DDoS là gì? Cách chống
tấn công DDoS cho doanh nghiệp
Việt Nam 2025

1. DDoS là gì? Phân biệt DoS và DDoS

Trước khi hiểu DDoS, cần phân biệt với DoS — tiền thân và họ hàng gần của nó:

DDoS đặc biệt nguy hiểm vì lưu lượng tấn công trông giống hệt traffic bình thường — đến từ hàng triệu IP "sạch" (thiết bị người dùng bình thường bị kiểm soát mà không hay biết). Không thể đơn giản chặn toàn bộ IP nguồn mà không ảnh hưởng người dùng thật.

2. DDoS hoạt động như thế nào?

Một cuộc tấn công DDoS điển hình diễn ra qua 4 giai đoạn:

Giai đoạn 1: Xây dựng Botnet

Kẻ tấn công lây nhiễm malware (thường qua email phishing, lỗ hổng phần mềm, hoặc thiết bị IoT mật khẩu yếu) lên hàng nghìn đến hàng triệu thiết bị trên toàn thế giới. Các thiết bị này trở thành "zombie" — hoạt động bình thường với chủ sở hữu nhưng âm thầm chờ lệnh từ C&C server (Command & Control).

Giai đoạn 2: Lên kế hoạch và trinh sát

Kẻ tấn công xác định mục tiêu, nghiên cứu hạ tầng mạng, tìm điểm yếu (giới hạn băng thông, số kết nối tối đa, endpoint không được bảo vệ…). Một số vụ DDoS còn kết hợp do thám để tối ưu hóa vector tấn công.

Giai đoạn 3: Phát lệnh tấn công

Từ C&C server, kẻ tấn công ra lệnh cho toàn bộ botnet đồng loạt gửi yêu cầu đến mục tiêu. Lưu lượng tăng từ bình thường lên đỉnh trong vài giây — quá nhanh để hệ thống thông thường phản ứng kịp.

Giai đoạn 4: Mục tiêu sụp đổ

Băng thông mạng bão hòa, CPU/RAM máy chủ bị ngốn hết, hàng đợi kết nối tràn — kết quả là website/service không thể phục vụ người dùng hợp lệ, hiển thị lỗi timeout hoặc hoàn toàn không truy cập được.

3. Các loại tấn công DDoS phổ biến nhất 2025

DDoS không phải một loại tấn công duy nhất — có hàng chục vector khác nhau, phân theo 3 tầng:

Tầng 3/4 — Network & Transport Layer

Tầng 7 — Application Layer (HTTP Flood)

Nguy hiểm hơn vì lưu lượng trông hoàn toàn hợp lệ — là các HTTP GET/POST request thực. Không thể chặn bằng firewall truyền thống. Cần WAF thông minh và bot detection.

4. Thiệt hại thực tế: DDoS tại Việt Nam

Việt Nam liên tục nằm trong top 10 quốc gia bị tấn công DDoS nhiều nhất châu Á. Theo VNCERT/CC và các báo cáo bảo mật:

Case study 1: Nền tảng game online bị tấn công trong giải đấu

Một nền tảng game online Việt Nam với ~500.000 người chơi hàng ngày bị tấn công DDoS 3.2 Tbps ngay khi giải đấu lớn bắt đầu. Máy chủ sập trong 4 tiếng, ước tính thiệt hại trực tiếp: hơn 2 tỷ đồng (doanh thu mất + bồi thường người chơi) — chưa kể thiệt hại thương hiệu và người chơi bỏ sang platform khác.

Case study 2: Sàn TMĐT bị tấn công ngày flash sale

Một sàn thương mại điện tử trong nước bị HTTP flood tầng 7 ngay khi chương trình 11.11 bắt đầu. Tấn công không đủ lớn để sập server nhưng khiến tốc độ tải trang tăng từ 1.5 giây lên 18 giây — tỷ lệ bỏ giỏ hàng tăng 340%, doanh thu ngày đó giảm ~60% so với kế hoạch.

5. 7 cách chống DDoS hiệu quả

✅ Cách 1: Triển khai CDN với DDoS Scrubbing

Đây là biện pháp hiệu quả nhất với tấn công volumetric (tầng 3/4). CDN phân tán lưu lượng tấn công ra hàng nghìn PoP trên toàn cầu — không một điểm nào bị quá tải. Scrubbing center lọc traffic độc hại trước khi đến origin server.

Shieldix hấp thụ được 15 Tbps — đủ để xử lý ngay cả các cuộc tấn công lớn nhất được ghi nhận tại Việt Nam.

✅ Cách 2: WAF — Chặn DDoS tầng 7

WAF (Web Application Firewall) phân tích từng HTTP request và áp dụng các rule để phân biệt traffic hợp lệ với attack traffic. Khi phát hiện pattern bất thường (quá nhiều request từ 1 IP, request đến endpoint nhạy cảm, user-agent lạ…), WAF tự động chặn. Đọc thêm: WAF là gì và cách hoạt động.

