Những ghi chép, góc nhìn và điều thú vị đáng chia sẻ.https://cloudsecop.net/https://cloudsecop.net/blog/wildebeest-mastodon-on-cloudflare/https://cloudsecop.net/blog/wildebeest-mastodon-on-cloudflare/Wildebeest = ActivityPub server tương thích Mastodon, chạy entirely trên Workers + D1 + R2 + KV. 1 Worker thay 10 service Mastodon truyền thống. $0-5/tháng vs $50-200 VPS.Sun, 22 Mar 2026 00:00:00 GMTCloudflareWorkersD1R2ActivityPubSelf-hostKhaVanhttps://cloudsecop.net/blog/vibesdk-cloudflare-ai-coding-platform/https://cloudsecop.net/blog/vibesdk-cloudflare-ai-coding-platform/VibeSDK = open-source vibe coding platform (v0/Bolt/Lovable clone). Workers + Workers AI + AI Gateway + Containers + R2 + D1. AI Gateway cache cắt 60% LLM cost. Self-host wins về privacy.Sun, 15 Feb 2026 00:00:00 GMTCloudflareWorkersAI AgentsDeveloper ToolsSelf-hostKhaVanhttps://cloudsecop.net/blog/aws-remote-swe-agents-strands/https://cloudsecop.net/blog/aws-remote-swe-agents-strands/AWS Strands Agents + Bedrock AgentCore cho autonomous SWE agent. GitHub issue → PR. Threat model, IAM blast radius, audit. So sánh Copilot Workspace và Devin.Mon, 12 Jan 2026 00:00:00 GMTAWSBedrockAI AgentsDevOpsCloud SecurityKhaVanhttps://cloudsecop.net/blog/migration-aws-to-cloudflare/https://cloudsecop.net/blog/migration-aws-to-cloudflare/Playbook migrate production từ AWS (Lambda, DynamoDB, RDS, S3, SQS, ElastiCache) sang Cloudflare: mapping primitive, 3 chiến lược, data migration, cutover, rollback, 10 pitfall.Thu, 01 Jan 2026 00:00:00 GMTCloudflareCloudflare DeveloperMigrationAWSServerlessKhaVanhttps://cloudsecop.net/blog/cost-model-production/https://cloudsecop.net/blog/cost-model-production/Pricing từng primitive Cloudflare (Workers, D1, KV, R2, Queues, DOs, Vectorize, Workers AI), breakpoint, so sánh AWS, 3 scenario: blog, SaaS 10k user, app 100M req/tháng.Wed, 24 Dec 2025 00:00:00 GMTCloudflareCloudflare DeveloperCostAWSPricingKhaVanhttps://cloudsecop.net/blog/secrets-csp-bot-management/https://cloudsecop.net/blog/secrets-csp-bot-management/Defense-in-depth cho Cloudflare Worker: WAF + Bot Management, Turnstile, Access JWT, secret management, CSP/HSTS, 4 pattern auth, validation Zod, và anti-pattern cần tránh.Wed, 17 Dec 2025 00:00:00 GMTCloudflareCloudflare DeveloperSecurityCSPBot ManagementKhaVanhttps://cloudsecop.net/blog/logs-analytics-tail-workers/https://cloudsecop.net/blog/logs-analytics-tail-workers/4 tầng observability Cloudflare: Workers Logs (retention 3 ngày), Tail Workers (realtime), Logpush (batch tới R2/SIEM), Analytics Engine. Structured logging, alert, debug prod.Tue, 09 Dec 2025 00:00:00 GMTCloudflareCloudflare DeveloperObservabilityLogsAnalytics EngineKhaVanhttps://cloudsecop.net/blog/agentic-inbox-self-host-email/https://cloudsecop.net/blog/agentic-inbox-self-host-email/Tự host email AI assistant bằng Agentic Inbox: IMAP polling Worker, R2 attachment, Workers AI classify, D1 thread state, RBAC chống prompt injection. $5/tháng vs Superhuman $30.Mon, 08 Dec 2025 00:00:00 GMTCloudflareWorkersAI AgentsEmailSelf-hostKhaVanhttps://cloudsecop.net/blog/stream-images-media/https://cloudsecop.net/blog/stream-images-media/3 cách xử lý media của Cloudflare: Stream cho video (HLS/DASH), Images cho upload-transform-deliver, Image