Um ataque lotou o trânsito
O link bateu no limite por minutos ou horas, e todos os assinantes sentiram por causa de um alvo.
BGP · Provedores
Configuração de blackhole BGP para provedores
Um comando na sua borda pede às operadoras que descartem o tráfego de um IP atacado, antes que o ataque lote o link de todos os assinantes.
- Testado com IP de laboratório
- Trava contra descartar bloco inteiro
- Procedimento escrito para a equipe
Configuração de blackhole BGP é deixar a borda pronta para pedir, por community, que a operadora descarte o tráfego destinado a um IP sob ataque. É para o provedor que já viu um ataque encher o link de trânsito e derrubar todo mundo por causa de um assinante. O resultado é um IP parado no lugar de um provedor inteiro, com o processo testado antes do dia do ataque.
O que é blackhole BGP
É um anúncio marcado que manda a operadora jogar fora todo o tráfego para um endereço. O alvo fica fora do ar, e o resto do provedor segue funcionando.
Um ataque maior que o seu link já chega cheio: nada feito dentro da rede resolve. O blackhole leva o descarte para o lado da operadora, antes do gargalo, usando o próprio BGP para fazer o pedido.
O seu roteador anuncia o IP atacado, um /32 em IPv4 ou /128 em IPv6, com a community de blackhole da operadora. Ela reconhece a marca e descarta. O anúncio sai do seu ASN, então só vale para blocos seus ou dos seus clientes.
O nome técnico é RTBH (Remotely Triggered Black Hole). Ele pode ser montado em quatro formas, conforme quem descarta e o que dispara o pedido:
Na operadora, pelo destino
A forma mais comum. Cada operadora tem a sua community, e o descarte acontece na rede dela, longe do seu link.
No ponto de troca
Os route servers do IX.br podem repassar o pedido de descarte aos participantes [CONFIRMAR suporte por localidade no IX.br]. Alivia a porta do ponto, não o trânsito.
Na sua borda, pela origem
Com uRPF, o roteador descarta pacotes vindos de origens marcadas. Serve para conter fontes conhecidas, mas não alivia um link que já chega cheio.
Disparo manual ou automático
O pedido pode sair de um comando da equipe ou de um sistema que analisa os fluxos e detecta o ataque sozinho.
Quando você precisa de blackhole BGP
Seis situações mostram que o blackhole precisa estar pronto antes do próximo ataque. No dia, não há tempo para descobrir a community certa.
Ataques repetidos a jogadores
Assinantes que jogam on-line costumam virar alvo de ataques curtos e frequentes, quase sempre à noite.
Ameaça de extorsão
Alguém exigiu pagamento para parar os ataques. Ter o descarte pronto tira força da ameaça.
Descarte depende de chamado
Hoje você liga para a operadora e espera alguém atender. Com community, o pedido sai da sua borda.
Clientes com ASN são atacados
Provedores menores pendurados na sua borda precisam pedir descarte por você, com filtro que limite o que pedem.
Nunca testou a community
A configuração existe, mas ninguém sabe se a operadora ainda aceita a marca. Descobrir no ataque custa caro.
Como funciona a configuração de blackhole BGP
São cinco etapas, e o teste final acontece em cada operadora com um IP de laboratório. No fim, a sua equipe dispara e desfaz o blackhole sozinha.
Conferência com as operadoras
Community, tamanho aceito, suporte a IPv6 e se a sessão precisa ser liberada do lado delas.
Prazo: [PREENCHER]
Desenho das travas
Que tamanhos podem sair, para quem, com que marca e como o pedido é desfeito.
Prazo: [PREENCHER]
Configuração em janela
Rota de gatilho, filtros de saída e travas aplicados com backup e roteiro de volta.
Duração da janela: [PREENCHER]
Teste em cada operadora
Um IP sem assinante vai para o blackhole, e o descarte é conferido de fora da sua rede.
Prazo: na mesma janela
Procedimento e treino
Passo a passo escrito e um ensaio com quem vai disparar o blackhole no dia do ataque.
Prazo: [PREENCHER]
O que está incluído na configuração de blackhole BGP
A configuração deixa o descarte pronto, travado e testado em cada operadora. Detecção automática e limpeza de tráfego têm páginas próprias.