✅ Cách 3: Rate Limiting thông minh

Giới hạn số request mỗi IP có thể gửi trong một khoảng thời gian. Quan trọng là cài đặt ngưỡng thông minh — đủ chặt để chặn bot nhưng đủ rộng để không ảnh hưởng người dùng thật. Rate limiting hiệu quả nhất khi kết hợp với bot detection.

✅ Cách 4: Anycast Routing

Kỹ thuật định tuyến mạng phân tán một địa chỉ IP duy nhất ra nhiều data center trên thế giới. Khi bị tấn công, lưu lượng tự động được phân tán và hấp thụ bởi toàn bộ mạng lưới thay vì đổ vào một điểm duy nhất.

✅ Cách 5: BGP Blackholing và Traffic Diversion

Trong trường hợp tấn công cực lớn, có thể tạm thời "đen hóa" (blackhole) lưu lượng đến một IP nhất định ở tầng BGP — toàn bộ traffic đến IP đó bị hủy tại router ISP trước khi vào data center. Biện pháp này làm ngắt cả traffic hợp lệ nhưng bảo vệ phần còn lại của hạ tầng.

✅ Cách 6: Giám sát và phản ứng 24/7

Công cụ giám sát real-time phát hiện sự tăng bất thường của traffic, kích hoạt alert cho đội ngũ security. Thời gian phát hiện và phản ứng nhanh (MTTD/MTTR) quyết định mức thiệt hại. Mỗi phút chậm = thêm hàng triệu đồng thiệt hại.

✅ Cách 7: Kiến trúc "Defense in Depth"

Không có biện pháp đơn lẻ nào đủ tốt cho mọi loại tấn công. Kiến trúc bảo vệ nhiều lớp (defense in depth) kết hợp CDN + WAF + Rate Limiting + DDoS Scrubbing + Monitoring là cách duy nhất để bảo vệ toàn diện:

6. DDoS và WAF: Không thể thay thế nhau

Một lầm tưởng phổ biến là "có WAF rồi không cần DDoS protection" — hoặc ngược lại. Thực tế, hai công cụ này bảo vệ ở tầng khác nhau và bổ trợ cho nhau:

7. Dấu hiệu nhận biết đang bị tấn công DDoS

Nhận biết sớm giúp giảm thiệt hại đáng kể. Các dấu hiệu cần chú ý:

• Tốc độ trang đột ngột giảm mạnh — không rõ nguyên nhân, không do deploy mới
• Một hoặc nhiều URL cụ thể không phản hồi — đặc biệt là trang thanh toán, đăng nhập
• Băng thông đột ngột tăng vọt trong dashboard hosting/CDN
• Số kết nối đến server tăng bất thường — gấp 10–100 lần bình thường
• Log server xuất hiện hàng triệu request từ cùng một dải IP
• CPU/RAM server đạt 100% mà không có lý do từ ứng dụng
• Alert từ uptime monitoring tool báo site down

8. Kế hoạch ứng phó DDoS — làm gì khi bị tấn công?

Khi phát hiện đang bị tấn công, thực hiện theo thứ tự:

1. Xác nhận: Kiểm tra log, dashboard CDN, traffic graph — xác định đây là DDoS hay sự cố khác
2. Thông báo nội bộ: Alert đội ngũ kỹ thuật, management; kích hoạt incident response plan
3. Kích hoạt DDoS mitigation: Bật "Under Attack Mode" trên CDN/WAF (nếu dùng Shieldix, gọi hotline 24/7)
4. Phân loại tấn công: Volumetric hay L7? Để áp dụng đúng biện pháp đối phó
5. Giám sát liên tục: Theo dõi hiệu quả mitigation, điều chỉnh rule nếu cần
6. Ghi lại bằng chứng: Log, pcap, screenshot — phục vụ báo cáo và cải thiện sau này
7. Post-incident review: Sau khi yên, phân tích nguyên nhân và vá lỗ hổng

9. Kết luận

DDoS không còn là mối đe dọa chỉ dành cho các tập đoàn lớn. Với chi phí thuê botnet ngày càng rẻ (thậm chí dưới $10/giờ trên dark web), bất kỳ doanh nghiệp nào cũng có thể là mục tiêu — đặc biệt trong các ngành game, TMĐT, tài chính và truyền thông.

Đầu tư vào bảo vệ DDoS không phải chi phí, mà là bảo hiểm nghiệp vụ. Chi phí 1 ngày downtime thường cao gấp nhiều lần chi phí 1 năm bảo vệ.

Tìm hiểu thêm về CDN và cách CDN tích hợp DDoS protection, hay khám phá WAF là gì để hiểu rõ hơn về bức tranh bảo mật toàn diện.