Resizing / cf.image. Pipeline, giá, responsive, OG động.Mon, 01 Dec 2025 00:00:00 GMTCloudflareCloudflare DeveloperStreamImagesMediaKhaVanhttps://cloudsecop.net/blog/mcp-server-cloudflare-vs-bedrock-agentcore/https://cloudsecop.net/blog/mcp-server-cloudflare-vs-bedrock-agentcore/So sánh MCP server Cloudflare (Workers + R2/D1/KV, OAuth) với AWS Bedrock AgentCore (IAM, dài-hạn). Latency, cost, auth, kịch bản dùng — và tôi chọn cái nào.Sun, 30 Nov 2025 00:00:00 GMTCloudflareWorkersAWSMCPAI AgentsKhaVanhttps://cloudsecop.net/blog/durable-objects-realtime/https://cloudsecop.net/blog/durable-objects-realtime/Durable Object là single-writer coordination của Cloudflare: 1 roomId = 1 instance, WebSocket hibernation, storage persistent. 6 pattern, API cốt lõi, và khi nào DO là quá mức.Mon, 24 Nov 2025 00:00:00 GMTCloudflareCloudflare DeveloperDurable ObjectsWebSocketRealtimeKhaVanhttps://cloudsecop.net/blog/vectorize-rag-pattern/https://cloudsecop.net/blog/vectorize-rag-pattern/Vectorize là vector DB native của Cloudflare, kết hợp Workers AI bge-m3 cho RAG trọn edge. Pipeline ingest + query, chunking, lọc metadata, hybrid search D1, reranking.Sun, 16 Nov 2025 00:00:00 GMTCloudflareCloudflare DeveloperVectorizeRAGAIKhaVanhttps://cloudsecop.net/blog/workers-ai-model-catalog/https://cloudsecop.net/blog/workers-ai-model-catalog/Workers AI chạy inference trên edge GPU, AI Gateway proxy OpenAI/Anthropic/Bedrock/Google với cache + rate limit. Catalog, giá, khi nào chọn cái nào, retry/fallback production.Sat, 08 Nov 2025 00:00:00 GMTCloudflareCloudflare DeveloperWorkers AIAI GatewayLLMKhaVanhttps://cloudsecop.net/blog/ci-cd-wrangler-github-actions/https://cloudsecop.net/blog/ci-cd-wrangler-github-actions/Pipeline 4 bước: test → build → deploy → smoke. Scoped API token, smoke test 19 assertion, concurrent lock, preview env, rollback 10 giây. Full workflow file từ blog này.Sat, 01 Nov 2025 00:00:00 GMTCloudflareCloudflare DeveloperCI/CDGitHub ActionsWranglerKhaVanhttps://cloudsecop.net/blog/astro-remix-sveltekit-workers/https://cloudsecop.net/blog/astro-remix-sveltekit-workers/3 framework full-stack trên Workers khác nhau về render, JS client, adapter và bindings. Thiết lập thực tế từng cái, SSG vs SSR vs hybrid, và vì sao blog này chọn Astro.Fri, 24 Oct 2025 00:00:00 GMTCloudflareCloudflare DeveloperAstroRemixSvelteKitKhaVanhttps://cloudsecop.net/blog/orm-d1-drizzle-prisma/https://cloudsecop.net/blog/orm-d1-drizzle-prisma/3 lựa chọn: SQL thô (0KB), Drizzle (10KB, TS-first), Prisma (500KB WASM). Quy trình, pattern query phức tạp, migration, type safety, và khi nào ORM hại nhiều hơn lợi.Thu, 16 Oct 2025 00:00:00 GMTCloudflareCloudflare DeveloperD1ORMDrizzlePrismaKhaVanhttps://cloudsecop.net/blog/cloudflare-agents-production-patterns/https://cloudsecop.net/blog/cloudflare-agents-production-patterns/Cloudflare Agents framework dùng Durable Objects cho long-running state. Hibernation, tool calling, multi-agent WebSocket, schedule(). Cost ~$0.04/agent/tháng.Wed, 15 Oct 2025 00:00:00 GMTCloudflareWorkersDurable ObjectsAI AgentsCloudflare DeveloperKhaVanhttps://cloudsecop.net/blog/router-choice-hono-itty/https://cloudsecop.net/blog/router-choice-hono-itty/3 lựa chọn: vanilla fetch (0 bundle), Itty (3KB), Hono (13KB). Cú