Incluído
- Communities de blackhole confirmadas com cada operadora
- Rota de gatilho simples de ativar e desativar
- Filtro de saída que só deixa sair /32 ou /128 com a marca
- Trava contra mandar um bloco inteiro para o descarte
- Marca para o pedido não se espalhar além da operadora
- Blackhole no IX.br, onde a localidade oferecer
- Pedidos de clientes com ASN aceitos com filtro
- Teste com IP de laboratório e procedimento com treino
Não incluído
- Detecção automática do ataque, na mitigação de DDoS
- Limpeza que mantém o alvo no ar, na integração com scrubbing
- Ataque acontecendo agora, na mitigação emergencial de DDoS
- Coleta de fluxos para ver o ataque, na análise de fluxos com NetFlow
- Compra de equipamento (a Táquion Tech não vende equipamento)
Quanto custa a configuração de blackhole BGP
É um serviço pontual, e o preço depende de quantas operadoras e roteadores entram. O valor exato sai por escrito depois da conferência.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de operadoras | Cada uma tem community, regras e teste próprios | Duas operadoras nacionais e uma regional |
| Roteadores da borda | A rota de gatilho precisa chegar a todos eles | Dois roteadores com iBGP entre si |
| IX.br junto | Mais uma sessão com regra de descarte e teste | Porta no IX.br de São Paulo |
| Disparo automático | Integrar com o sistema de detecção pede mais teste | Detecção por fluxos já instalada |
| Clientes com ASN | Cada cliente recebe filtro para o que pode pedir | Três provedores menores na sua borda |
Faixa de preço para duas operadoras e um roteador: [PREENCHER faixa aprovada pela Táquion Tech]. A community de blackhole costuma não ter custo na operadora [CONFIRMAR em cada contrato].
O que conferir antes de contratar blackhole BGP
Confira quando o blackhole é a ferramenta certa, os erros que fazem ele piorar o ataque e o que perguntar a cada operadora. Serve para avaliar qualquer fornecedor, inclusive a Táquion Tech.
Blackhole, Flowspec ou limpeza
As três respostas a um ataque diferem em quem fica no ar e no que você precisa ter antes. A tabela resume.
| Opção | O alvo fica no ar | O que precisa antes |
|---|---|---|
| Blackhole BGP | Não | Community da operadora e travas na borda |
| Flowspec | Sim, se o filtro for preciso | Operadora que aceite Flowspec do cliente |
| Limpeza de tráfego | Sim | Contrato com serviço de limpeza |
Blackhole BGP
Quando usar
Ataque grande contra um IP residencial, em que o assinante parado é aceitável.
Custo escondido
O atacante consegue o que queria contra aquele alvo. Por isso o blackhole tem hora para acabar.
Flowspec
Quando usar
Ataque com padrão claro, como uma porta ou protocolo, que pode ser filtrado sem tirar o alvo do ar.
Cuidado
Poucas operadoras aceitam Flowspec de clientes [CONFIRMAR com cada operadora], e regra larga demais derruba tráfego bom.
Limpeza de tráfego
Quando usar
Servidor ou cliente empresarial que não pode parar, com contrato de disponibilidade.
Cuidado
Precisa estar contratada e integrada antes do ataque. Veja a integração com scrubbing.
Erros comuns ao contratar
Quatro falhas que transformam o blackhole em problema. Pergunte ao fornecedor como evita cada uma.
Community errada ou vencida
Se a operadora não reconhece a marca, o /32 vira um anúncio comum e pode atrair ainda mais tráfego para o alvo. Por isso o teste é obrigatório.
Filtro que deixa vazar /32
Um filtro de saída frouxo espalha rotas de host para a internet. Só pode sair /32 com a marca de descarte, e só para quem a reconhece.
Bloco inteiro no descarte
Um erro de digitação manda um /24 para o blackhole e derruba centenas de assinantes. A trava recusa qualquer tamanho acima do combinado.
Blackhole esquecido ligado
O ataque passa e o IP continua fora por dias. O procedimento precisa dizer quem desliga e quando conferir.
Normas e boas práticas
Referências públicas sobre o descarte remoto. Peça ao fornecedor que diga quais aplica.
RFC 7999
Define a community padrão BLACKHOLE, 65535:666, que algumas operadoras e pontos de troca aceitam [CONFIRMAR na norma].
RFC 5635 e RFC 3882
Descrevem o descarte disparado remotamente, pelo destino e pela origem com uRPF [CONFIRMAR na norma].
RFC 8955
Define o Flowspec, que leva regras de filtro pelo BGP em vez de descartar o destino inteiro [CONFIRMAR na norma].
Perguntas para fazer a cada operadora
As respostas mudam a configuração. Leve estas perguntas para o comercial e para o NOC da operadora.
Qual community e qual tamanho?
Algumas aceitam só /32, outras até /24. Saber o limite evita pedido ignorado no meio do ataque.
O descarte vale para toda a rede dela?
Há operadoras que descartam só o tráfego que entra pelas fronteiras internacionais. O ataque vindo de redes nacionais pode continuar chegando.
Aceita IPv6?
Com assinantes em IPv6, o ataque pode vir por ele. Confirme a marca e o tamanho para /128.
Por que escolher a Táquion Tech para o blackhole BGP
Porque o blackhole sai testado em cada operadora e travado contra erro de digitação. Seis compromissos de toda configuração.
