Cloudflare DDoS Protection: Hiểu đúng để cấu hình Override hiệu quả
💣 DDoS là gì?
Tấn công từ chối dịch vụ phân tán (DDoS) xảy ra khi kẻ tấn công cố tình làm quá tải một máy chủ, dịch vụ hoặc mạng bằng lượng lớn traffic giả mạo — khiến hệ thống không còn tài nguyên để phục vụ người dùng thật. Điểm đặc trưng là tấn công đến từ nhiều nguồn cùng lúc (thường là botnet — mạng lưới thiết bị bị xâm nhập), bao gồm cả thiết bị IoT, máy tính cá nhân, máy chủ bị chiếm quyền điều khiển. Hãy hình dung như một vụ tắc nghẽn giao thông cố tình — hàng nghìn xe được dẫn vào cùng một con đường, khiến không ai có thể di chuyển đến đích.
DDoS tấn công vào layer 3, 4 và layer 7 của mô hình OSI. Một số kiểu tấn công phổ biến:
Layer 3/4
SYN Flood, UDP Flood, ACK Flood, ICMP Flood, Mirai Botnet
Layer 7
HTTP Flood, Slowloris Attack, HULK Attack, LOIC Attack
Reflection
DNS Amplification, WordPress Ping Attack, NTP Reflection
🔎 Nhận biết khi nào đang bị tấn công
Dấu hiệu rõ ràng nhất là trang web đột nhiên trở nên chậm hoặc không thể truy cập — nhưng đây cũng có thể là do traffic hợp lệ tăng đột biến, nên cần phân tích kỹ hơn. Các dấu hiệu cụ thể cần chú ý:
Lưu lượng truy cập đáng ngờ từ một địa chỉ IP hoặc dải IP cụ thể, đặc biệt khi số lượng request từ một nguồn vượt xa mức bình thường
Lượng lớn traffic đến từ người dùng có cùng hồ sơ hành vi — cùng loại thiết bị, vị trí địa lý, phiên bản trình duyệt
Số lượng yêu cầu tăng vọt không rõ nguyên nhân đến một trang hoặc endpoint cụ thể
Mô hình traffic bất thường — tăng đột biến theo chu kỳ đều đặn (ví dụ cứ mỗi 10 phút lại có một đợt tăng) hoặc xuất hiện vào giờ thấp điểm
🛡️ Cloudflare DDoS Protection hoạt động như thế nào?
Cloudflare tự động phát hiện và giảm thiểu các cuộc tấn công DDoS thông qua các hệ thống tự động — không cần can thiệp thủ công. Cơ chế này dựa trên các managed ruleset (bộ quy tắc được Cloudflare quản lý và cập nhật liên tục), phân tích traffic theo thời gian thực để sinh ra signature mới ngay khi phát hiện mẫu tấn công. Bạn có thể tùy chỉnh hành vi của các ruleset này thông qua cơ chế Override — ghi đè một số cài đặt mặc định mà không làm mất đi lớp bảo vệ tự động.
