລໃຫ້
ບລັອກການໂຈມຕີເວັບທົ່ວໄປ ເຊັ່ນ SQL injection ແລະ XSS ພ້ອມປ້ອງກັນຊ່ອງໂຫວ່ຂອງປລັກອິນເກົ່າຊົ່ວຄາວ.
ຄວບຄຸມບັອດ ແລະ ການຍິງລະຫັດຜ່ານ
ແຍກບັອດດີອອກຈາກບັອດຮ້າຍ, ຊະລໍການເດົາລະຫັດຜ່ານຢູ່ໜ້າລັອກອິນ ແລະ API.
ຈຳກັດອັດຕາການເຂົ້າໃຊ້ຕາມ URL
ຈຳກັດຈຳນວນຄັ້ງໃນການຊອກຫາ, ການສົ່ງຟອມ ແລະ ການລັອກອິນ ເຊັ່ນ ຊະລໍການລັອກອິນຫຼັງຈາກໃສ່ຜິດ 5 ຄັ້ງພາຍໃນ 10 ນາທີ.
ຮັບແຮງໂຈມຕີ DDoS ເທິງຄລາວ
ດູດຊັບທຣາຟຟິກທີ່ຖະຫຼົ່ມເຂົ້າມາຕັ້ງແຕ່ຕົ້ນທາງ ເພື່ອບໍ່ໃຫ້ມາອັດຕັນສາຍ ISP ເສັ້ນດຽວຂອງຫ້ອງການ.
ເຊື່ອງ IP ຕົ້ນທາງ ແລະ ບັງຄັບໃຊ້ TLS
ບັງຄັບໃຊ້ HTTPS, ເຊື່ອງ IP ແທ້ຂອງເຊີບເວີ ແລະ ລັອກໄຟຣ໌ວໍໃຫ້ຮັບສະເພາະ IP ຂອງ proxy.
ເກັບບັນທຶກ, ແຈ້ງເຕືອນ ແລະ ປັບຈູນ
ເກັບບັນທຶກ log, ແຈ້ງເຕືອນວິສະວະກອນ ແລະ ປັບຈູນກົດລະບຽບທຸກເດືອນເພື່ອຫຼຸດຜ່ອນການບລັອກຜິດພາດ (false positives).
ແບບລະບົບ ແລະ ຂັ້ນຕອນຕິດຕັ້ງ
- 1
ສຳຫຼວດຈຸດສ່ຽງ: ລວບລວມລາຍຊື່ໂດເມນ, API, ພອດທັລ VPN, DNS, IP ຕົ້ນທາງ ແລະ ຂະໜາດສາຍ ISP ປັດຈຸບັນ.
- 2
ວາງຊັ້ນປ້ອງກັນເທິງຄລາວໄວ້ທາງໜ້າ: ໃຫ້ DNS ແລ່ນຜ່ານລະບົບກັ່ນຕອງ (scrubbing) ແລະ reverse proxy ກ່ອນ.
- 3
ລັອກເຊີບເວີຕົ້ນທາງ: ຮັບສະເພາະ IP ຈາກ proxy, ບັງຄັບໃຊ້ HTTPS ແລະ ປິດພອດແອັດມິນທີ່ເປີດອອກສູ່ສາທາລະນະ.
- 4
ປັບຈູນດ້ວຍທຣາຟຟິກຕົວຈິງ: ເປີດໂໝດບັນທຶກຢ່າງດຽວ (log-only) ກ່ອນ, ຍົກເວັ້ນໜ້າຂັ້ນຕອນການຈອງ ແລ້ວຈຶ່ງເປີດການບລັອກ.
- 5
ສົ່ງມອບຄູ່ມື (runbook) ແລະ ລະບົບເຝົ້າລະວັງ: ຊ້ອມຂັ້ນຕອນຮັບມືເມື່ອຖືກໂຈມຕີ ແລະ ຕັ້ງຄ່າແຈ້ງເຕືອນຫາວິສະວະກອນ.
ໃຊ້ຢູ່ໃສໄດ້ແດ່
- ໂຮງແຮມ ແລະ ເຮືອນພັກ ທີ່ໜ້າຈອງຫ້ອງພັກລົ້ມໃນຊ່ວງຄົນໃຊ້ຫຼາຍ ຍ້ອນຖືກຍິງທຣາຟຟິກຖະຫຼົ່ມ ຫຼື ຖືກບັອດດຶງຂໍ້ມູນ.
- ຮ້ານຄ້າອອນລາຍ ທີ່ກະຕ່າສິນຄ້າ, ໜ້າຊຳລະເງິນ ແລະ ບັນຊີລູກຄ້າ ຖືກບັອດກວນ ແລະ ຖືກສຸ່ມເດົາລະຫັດຜ່ານ.
- ຫ້ອງການທີ່ມີພອດທັລ VPN ແລະ ເວັບເມລເປີດອອກອິນເຕີເນັດ ຊຶ່ງຖືກສະແກນ ແລະ ສຸ່ມເດົາລະຫັດຜ່ານຕະຫຼອດເວລາ.