pháp, chuỗi middleware, validate Zod, khi nào chọn cái nào, và vì sao blog này dùng vanilla dù có 40 route.Wed, 08 Oct 2025 00:00:00 GMTCloudflareCloudflare DeveloperWorkersRoutingKhaVanhttps://cloudsecop.net/blog/queues-durable-objects/https://cloudsecop.net/blog/queues-durable-objects/2 primitive khó nhất khi Worker cần state. Queues cho fire-and-forget job với retry và DLQ. Durable Objects cho single-writer coordination. Khi nào dùng cái nào, pattern và gotcha.Wed, 01 Oct 2025 00:00:00 GMTCloudflareCloudflare DeveloperQueuesDurable ObjectsStorageKhaVanhttps://cloudsecop.net/blog/r2-object-storage/https://cloudsecop.net/blog/r2-object-storage/R2 là object storage S3-compatible của Cloudflare, không phí egress. So sánh R2 vs S3, 4 pattern phục vụ object, migration từ S3, gotcha về consistency, metadata, lifecycle.Tue, 23 Sep 2025 00:00:00 GMTCloudflareCloudflare DeveloperR2StorageKhaVanhttps://cloudsecop.net/blog/d1-production-patterns/https://cloudsecop.net/blog/d1-production-patterns/D1 là SQLite ở edge với primary region và read replica: kiến trúc, 5 query method, Sessions API cho read replica, prepared statement cache, migration, và 7 gotcha production.Mon, 15 Sep 2025 00:00:00 GMTCloudflareCloudflare DeveloperD1StorageSQLKhaVanhttps://cloudsecop.net/blog/aws-well-architected-custom-lens/https://cloudsecop.net/blog/aws-well-architected-custom-lens/Custom lens AWS Well-Architected: thêm pillar riêng cho org, JSON schema, deploy CloudFormation, attach workload. Use case Vietnam compliance Circular 09, Decree 53.Mon, 08 Sep 2025 00:00:00 GMTAWSCloud SecurityGovernanceWell-ArchitectedArchitectureKhaVanhttps://cloudsecop.net/blog/kv-deep-dive/https://cloudsecop.net/blog/kv-deep-dive/Cloudflare KV là eventually-consistent KV store với cache tại từng PoP. Consistency model thực tế, giới hạn, 5 pattern đúng, 3 anti-pattern phổ biến, và gotcha thực tế.Mon, 08 Sep 2025 00:00:00 GMTCloudflareCloudflare DeveloperKVStorageKhaVanhttps://cloudsecop.net/blog/wrangler-miniflare-dev-loop/https://cloudsecop.net/blog/wrangler-miniflare-dev-loop/Dev loop thực tế của Workers: wrangler init, dev local với Miniflare, vitest, D1 migration, secret, triển khai 300+ PoP trong 30 giây. Vòng đời từ file trống đến production.Sun, 31 Aug 2025 00:00:00 GMTCloudflareCloudflare DeveloperWorkersDevOpsKhaVanhttps://cloudsecop.net/blog/mental-model-3-binding/https://cloudsecop.net/blog/mental-model-3-binding/Khung tư duy chung cho mọi Worker: Request là cửa vào, Identity là ai đang gọi, Storage là đọc ghi đâu. Áp dụng vào Worker đang chạy blog này và cách chọn storage primitive đúng.Tue, 19 Aug 2025 00:00:00 GMTCloudflareCloudflare DeveloperWorkersArchitectureKhaVanhttps://cloudsecop.net/blog/workers-runtime-mental-model/https://cloudsecop.net/blog/workers-runtime-mental-model/fetch handler, ExecutionContext, waitUntil, giới hạn subrequest, CPU vs wall time, cold start thực tế. 6 ngộ nhận khi dev từ Node/Lambda sang Workers. Code mẫu từ blog này.Sat, 16 Aug 2025 00:00:00 GMTCloudflareCloudflare DeveloperWorkersRuntimeKhaVanhttps://cloudsecop.net/blog/ebpf-exporter-cloudflare-pattern/https://cloudsecop.net/blog/ebpf-exporter-cloudflare-pattern/ebpf_exporter expose kernel metrics qua Prometheus, không cần sidecar. So sánh