📦 3 tính năng chính của Cloudflare DDoS Protection
1️⃣ Managed Rulesets — có trên tất cả gói
Bộ quy tắc do Cloudflare quản lý, tự động bảo vệ chống lại các loại tấn công DDoS ở layer 3/4 (mạng/vận chuyển) và layer 7 (ứng dụng). Hai ruleset chính:
- HTTP DDoS Attack Protection: chặn HTTP floods, amplification HTTP attacks, reflection HTTP attacks
- Network-layer DDoS Attack Protection: chặn SYN floods, UDP reflection attacks, SSL/TLS-based DDoS
2️⃣ Adaptive DDoS Protection — Enterprise
Tính năng nâng cao dành riêng cho gói Enterprise, học hỏi từ hành vi traffic thực tế của từng zone để phát hiện và phản ứng với các cuộc tấn công tinh vi hơn mà signature tĩnh có thể bỏ qua. Bao gồm 4 loại bảo vệ thích ứng:
- For Origins: phát hiện traffic lệch khỏi hồ sơ lỗi gốc của trang web
- For User-Agents: phát hiện traffic lệch khỏi các User Agent hàng đầu (hồ sơ được xây dựng từ toàn bộ mạng Cloudflare)
- For Locations: phát hiện traffic bất thường từ các quốc gia không nằm trong phân bổ địa lý thông thường của trang — ví dụ trang chủ yếu phục vụ Việt Nam nhưng đột nhiên nhận nhiều traffic từ Ukraine
- For Protocols: phát hiện traffic lệch khỏi hồ sơ giao thức IP bình thường
3️⃣ Advanced TCP Protection — Magic Transit
Công cụ kiểm tra TCP có trạng thái, dùng để phát hiện và giảm thiểu các cuộc tấn công TCP tinh vi kiểu out-of-state như randomized và spoofed ACK floods, SYN floods và SYN-ACK floods. Đặc điểm nổi bật là có thể theo dõi các kết nối TCP ngay cả khi chúng di chuyển giữa các trung tâm dữ liệu của Cloudflare, bảo vệ đồng thời cả tấn công nhắm vào một IP/port cụ thể lẫn tấn công rộng nhắm vào nhiều IP trong cùng một prefix.
📊 So sánh tính năng DDoS giữa các gói
Cloudflare cung cấp Unmetered DDoS protection — cam kết không tính phí thêm cho traffic DDoS tấn công, bất kể quy mô. Đây là điểm khác biệt quan trọng so với nhiều nhà cung cấp khác vốn áp dụng “surge pricing” khi bị tấn công (tính tiền nhiều hơn chính xác vào lúc khách hàng đang gặp sự cố nhất).
| Tính năng | Free | Pro | Business | Enterprise | Enterprise + Add-on |
|---|---|---|---|---|---|
| Standard Unmetered DDoS (L3-7) | ✓ | ✓ | ✓ | ✓ | ✓ |
| HTTP DDoS Attack Protection | ✓ | ✓ | ✓ | ✓ | ✓ |
| Network-layer (L3/4) DDoS Protection | ✓ | ✓ | ✓ | ✓ | ✓ |
| Managed rules customization | ✓ | ✓ | ✓ | Log only | Expression fields + multi-rule |
| Proactive false positive detection | ✗ | ✗ | ✓ | ✓ | ✓ |
| Adaptive DDoS Protection | Error rules only | Error rules only | Error rules only | Error rules only | All adaptive rules |
| Traffic profiling signals | Error rates | Error rates | Error rates + historical | Error rates + historical | Full: country, UA, query string, ML scores |
💡 Dù hệ thống tự động hoạt động rất tốt, Cloudflare vẫn cho phép khách hàng cấu hình Override để ghi đè hành động và độ nhạy cảm mặc định — giúp tinh chỉnh bảo vệ phù hợp với đặc thù ứng dụng và giảm thiểu false positive.
⚙️ Cấu hình DDoS Override từng bước
Bước 1 — Chọn account và website
Đăng nhập dash.cloudflare.com, chọn đúng tài khoản và domain cần cấu hình.
Bước 2 — Vào Security → DDoS
Trang này hiển thị 2 mục chính: HTTP DDoS attack protection (ruleset tự động chặn HTTP floods, amplification, reflection attacks) và Network-layer and SSL/TLS DDoS attack protection. HTTP DDoS protection luôn được bật — bạn chỉ có thể tùy chỉnh hành vi bằng cách tạo override.
Bước 3 — Bấm “Deploy a DDoS override”
Tại mục HTTP DDoS attack protection, bấm nút Deploy a DDoS override ở góc phải để mở form tạo override mới.
Bước 4 — Đặt tên override
Nhập tên gợi nhớ vào Override name. Trang Configure override cũng hiển thị Override scope — mặc định là toàn bộ request đến zone hiện tại (“All incoming requests to your-domain.com”).