- ທຸລະກິດທີ່ມີ API ເຊື່ອມຕໍ່ກັບແອັບມືຖື ທີ່ຕ້ອງການຈຳກັດການດຶງຂໍ້ມູນ (scraping) ແລະ ປ້ອງກັນການນຳເອົາຄີໄປໃຊ້ໃນທາງທີ່ຜິດ.
ຂະໜາດລະບົບທີ່ພົບເລື້ອຍ
ເວັບໄຊດຽວ
ເໝາະສຳລັບ: ເໝາະກັບເວັບໄຊທຸລະກິດແຫ່ງດຽວ ທີ່ຕ້ອງການການປ້ອງກັນພື້ນຖານຈາກການຍິງທຣາຟຟິກຖະຫຼົ່ມ (booter floods) ແລະ ການເດົາລະຫັດຜ່ານ.
- ຕິດຕັ້ງ WAF ແລະ ລະບົບກັ່ນຕອງທາງໜ້າໜຶ່ງເວັບໄຊ ພ້ອມຕັ້ງຄ່າ TLS.
- ລັອກເຊີບເວີຕົ້ນທາງ ພ້ອມຈຳກັດອັດຕາການເຂົ້າໃຊ້ຢູ່ໜ້າລັອກອິນ.
- ປັບຈູນໜຶ່ງຮອບ ແລະ ຄູ່ມືຮັບມືເຫດສຸກເສີນສະບັບສັ້ນ.
ຫຼາຍເວັບໄຊ ພ້ອມ API
ເໝາະສຳລັບ: ເໝາະກັບຮ້ານຄ້າທີ່ມີເວັບໄຊ, ໜ້າຈອງ ແລະ API ສຳລັບແອັບ ທີ່ຕ້ອງການຄວບຄຸມບັອດຢ່າງລະອຽດຂຶ້ນ.
- ກົດລະບຽບ WAF ແຍກຕາມ URL ພ້ອມຈຳກັດການດຶງຂໍ້ມູນ ແລະ ປ້ອງກັນການສຸ່ມລະຫັດຜ່ານຜ່ານ API.
- ແຍກນະໂຍບາຍລະຫວ່າງພອດທັລພະນັກງານ ແລະ ຜູ້ເຂົ້າຊົມທົ່ວໄປ.
- ເຝົ້າລະວັງ ແລະ ປັບຈູນລາຍເດືອນ ພ້ອມບົດລາຍງານການບລັອກ.
ຫຼາຍເວັບໄຊ ຄວາມສ່ຽງສູງ
ເໝາະສຳລັບ: ເໝາະກັບທຸລະກິດທີ່ມີຫຼາຍໂດເມນ ຊຶ່ງບໍ່ສາມາດຢຸດການຂາຍໄດ້ເມື່ອຖືກໂຈມຕີ.
- ປ້ອງກັນຫຼາຍໂດເມນ ແລະ ພອດທັລ VPN ພ້ອມແຜນຮັບມືການໂຈມຕີຂະໜາດໃຫຍ່.
- ຊ້ອມຂັ້ນຕອນຕາມຄູ່ມື (runbook) ຮ່ວມກັບທີມງານຂອງທ່ານ ແລະ ແຈ້ງເຕືອນວິສະວະກອນຕະຫຼອດ 24 ຊົ່ວໂມງ.
- ທົບທວນກົດລະບຽບລາຍເດືອນ ພ້ອມບົດສະຫຼຸບສັ້ນໆສຳລັບຜູ້ບໍລິຫານ.
ຍີ່ຫໍ້ທີ່ເຮົາຈັດຫາ & ຕິດຕັ້ງ
ຊື່ຍີ່ຫໍ້ ແລະ ເຄື່ອງໝາຍການຄ້າທັງໝົດ ເປັນກຳມະສິດຂອງເຈົ້າຂອງ. ການກ່າວເຖິງຊື່ ບໍ່ໄດ້ໝາຍຄວາມວ່າພວກເຮົາເປັນຕົວແທນຢ່າງເປັນທາງການ ເວັ້ນເສຍແຕ່ຈະລະບຸໄວ້ຢ່າງຊັດເຈນ. ພວກເຮົາຈັດຫາສິນຄ້າຜ່ານຊ່ອງທາງຈັດຈຳໜ່າຍທີ່ຖືກຕ້ອງ.
ຄຳຖາມທີ່ພົບເລື້ອຍ
ລະບົບນີ້ຈະຢຸດການໂຈມຕີໄດ້ທຸກຮູບແບບບໍ?
ບໍ່. ມັນຊ່ວຍຮັບແຮງໂຈມຕີທົ່ວໄປ ແລະ ບລັອກການໂຈມຕີເວັບທີ່ພົບເລື້ອຍ, ແຕ່ການໂຈມຕີຂະໜາດໃຫຍ່ ຫຼື ຊ່ອງໂຫວ່ໃໝ່ໆ ຍັງຕ້ອງອາໄສການອັບເດດແພັດຊ໌ ແລະ ການເຂົ້າແກ້ໄຂ. ພວກເຮົາຈະບອກທ່ານຢ່າງກົງໄປກົງມາວ່າຈຸດໃດຍັງມີຄວາມສ່ຽງເຫຼືອຢູ່.