CloudWatch agent và Datadog kernel module. Pattern Cloudflare dùng cho hàng ngàn host.Fri, 15 Aug 2025 00:00:00 GMTCloudflareObservabilityLinuxPrometheusPerformanceKhaVanhttps://cloudsecop.net/blog/cloudflare-developer-platform-la-gi/https://cloudsecop.net/blog/cloudflare-developer-platform-la-gi/Cloudflare không còn chỉ là CDN. Workers, D1, R2, KV, Queues, DOs, Workers AI, Vectorize tạo thành nền tảng edge-native. Mental model đầu tiên, so sánh với Lambda.Fri, 08 Aug 2025 00:00:00 GMTCloudflareCloudflare DeveloperWorkersEdge ComputingKhaVanhttps://cloudsecop.net/blog/aws-security-services-best-practices/https://cloudsecop.net/blog/aws-security-services-best-practices/AWS vừa publish best-practices guide cho 10 dịch vụ bảo mật (GuardDuty, Security Hub, Macie, Inspector, WAF, Network Firewall). Cấu trúc guide và lộ trình triển khai thực tế.Thu, 31 Jul 2025 00:00:00 GMTAWSCloud SecurityGuardDutySecurity HubBest PracticesKhaVanhttps://cloudsecop.net/blog/aws-security-maturity-model-v2/https://cloudsecop.net/blog/aws-security-maturity-model-v2/AWS Security Maturity Model v2: 74 kiểm soát chia 4 giai đoạn (Quick Wins, Foundational, Efficient, Optimized), thứ tự nên làm, bẫy thường gặp, ánh xạ vào Organization.Sun, 27 Jul 2025 00:00:00 GMTAWSCloud SecuritySecurity MaturityGovernanceZero TrustKhaVanhttps://cloudsecop.net/blog/bedrock-workers-oidc-case-study/https://cloudsecop.net/blog/bedrock-workers-oidc-case-study/Worker mint RS256 JWT → STS AssumeRoleWithWebIdentity → Bedrock Claude Opus. Số liệu thực: token 5ms, STS 200ms, Bedrock 2-3s, cached 50ms.Tue, 22 Jul 2025 00:00:00 GMTCloudflareWorkersAWSBedrockOIDCCloud SecurityKhaVanhttps://cloudsecop.net/blog/aws-security-maturity-model-assessment-tool/https://cloudsecop.net/blog/aws-security-maturity-model-assessment-tool/Ghi chú dùng AWS Security Maturity Model Assessment Tool đánh giá posture theo 4 giai đoạn (Quick Wins, Foundational, Efficient, Optimized): kiến trúc, quy trình, JSON/Excel.Sun, 20 Jul 2025 00:00:00 GMTAWSCloud SecuritySecurity MaturityAssessmentGovernanceKhaVanhttps://cloudsecop.net/blog/email-security-area1-deep-dive/https://cloudsecop.net/blog/email-security-area1-deep-dive/Email Security deep-dive cho Cloudflare One: MX inline vs API journaling, bẫy DMARC forwarder/subdomain docs không nói, FP homoglyph, user report → retract < 1h tự động.Tue, 08 Jul 2025 00:00:00 GMTCloudflareCloudflare OneEmail SecurityPhishingKhaVanhttps://cloudsecop.net/blog/dlp-data-loss-prevention-deep-dive/https://cloudsecop.net/blog/dlp-data-loss-prevention-deep-dive/DLP đào sâu cho Cloudflare One: tinh chỉnh từ 55% FP về 3%, regex vs Luhn vs context vs EDM, profile CCCD Việt Nam, Gateway HTTP inline vs CASB API.Mon, 30 Jun 2025 00:00:00 GMTCloudflareCloudflare OneDLPData ClassificationZero TrustKhaVanhttps://cloudsecop.net/blog/casb-saas-posture-misconfig/https://cloudsecop.net/blog/casb-saas-posture-misconfig/CASB deep-dive cho Cloudflare One từ 3 lần triển khai: 4 trụ cột Gartner, inline vs API, phản ứng 8000 finding tuần đầu, shadow IT discovery, tenant lock, khi nào KHÔNG dùng CASB.Mon, 23 Jun 2025 00:00:00 GMTCloudflareCloudflare OneCASBSaaS SecurityZero TrustKhaVanhttps://cloudsecop.net/blog/browser-isolation-rbi-deep-dive/https://cloudsecop.net/blog/browser-isolation-rbi-deep-dive/Browser