Bước 5 (Enterprise) — Điều chỉnh Override scope nếu cần
Với khách hàng Enterprise có Advanced DDoS Protection, có thể thu hẹp phạm vi áp dụng override thay vì áp dụng cho toàn zone. Bấm Edit scope và khai báo custom filter expression — tương tự cách viết biểu thức trong WAF Custom Rules — để chỉ định đúng nhóm request cần xử lý đặc biệt.
Bước 6 — Cấu hình Ruleset và Rule override
Phần cốt lõi của override, gồm 2 cấp độ có thể kết hợp trên cùng một cấu hình:
6.1 — Ghi đè toàn bộ ruleset (Ruleset configuration)
Áp dụng một hành động hoặc độ nhạy cảm thống nhất cho tất cả rule trong bộ quy tắc. Hai thông số cần cấu hình:
Ruleset action — 5 lựa chọn:
- Default: Cloudflare tự cân chỉnh action dựa theo từng rule con trong DDoS L7 ruleset
- Block: chặn toàn bộ traffic thỏa điều kiện DDoS
- Managed Challenge: giảm tải CAPTCHA — Cloudflare quyết định loại thử thách phù hợp
- Interactive Challenge: đảm bảo người truy cập là con người, không phải bot
- Log: chỉ ghi log, không chặn — xem lại tại Security Events
Ruleset sensitivity — 5 mức:
- High: nhạy cảm nhất — dễ kích hoạt nhất, Cloudflare lọc traffic gắt gao hơn
- Medium: cân bằng giữa bảo vệ và false positive
- Low: ít nhạy cảm hơn
- Essentially Off: gần như tắt
- Default: theo mặc định của Cloudflare cho từng rule
Mức nhạy cảm càng cao → action càng dễ xảy ra → Cloudflare đánh giá traffic gắt gao hơn.
6.2 — Ghi đè từng rule cụ thể (Rule configuration)
Khi muốn tinh chỉnh riêng một số rule thay vì áp dụng đồng loạt, bấm Browse rules để mở danh sách toàn bộ rule trong ruleset. Có thể tìm kiếm theo từ khóa hoặc lọc theo Tags (ví dụ: botnets, unusual-requests, read-only, generic, advanced).
- Chọn từng rule và đổi Action hoặc Sensitivity riêng lẻ
- Tick nhiều rule rồi bấm Set action / Set sensitivity để cập nhật hàng loạt
- Bấm Select all X rules để áp dụng cho toàn bộ kết quả lọc
- Bấm Next để xem lại danh sách thay đổi trước khi lưu
Lưu ý: cấu hình theo tag hoặc rule riêng lẻ có độ ưu tiên cao hơn cấu hình ruleset tổng.
Bước 7 — Lưu lại cấu hình
Bấm Save để hoàn tất. Lưu ý: “Ruleset overrides will not affect read-only rules” — các rule có nhãn read-only trong danh sách sẽ không bị ảnh hưởng bởi cấu hình ghi đè này.
💡 Tổng kết nhanh từ Next Step
- HTTP DDoS Protection luôn bật — Override chỉ để tinh chỉnh hành vi, không phải để bật/tắt bảo vệ
- Bắt đầu với Ruleset action Log để quan sát traffic bị gắn cờ trước khi chuyển sang Block
- Độ nhạy cảm High giúp bắt nhiều tấn công hơn nhưng cũng tăng nguy cơ false positive — cân bằng theo đặc thù traffic của ứng dụng
- Cấu hình theo rule/tag riêng lẻ luôn có ưu tiên cao hơn cấu hình ruleset tổng
- Kết hợp DDoS Protection với Rate Limiting Rules (bài trước) để bảo vệ nhiều tầng: DDoS chặn lượng lớn traffic bất thường, Rate Limiting kiểm soát tần suất từng IP
- Sau khi cấu hình, kiểm tra lại tại Security → Events để xác nhận override đang hoạt động đúng và không gây false positive
Cần hỗ trợ cấu hình DDoS Protection?
Đội ngũ Next Step hỗ trợ đánh giá mức độ bảo vệ phù hợp và cấu hình DDoS Override theo đặc thù traffic của từng hệ thống — liên hệ (+84) 933 810 688 hoặc [email protected].