ເປັນຫຍັງໄຟຣ໌ວໍຢູ່ຫ້ອງການຈຶ່ງບໍ່ພຽງພໍ?
ເພາະວ່າສາຍອິນເຕີເນັດ ISP ຈະເຕັມກ່ອນທີ່ທຣາຟຟິກຈະມາຮອດອຸປະກອນຢູ່ຫ້ອງການ. ຊັ້ນປ້ອງກັນເທິງຄລາວຈະດູດຊັບທຣາຟຟິກທີ່ຖະຫຼົ່ມເຂົ້າມາຕັ້ງແຕ່ຕົ້ນທາງ, ຈາກນັ້ນໄຟຣ໌ວໍຕົ້ນທາງຈຶ່ງຮັບສະເພາະທຣາຟຟິກທີ່ຜ່ານ proxy ເທົ່ານັ້ນ.
WAF ຈະບລັອກລູກຄ້າຕົວຈິງບໍ?
ອາດຈະບລັອກໄດ້ ຖ້າຕັ້ງກົດລະບຽບເຂັ້ມງວດຕັ້ງແຕ່ມື້ທຳອິດ. ພວກເຮົາຈຶ່ງເລີ່ມຈາກໂໝດບັນທຶກຢ່າງດຽວ (log-only), ຍົກເວັ້ນໜ້າຊຳລະເງິນ ແລະ ໜ້າຈອງ ແລ້ວຈຶ່ງເປີດການບລັອກ ພ້ອມທັງກວດກາການບລັອກຜິດພາດ (false positives) ທຸກເດືອນ.
ພວກເຮົາຕ້ອງກຽມຫຍັງໃຫ້ແດ່ເພື່ອເລີ່ມຕົ້ນ?
ຊື່ໂດເມນ, ສິດເຂົ້າໃຊ້ DNS ແລະ ໂຮສຕິ້ງ, ພາບໜ້າຈໍຕອນເກີດບັນຫາຄັ້ງລ່າສຸດ ແລະ ລາຍຊື່ໜ້າລັອກອິນກັບ API. ເທົ່ານີ້ກໍພຽງພໍສຳລັບການປະເມີນ ແລະ ວາງແຜນແລ້ວ.
ຄູ່ມືທີ່ກ່ຽວຂ້ອງ
ເລືອກ Firewall ໃຫ້ຖືກຂະໜາດ: UTM ກັບ NGFW ຕ່າງກັນແທ້ຢູ່ໃສ
ເປັນຫຍັງອິນເຕີເນັດຊ້າລົງຫຼັງຕິດ Firewall ໃໝ່, ຕົວເລກໃດໃນ Datasheet ທີ່ຄວນເບິ່ງ ແລະ ສິ່ງທີ່ຕ້ອງກວດກ່ອນຈ່າຍເງິນເມື່ອນຳເຂົ້າເຄື່ອງຈາກໄທມາລາວ.
ແຜນຕອບໂຕ້ເຫດການທາງໄຊເບີ ທີ່ໃຊ້ໄດ້ແທ້ຕອນ 2 ໂມງເຊົ້າ
ໂຄງສ້າງແຜນ 5–10 ໜ້າ ອີງຕາມ NIST SP 800-61, ໃຜເຮັດຫຍັງ, Playbook ສຳລັບບັນຊີ Email ຖືກຍຶດ ແລະ ວິທີຊ້ອມແຜນໃນສອງຊົ່ວໂມງ.
Vulnerability Assessment ຫຼື Penetration Test: ຄວນເຮັດອັນໃດກ່ອນ
ສອງບໍລິການທີ່ມັກຖືກຂາຍປົນກັນ. ຄວາມແຕກຕ່າງແທ້, ເປັນຫຍັງອົງກອນສ່ວນຫຼາຍຄວນເລີ່ມຈາກ VA, ວິທີກຳນົດຂອບເຂດ ແລະ ວິທີແຍກລາຍງານທີ່ດີອອກຈາກຜົນສະແກນທີ່ພິມອອກມາ.
ໂຊລູຊັນທີ່ກ່ຽວຂ້ອງ
ຄວາມປອດໄພໄຊເບີ
ສົ່ງແຜນຜັງອາຄານ ຫຼື ຮູບໜ້າງານສອງສາມຮູບມາໃຫ້ເຮົາ
ເຮົາຈະຖາມລາຍລະອຽດເພີ່ມ ແລ້ວສົ່ງແບບລະບົບເບື້ອງຕົ້ນໃຫ້. ປຶກສາຄັ້ງທຳອິດຟຣີ ເປັນພາສາລາວ, ໄທ ຫຼື ອັງກິດ ທາງ WhatsApp ຫຼື ເພຈ Facebook.