Isolation deep-dive cho Cloudflare One: kiến trúc remote browser (NVR), kích hoạt isolation, kiểm soát dữ liệu (copy/paste/print/download/keyboard), compliance, chi phí.Thu, 19 Jun 2025 00:00:00 GMTCloudflareCloudflare OneBrowser IsolationRBIZero TrustKhaVanhttps://cloudsecop.net/blog/device-posture-continuous-verification/https://cloudsecop.net/blog/device-posture-continuous-verification/Device posture đào sâu cho Zero Trust: WARP check (OS, mã hóa ổ đĩa, firewall), EDR (CrowdStrike, SentinelOne, Defender), continuous verification trong Access policy, truy nguyên.Sat, 07 Jun 2025 00:00:00 GMTCloudflareCloudflare OneZero TrustDevice PostureEDRKhaVanhttps://cloudsecop.net/blog/hardeneks-eks-security/https://cloudsecop.net/blog/hardeneks-eks-security/hardeneks là Python CLI chạy 100+ EKS best-practice check. Lý do tôi chạy ở PR thay vì weekly cron, so sánh kube-bench/kube-hunter, finding thực tế.Wed, 04 Jun 2025 00:00:00 GMTAWSEKSKubernetesCloud SecurityComplianceKhaVanhttps://cloudsecop.net/blog/dex-digital-experience-monitoring/https://cloudsecop.net/blog/dex-digital-experience-monitoring/DEX đào sâu cho Cloudflare One: khi control plane UP mà người dùng thấy chậm, chẩn đoán từng chặng (DNS/TCP/TLS/TTFB), SLO framework, 5 chế độ hỏng DEX không thấy.Fri, 30 May 2025 00:00:00 GMTCloudflareCloudflare OneDEXObservabilityZero TrustKhaVanhttps://cloudsecop.net/blog/logs-pipeline-logpush-siem/https://cloudsecop.net/blog/logs-pipeline-logpush-siem/Logs deep-dive cho Cloudflare One: các dataset, Logpush (R2/S3/Splunk/Sentinel), tương quan đa tầng, retention hot/warm/cold, kiểm soát chi phí, rule phát hiện SIEM mẫu.Fri, 23 May 2025 00:00:00 GMTCloudflareCloudflare OneLogsSIEMObservabilityKhaVanhttps://cloudsecop.net/blog/cloudflare-access-vs-aws-iam-idc/https://cloudsecop.net/blog/cloudflare-access-vs-aws-iam-idc/Đừng cố unify Cloudflare Access và AWS IAM Identity Center. Pattern thực dụng: Okta/Entra → SSO cả hai, SCIM provisioning, per-app policy, audit correlation.Thu, 15 May 2025 00:00:00 GMTCloudflareCloudflare OneAWSIdentityZero TrustKhaVanhttps://cloudsecop.net/blog/network-policy-l4-non-http/https://cloudsecop.net/blog/network-policy-l4-non-http/Network policy deep-dive: chặn non-HTTP (SSH, RDP, SMTP), chặn DoH bypass DNS filter, app rule cho SaaS, kết hợp WARP, checklist production và playbook siết chặt.Thu, 15 May 2025 00:00:00 GMTCloudflareCloudflare OneGatewayNetworkingZero TrustKhaVanhttps://cloudsecop.net/blog/gateway-http-filtering-va-tls-decryption/https://cloudsecop.net/blog/gateway-http-filtering-va-tls-decryption/HTTP inspection deep-dive: cài root CA (MDM, GPO), cạm bẫy cert pinning, mẫu DLP, tenant CASB, lan can pháp lý/quyền riêng tư, playbook triển khai, checklist production.Sun, 11 May 2025 00:00:00 GMTCloudflareCloudflare OneGatewayTLSDLPCASBKhaVanhttps://cloudsecop.net/blog/gateway-dns-filtering/https://cloudsecop.net/blog/gateway-dns-filtering/Gateway DNS deep-dive: kiến trúc resolver, thứ tự policy, DoH per-device vs DNS location per-site, threat intel category, custom list, log SIEM, checklist production.Wed, 30 Apr 2025 00:00:00 GMTCloudflareCloudflare OneGatewayDNSZero