Bài viết này do AI tạo ra, có thể mắc sai sót.
Mốc 31,4 Tbps cho thấy kế hoạch chống DDoS không thể chỉ dựa vào băng thông Internet tại site. Lớp hấp thụ upstream, CDN/Anycast, scrubbing, rate limit và runbook chuyển hướng lưu lượng cần được kiểm thử trước sự cố. DDoS lớn không chỉ làm đầy đường truyền; nó còn có thể che giấu probing, credential stuffing hoặc thay đổi cấu hình độc hại.
Với tỷ lệ bot cao trong lượt đăng nhập theo số liệu Cloudflare, các hệ thống public nên tách rõ lưu lượng người dùng, automation hợp lệ và bot không mong muốn. Các tín hiệu hữu ích gồm hành vi phiên, tốc độ thử đăng nhập, fingerprint, IP reputation và bước xác thực tăng cường khi rủi ro cao.
MFA vẫn cần thiết, nhưng session token bị đánh cắp có thể cho kẻ tấn công đi thẳng vào phiên đã xác thực. Giảm rủi ro cần kết hợp thời gian sống phiên hợp lý, ràng buộc phiên theo thiết bị hoặc rủi ro, phát hiện đăng nhập bất thường, vô hiệu hóa token khi có dấu hiệu infostealer và hạn chế quyền theo nguyên tắc tối thiểu.
Đội vận hành nên chuẩn bị quy trình thu hồi phiên hàng loạt, kiểm tra audit log và xoay vòng credential khi phát hiện chiến dịch đánh cắp cookie/token. Đây là việc phải diễn tập trước, vì phản ứng chậm khiến MFA không còn nhiều giá trị sau khi token đã bị dùng.
Báo cáo mô tả xu hướng “living off the cloud”: đối thủ dùng các dịch vụ SaaS, IaaS và PaaS có uy tín để che giấu C2 hoặc phân phối nội dung độc hại. Vì lưu lượng đi qua nền tảng quen thuộc, chính sách chặn theo domain hoặc reputation dễ tạo điểm mù.
Kiểm soát egress nên dựa trên ngữ cảnh: ứng dụng nào được phép dùng dịch vụ nào, phương thức nào, khối lượng bao nhiêu và hành vi có phù hợp không. Proxy có log, DNS filtering, CASB/SSE, allowlist theo workload và giám sát API token giúp giảm vùng mù này.
Điểm đáng chú ý không nằm ở một kỹ thuật đơn lẻ. Báo cáo mô tả chuỗi tấn công kết hợp: bot tăng tốc dò quét, token giúp vượt qua bước đăng nhập, còn cloud hợp pháp tạo lớp ngụy trang cho hạ tầng điều khiển. Vì vậy vận hành mạng và bảo mật phải ghép telemetry, identity và egress thành cùng một bức tranh.
Tự động hóa là cần thiết khi tấn công diễn ra ở quy mô và tốc độ máy, nhưng cần có giới hạn quyền, log và cơ chế phê duyệt. Mục tiêu thực tế là giảm thời gian phát hiện và cô lập, không phải trao toàn bộ quyền thay đổi cho hệ thống tự động.
Cloudflare, Introducing the 2026 Cloudflare Threat Report, công bố tháng 7/2026. Bài viết công khai không chèn liên kết nguồn ngoài theo quy định PVYSTORE.
