NETSCOUT công bố bảo vệ DDoS phía sau CDN: kiến trúc cần kiểm chứng gì?

NETSCOUT phát hành thông cáo ngày 20/08/2026. Nguồn được NetVali kiểm tra lúc 05:28 ngày 23/08/2026 (UTC+7). Hãng cho biết AED được bổ sung TLS transparent proxy để kiểm tra application traffic, xác định nguồn từ application header, áp countermeasure theo service và bảo vệ cả đường traffic qua CDN lẫn đường đi trực tiếp tới origin.

NETSCOUT cũng tuyên bố giải pháp có thể chặn nguồn độc hại chính xác hơn mà vẫn giữ truy cập hợp lệ từ người dùng dùng chung hạ tầng CDN. Đây là tuyên bố sản phẩm của hãng; thông cáo không phải báo cáo benchmark độc lập và không cung cấp đủ topology, traffic mix, phiên bản hay số liệu latency/throughput để suy rộng.

Điểm mới là đưa quyết định mitigation gần protected service trong khi vẫn xử lý context của traffic qua shared CDN. Vấn đề kỹ thuật ở đây không phải “CDN có hoặc không chống DDoS”, mà là có thể còn application/API/authentication path, uncached request hoặc origin exposure ngoài lớp bảo vệ chung.

Việc tin application header để quy nguồn cần trust boundary rõ: CDN nào được phép ghi header, header nào bị strip/overwrite, đường direct có thể giả mạo hay không và TLS termination ở đâu. Chính các điều kiện này phải trở thành test case.

Kiến trúc cần lập path inventory: DNS/CDN/WAF/proxy, origin VIP, direct IP, API/auth endpoint và management path. Với mỗi đường, ghi TLS termination, source address/header preservation, certificate/key handling, health/fail-open behavior và nơi áp mitigation.

Đội kiểm thử phải tạo traffic hợp lệ/độc hại ở mức được phép, qua nhiều CDN egress và direct path; đo detection/mitigation, false positive, origin resource, availability và latency. Không thử DDoS trên Internet hoặc production nếu không có ủy quyền, coordination và guardrail.

• Đội security/network vận hành CDN, WAF, reverse proxy và DDoS defense.
• Đội ứng dụng có API, authentication hoặc uncached dynamic service.
• SOC/NOC cần phân biệt nguồn CDN proxy với client/source logic.
• PKI/key management chịu trách nhiệm TLS termination và certificate lifecycle.
• SRE/business owner quản lý availability, latency và false-positive budget.

Thông cáo không chứng minh AED chặn được mọi loại application-layer DDoS, không tạo latency bằng không và không thay thế mọi năng lực CDN/WAF. Không có dữ liệu đủ để kết luận throughput, concurrent TLS session, cipher coverage, detection accuracy hoặc false-positive rate trong môi trường cụ thể.

“True source” từ header chỉ đáng tin trong trust model đúng. Bài này không xác nhận licensing, model/appliance, release availability hay interoperability. Các thông tin đó phải kiểm tra với datasheet/release note và bản đang dùng trước khi đăng hoặc triển khai.

• [ ] Vẽ đủ CDN-mediated, bypass/direct và management path.
• [ ] Ghi DNS/origin exposure, TLS termination và trust boundary.
• [ ] Xác định header nguồn được CDN ghi và proxy tin cậy.
• [ ] Lập traffic corpus hợp lệ, near-miss và attack-like được phép.
• [ ] Chốt KPI availability, p99 latency, false positive và origin load.
• [ ] Thử CDN egress/source mix mà không block cả shared range.
• [ ] Kiểm tra fail-open/fail-close, HA và rollback.
• [ ] Đối soát packet/log/CDN/origin trên cùng timeline.
• [ ] Xác nhận model, version, license và capacity với hãng.

Tình huống · KPI · Bằng chứng Baseline qua CDN · Latency/throughput · Client, proxy, origin log Direct-to-origin · Exposure/mitigation · Flow/capture Shared CDN egress · False positive · Legitimate transaction ID Header spoof · Trust enforcement · Header rewrite/drop log TLS profile mix · Handshake/error/p99 · TLS/session metrics App/API resource stress · Origin saturation · CPU/queue/error HA/failure · Recovery, packet loss · T0–T4 timeline

Chạy baseline không mitigation và policy monitor-only trước khi block nếu quy trình cho phép. Tăng tải từng bậc, giữ hard stop để không ảnh hưởng hệ thống ngoài phạm vi. Báo cả traffic bị chặn đúng, traffic hợp lệ bị ảnh hưởng và residual path chưa được bảo vệ.

• CDN-mediated traffic: Traffic tới dịch vụ qua CDN proxy/edge.
• Direct-to-origin: Traffic bỏ qua CDN và tới origin trực tiếp.
• Source attribution: Quy nguồn theo tín hiệu mạng/application trong trust model.
• Shared egress: Nhiều người dùng dùng chung địa chỉ ra của CDN/proxy.
• False positive: Traffic hợp lệ bị nhận nhầm và chặn.
• Mitigation: Hành động giảm/chặn traffic gây hại.