TrustKhaVanhttps://cloudsecop.net/blog/magic-wan-va-bgp-over-gre/https://cloudsecop.net/blog/magic-wan-va-bgp-over-gre/Magic WAN deep-dive: tunnel network-layer thay SD-WAN/MPLS. 4 tuỳ chọn tunnel (IPsec, GRE, Anycast IP, CNI), BGP peering, multi-cloud, Magic Firewall, playbook chuyển đổi.Sat, 26 Apr 2025 00:00:00 GMTCloudflareCloudflare OneMagic WANNetworkingSD-WANKhaVanhttps://cloudsecop.net/blog/kms-key-policies-deep-dive/https://cloudsecop.net/blog/kms-key-policies-deep-dive/Cơ chế evaluation của KMS key policy, cross-account access, condition keys, grants, key rotation, production patterns. Kèm JSON policy examples và checklist cho production.Fri, 18 Apr 2025 00:00:00 GMTAWSCloud SecurityKMSEncryptionIAMKhaVanhttps://cloudsecop.net/blog/guardduty-auto-remediation/https://cloudsecop.net/blog/guardduty-auto-remediation/Pipeline tự động phản ứng sự cố bảo mật với GuardDuty, EventBridge và Lambda: cô lập instance, snapshot forensic, thu hồi credentials, mở rộng multi-account với Organizations.Mon, 14 Apr 2025 00:00:00 GMTAWSCloud SecurityGuardDutySecurity AutomationEventBridgeKhaVanhttps://cloudsecop.net/blog/warp-client-va-device-enrollment/https://cloudsecop.net/blog/warp-client-va-device-enrollment/Kiến trúc WARP, enrollment, device posture (built-in vs CrowdStrike/Intune), split tunnel 2 chế độ, Local Domain Fallback, DNS, triển khai MDM, truy nguyên 6 trường hợp.Thu, 10 Apr 2025 00:00:00 GMTCloudflareCloudflare OneWARPDevice PostureKhaVanhttps://cloudsecop.net/blog/lol-html-streaming-rewriter/https://cloudsecop.net/blog/lol-html-streaming-rewriter/CSS-selector streaming HTML rewriter trên Cloudflare Workers. 3 pattern production: CSP nonce per request, rewrite analytics URL, A/B variant inject.Wed, 09 Apr 2025 00:00:00 GMTCloudflareWorkersCloudflare DeveloperPerformanceEdgeKhaVanhttps://cloudsecop.net/blog/cloudflare-tunnel-deep-dive/https://cloudsecop.net/blog/cloudflare-tunnel-deep-dive/Kiến trúc daemon cloudflared, ingress rules, HA replicas, protocol non-HTTP (SSH/RDP/SMB), chuyển từ VPN, truy nguyên 6 trường hợp. Tunnel là nền tảng kết nối cho Zero Trust.Sun, 30 Mar 2025 00:00:00 GMTCloudflareCloudflare OneCloudflare TunnelNetworkingKhaVanhttps://cloudsecop.net/blog/scim-va-group-sync/https://cloudsecop.net/blog/scim-va-group-sync/SCIM giải quyết cửa sổ lỗi thời: IdP đẩy cập nhật thời gian thực thay vì CF kéo claim khi đăng nhập. Thiết lập SCIM cho Okta/Entra/Google, vòng đời người dùng, xung đột.Sat, 22 Mar 2025 00:00:00 GMTCloudflareCloudflare OneIdentitySCIMLifecycleKhaVanhttps://cloudsecop.net/blog/flan-vulnerability-scanner/https://cloudsecop.net/blog/flan-vulnerability-scanner/Flan wrap nmap NSE + Vulners API trong Docker, xuất HTML/JSON. Vì sao Cloudflare tự host thay vì mua Tenable/Qualys, và cách integrate vào CI gate CVE.Wed, 12 Mar 2025 00:00:00 GMTCloudflareSecurityVulnerability ManagementCloud SecurityDevSecOpsKhaVanhttps://cloudsecop.net/blog/service-tokens-mtls-cho-non-human/https://cloudsecop.net/blog/service-tokens-mtls-cho-non-human/Khi client không phải người dùng. Phân biệt service token vs mTLS, cách thiết lập cả hai, chiến lược rotate, audit log, và anti-pattern phổ biến.Tue, 11 Mar 2025 00:00:00 GMTCloudflareCloudflare OneCloudflare AccessmTLSDevOpsKhaVanhttps://cloudsecop.net/blog/identity-provider-integration/https://cloudsecop.net/blog/identity-provider-integration/Ma