Bài viết này do AI tạo ra, tổng hợp từ báo cáo DDoS Threat Report Q3/2026 của Cloudflare phát hành ngày 29/10/2026. Dữ liệu cho thấy bài toán phòng thủ mạng đang đổi từ chống vài đợt khổng lồ sang xử lý số lượng cực lớn các cuộc tấn công ngắn, phân tán và lặp lại.
Trong quý III/2026, Cloudflare cho biết đã tự động giảm thiểu 18,2 triệu cuộc tấn công DDoS lớp mạng và 14,4 nghìn tỷ HTTP request DDoS. Trung bình có khoảng 8.226 cuộc tấn công lớp mạng mỗi giờ, tương đương một cuộc mỗi 0,44 giây. Tổng lưu lượng được giảm thiểu là 272,6 PB ở lớp mạng và 95,1 PB ở lớp HTTP.
Số cuộc tấn công vượt 1 Tbps giảm từ 805 trong Q2 xuống 251 trong Q3, gần 69%. Cloudflare liên hệ xu hướng này với chiến dịch thực thi pháp luật đầu năm nhằm vào bốn botnet IoT lớn. Nhưng đây không phải tín hiệu để giảm cảnh giác: tổng số DDoS lớp mạng vẫn tăng 208% so với cùng kỳ 2025.
Đáng chú ý, 96% cuộc tấn công kết thúc trong chưa tới 10 phút và 98% dưới 1 Gbps. Những con số này có thể không lớn với backbone, nhưng đủ làm nghẽn uplink nhỏ, firewall, NAT table, CPU router hoặc ứng dụng không có lớp hấp thụ traffic phía trước.
CLDAP flood, từng tăng mạnh nửa đầu năm, giảm 99,5% theo quý và chỉ còn 0,05% số cuộc tấn công lớp mạng. Trong khi đó DNS amplification tăng 215%, lên 3,43%; UDP flood tăng từ 14,06% lên 31,31%.
Điểm vận hành quan trọng: không nên chỉ tối ưu rule theo vector từng nổi bật. Cần duy trì chống IP spoofing, kiểm soát UDP bất thường, chống open resolver và telemetry đủ chi tiết để nhận diện thay đổi về cổng, packet rate, entropy nguồn/đích và tỷ lệ response bất thường.
Cloudflare ghi nhận traffic bị giảm thiểu gắn nhãn Mirai đạt đỉnh 57,23 PB trong tháng 8, chiếm 46,5% toàn bộ byte lớp mạng trong quý. Bốn ngày riêng lẻ vượt 3 PB. Đợt kéo dài nhất tồn tại 49,7 giờ, từ 19 đến 21/8.
Vì vậy, giảm số “siêu tấn công” không đồng nghĩa botnet IoT đã hết nguy cơ. Nhà mạng, hosting và đội vận hành doanh nghiệp cần theo dõi cả attack duration lẫn packet rate; một chiến dịch dài có thể gây chi phí transit, làm cạn tài nguyên stateful và tạo mệt mỏi cho đội trực.
Báo cáo cho thấy mô hình DDoS hiện nay thiên về “bầy đàn”: nhiều đợt ngắn, dưới ngưỡng băng thông lớn, nhưng đủ nhanh để vượt qua phản ứng thủ công. Đây là lý do mạng cần detection và mitigation tự động, thay vì đợi con người xác thực từng alert. Sự dịch chuyển từ CLDAP sang DNS amplification và UDP flood cũng nhắc đội vận hành rằng rule tĩnh theo một vector sẽ nhanh lỗi thời. Năng lực phòng thủ cần dựa trên hành vi traffic, kiểm soát spoofing và dự phòng upstream, không chỉ dựa vào danh sách IP chặn.
Cloudflare Blog, “Cloudflare DDoS Threat Report 2026 Q3: More swarms, fewer giants”, 29/10/2026. Nội dung công khai không đặt liên kết nguồn ngoài.