Teste em cada operadora
Um IP sem assinante vai para o descarte, e a queda do tráfego é conferida de fora da rede.
Resultado do teste entregue por operadora
Travas contra erro
O filtro recusa qualquer pedido maior que o combinado, mesmo que alguém digite errado no pior momento.
Travas descritas no procedimento
Procedimento e ensaio
A sua equipe ensaia o disparo e o desligamento antes de precisar, com o passo a passo em mãos.
Procedimento escrito entregue
Desligar é tão simples quanto ligar
Remover o pedido leva um comando, e o procedimento diz quando conferir se o ataque acabou.
Roteiro de desligamento no procedimento
Não vendemos equipamento
O blackhole usa o roteador que você já tem. Equipamento de mitigação só entra se a conta mostrar a necessidade.
Nenhuma marca indicada por comissão
Especialista em BGP e em ataques
Quem desenha as travas conhece o comportamento das operadoras no meio de um ataque.
[PREENCHER: anos de experiência com mitigação na equipe]
Onde a Táquion Tech configura blackhole BGP
O blackhole é configurado à distância para provedores de todo o Brasil. A visita ao POP no litoral de Santa Catarina entra quando o projeto pede equipamento novo na borda.
Remoto para todo o Brasil
Conferência com as operadoras, configuração, teste e ensaio com a equipe feitos por acesso remoto registrado.
Presencial no litoral de Santa Catarina
Para instalar coletor de fluxos ou roteador na borda e acompanhar o teste no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre blackhole BGP
Dúvidas de quem quer o descarte pronto antes do próximo ataque. Se a sua não estiver aqui, mande no WhatsApp.
O que é blackhole BGP?
É um anúncio marcado com uma community especial que pede à operadora para descartar todo o tráfego de um IP. É usado quando o ataque é maior que o seu link.
Qual community de blackhole usar?
A que cada operadora informar. Existe a padrão 65535:666, mas muitas operadoras usam a própria. Confira com cada uma e teste antes de depender dela.
O blackhole derruba o assinante atacado?
Sim, o IP atacado fica sem internet enquanto o pedido estiver ativo. Em troca, os outros assinantes não sentem o link cheio.
Dá para configurar blackhole no MikroTik?
Sim. No RouterOS, uma rota de gatilho e uma regra de filtro anunciam o /32 com a community da operadora. O cuidado é garantir que só IPs marcados saiam com esse tamanho.
O blackhole pode ser automático?
Pode, ligado a um sistema que analisa os fluxos e detecta o ataque. A automação fica na implantação de mitigação de DDoS, e o blackhole é uma das respostas que ela dispara.
Quanto custa a configuração de blackhole BGP?
Depende do número de operadoras e roteadores, do IX.br e da integração com detecção. A faixa para duas operadoras é [PREENCHER], e o valor exato sai depois da conferência.
Quanto tempo leva para deixar o blackhole pronto?
O típico é [PREENCHER]. O que mais pesa é a resposta das operadoras sobre a community e a liberação da sessão.
Dá para pedir blackhole no IX.br?
Algumas localidades aceitam o pedido pelos route servers [CONFIRMAR no IX.br]. Isso alivia a porta do ponto, mas o ataque que vem pelo trânsito precisa do blackhole na operadora.
Qual a diferença entre blackhole e mitigação?
O blackhole descarta tudo o que vai para o alvo, que fica fora do ar. A mitigação com limpeza separa o tráfego ruim e mantém o alvo no ar, mas precisa de contrato e integração antes.
Estou sob ataque agora. O que faço?
Ligue para a operadora e peça o descarte do IP atacado enquanto isso. Para ajuda imediata, veja a mitigação emergencial de DDoS.
Serviços relacionados à configuração de blackhole BGP
Três serviços que completam a defesa contra ataques. Cada um entra num momento diferente do ataque.
-
Implantação de mitigação de DDoS
Detecção por fluxos que dispara o blackhole ou a limpeza sozinha.
Ver a implantação de mitigação de DDoS -
Integração com serviços de scrubbing
Limpeza do tráfego de ataque, mantendo o alvo no ar.
Ver a integração com serviços de scrubbing -
Mitigação emergencial de DDoS
Ajuda imediata quando o ataque já está derrubando a rede.
Ver a mitigação emergencial de DDoS
Leia antes de contratar
Três guias sobre ataques e o descarte pela operadora.
- Configuração de RTBH: guia prático para provedores
O passo a passo do RTBH, da rota de gatilho ao filtro de saída.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como reconhecer um ataque DDoS e o que fazer nos primeiros minutos.
- Extorsão com ataque DDoS: causas, diagnóstico e quando chamar um Especialista
O que fazer quando o ataque vem junto com pedido de pagamento.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de configuração de blackhole BGP
Conte como os ataques têm chegado e quantas operadoras você tem. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