trận 4 IdP phổ biến với Cloudflare Access: OIDC vs SAML, cạm bẫy group claim, claim mapping, group sync timing, pattern multi-IdP, checklist trước production.Fri, 07 Mar 2025 00:00:00 GMTCloudflareCloudflare OneIdentityOktaEntra IDKhaVanhttps://cloudsecop.net/blog/aws-secrets-manager-vs-cloudflare-secrets/https://cloudsecop.net/blog/aws-secrets-manager-vs-cloudflare-secrets/AWS Secrets Manager $0.40/secret/mo + auto-rotation Lambda vs Cloudflare Secrets Store free trên Workers Paid. Khi nào chọn cái nào, replication pattern.Fri, 28 Feb 2025 00:00:00 GMTAWSCloudflareSecrets ManagerSecurityDevOpsKhaVanhttps://cloudsecop.net/blog/cloudflare-access-ztna-co-ban/https://cloudsecop.net/blog/cloudflare-access-ztna-co-ban/Thay VPN cho ứng dụng nội bộ bằng Cloudflare Access: giải phẫu, luồng đăng nhập, 5 bước thiết lập (app, IdP, policy, Tunnel, test), thứ tự đánh giá policy, truy nguyên.Sun, 23 Feb 2025 00:00:00 GMTCloudflareCloudflare OneCloudflare AccessZTNAKhaVanhttps://cloudsecop.net/blog/roadmap-sh-cyber-security-goc-nhin/https://cloudsecop.net/blog/roadmap-sh-cyber-security-goc-nhin/roadmap.sh chia con đường cyber security thành 6 khối kỹ năng. Đọc lại đối chiếu với cloud security và Zero Trust, chỗ đúng, chỗ đã cũ, và thứ tự học nếu bắt đầu lại hôm nay.Wed, 19 Feb 2025 00:00:00 GMTSecurityRoadmapLearning PathCloud SecurityCareerKhaVanhttps://cloudsecop.net/blog/mental-model-client-identity-policy-resource/https://cloudsecop.net/blog/mental-model-client-identity-policy-resource/Khung tư duy cho mọi tính năng Cloudflare One: mỗi request đi qua 4 tầng sinh tín hiệu, policy đánh giá rồi đi tới 1 trong 5 kết quả. Triển khai và truy nguyên dễ hơn nhiều.Sat, 15 Feb 2025 00:00:00 GMTCloudflareCloudflare OneZero TrustArchitectureKhaVanhttps://cloudsecop.net/blog/code-review-best-practices/https://cloudsecop.net/blog/code-review-best-practices/roadmap.sh có trang tổng hợp thực hành code review. Mở rộng thành sổ tay: 4 trục (tác giả, reviewer, quy trình, công cụ), ví dụ, chỉ số đo, và lỗi hay gặp ở đội vừa và nhỏ.Wed, 12 Feb 2025 00:00:00 GMTCode ReviewSoftware EngineeringDevOpsCode QualityPull RequestKhaVanhttps://cloudsecop.net/blog/pingora-vs-aws-alb-nlb/https://cloudsecop.net/blog/pingora-vs-aws-alb-nlb/Pingora xử lý 40M+ req/sec ở Cloudflare. Khi nào self-host bằng pingora-core/pingora-proxy thắng AWS ALB $20/tháng + LCU và NLB managed.Tue, 04 Feb 2025 00:00:00 GMTCloudflareNetworkingRustAWSPerformanceKhaVanhttps://cloudsecop.net/blog/sase-sse-zero-trust-thuat-ngu/https://cloudsecop.net/blog/sase-sse-zero-trust-thuat-ngu/Ba thuật ngữ dễ dùng lẫn lộn trong RFP, design doc và tiếp thị. Phân biệt phạm vi, thời điểm xuất hiện, cách dùng đúng, và decision tree nhỏ để chọn đúng từ trong từng ngữ cảnh.Tue, 04 Feb 2025 00:00:00 GMTCloudflareCloudflare OneSASESSEZero TrustKhaVanhttps://cloudsecop.net/blog/workload-identity-federation-aws-gcp/https://cloudsecop.net/blog/workload-identity-federation-aws-gcp/Workload Identity Federation deep dive: vì sao Service Account Key là anti-pattern, luồng token AWS STS → Google STS, attribute mapping, impersonation, threat model, Terraform.Mon, 27 Jan 2025 00:00:00 GMTCloud SecurityAWSGCPIdentity FederationMulti-CloudZero TrustKhaVanhttps://cloudsecop.net/blog/hello-things-worth-sharing/https://cloudsecop.net/blog/hello-things-worth-sharing/Một góc nhỏ trên internet để ghi lại những ý tưởng, bài học và điều thú vị đáng chia sẻ.Thu, 16 Jan 2025 00:00:00 GMTNewsKhaVanhttps://cloudsecop.net/blog/cloudflare-one-la-gi/https://cloudsecop.net/blog/cloudflare-one-la-gi/Một tổng quan thực dụng về Cloudflare One: SASE, SSE, Zero Trust, 6 nhóm sản phẩm chính, cách so sánh với Zscaler/Netskope, và mô hình tư duy cần có trước khi triển khai.Sat, 04 Jan 2025 00:00:00 GMTCloudflareCloudflare OneSASEZero TrustKhaVanhttps://cloudsecop.net/blog/aws-iam-access-key-auto-rotation/https://cloudsecop.net/blog/aws-iam-access-key-auto-rotation/Một giải pháp AWS-native để rotate, disable và delete IAM access key theo chính sách: đi sâu vào kiến trúc nhiều account, đánh đổi và vận hành thực tế.Tue, 31 Dec 2024 00:00:00 GMTAWSIAMSecurity AutomationSecrets ManagerLambdaKhaVanhttps://cloudsecop.net/blog/cspm-across-multiple-landing-zones/https://cloudsecop.net/blog/cspm-across-multiple-landing-zones/Cách mình thiết kế CSPM engine nội bộ quét song song nhiều AWS Landing Zone bằng Prowler, lưu finding vào D1, artifact vào R2, dashboard duy nhất cho Security Operations.Fri, 20 Dec 2024 00:00:00 GMTCloud SecurityAWSCSPMProwlerCloudflareKhaVanhttps://cloudsecop.net/blog/workers-assets-static-site/https://cloudsecop.net/blog/workers-assets-static-site/Vì sao tôi chuyển blog từ Pages sang Workers Assets, những đánh đổi thực tế, và vài cấu hình nhỏ nên biết trước khi triển khai.Mon, 16 Dec 2024 00:00:00 GMTProgrammingWorkersCloudflareKhaVanhttps://cloudsecop.net/blog/zero-trust-notes/https://cloudsecop.net/blog/zero-trust-notes/Những điều thực sự hiệu quả, những thứ không như kỳ vọng, và các bài học vận hành khi triển khai Cloudflare Zero Trust cho tổ chức quy mô hàng ngàn người dùng.Wed, 04 Dec 2024 00:00:00 GMTSecurityZero TrustCloudflareKhaVanhttps://cloudsecop.net/blog/d1-schema-tips/https://cloudsecop.net/blog/d1-schema-tips/Composite primary key, khi nào vẫn cần FTS, vì sao không nên index theo cảm tính, và vì sao row count ở edge quan trọng hơn bạn nghĩ.Sat, 30 Nov 2024 00:00:00 GMTDatabaseD1CloudflareProgrammingKhaVanhttps://cloudsecop.net/blog/cloudflared-internals-from-source/https://cloudsecop.net/blog/cloudflared-internals-from-source/Build cloudflared từ Go source, ingress.yaml advanced patterns (path routing, HTTP/2, origin cert), tunnel info JSON cho monitoring, top 5 debug technique.Sat, 23 Nov 2024 00:00:00 GMTCloudflareCloudflare OneCloudflare TunnelNetworkingKhaVanhttps://cloudsecop.net/blog/boringtun-wireguard-warp/https://cloudsecop.net/blog/boringtun-wireguard-warp/Boringtun Rust userspace WireGuard, kiến trúc bên trong WARP client, vì sao userspace WG thắng kernel module ở mobile/edge, MASQUE evolution.Tue, 19 Nov 2024 00:00:00 GMTCloudflareCloudflare OneWARPNetworkingWireGuardKhaVanhttps://cloudsecop.net/blog/cfssl-pki-toolkit-production/https://cloudsecop.net/blog/cfssl-pki-toolkit-production/Tự host internal CA bằng CFSSL: cfssl init, intermediate CA, OCSP responder, multirootca, CI short-lived certs. So sánh AWS Private CA $400/tháng.Fri, 15 Nov 2024 00:00:00 GMTCloudflareCloud SecurityPKITLSCertificatesKhaVan