DDoS, como evitar e como se proteger: guia para provedores
DDoS como evitar: o ataque em si não se evita, porque quem escolhe o alvo é o atacante; o que se evita é que ele derrube a rede. Isso se faz com preparação permanente, que junta contenção combinada com as operadoras, folga de capacidade, equipamentos fechados e uma equipe que já ensaiou o que fazer.
Resumo
- Nenhum provedor escolhe não ser atacado; o que dá para escolher é quanto o ataque consegue derrubar.
- A camada que mais protege fica fora da sua rede, no blackhole, no FlowSpec e na limpeza combinados com as operadoras.
- Filtro antispoofing da BCP 38 e CPEs fechados impedem que a sua rede seja usada para atacar outras.
- Preparação que nunca foi ensaiada costuma falhar no primeiro ataque real, quase sempre num detalhe pequeno.
DDoS como evitar: dá para impedir o ataque?
Não dá para impedir que alguém mande tráfego contra a sua rede, mas dá para impedir que esse tráfego derrube os assinantes. Evitar DDoS, na prática, é tirar do atacante a capacidade de causar queda.
Ataque contra provedor regional custa pouco para quem ataca e é contratado por motivos que o provedor não controla, como uma briga numa partida online. Por isso a pergunta útil não é como deixar de ser alvo, e sim o que acontece com a rede quando o alvo for você; o guia de ataque DDoS no provedor mostra como essa noite costuma se desenrolar.
A resposta para DDoS como evitar é sempre a mesma: preparar a rede antes, num trabalho permanente feito fora do incidente. Cada peça dessa preparação corresponde a uma camada da proteção DDoS para provedor, e quase todas precisam de dias ou semanas para ficar prontas.
O que muda entre a rede preparada e a despreparada
O mesmo ataque produz resultados muito diferentes conforme o que existia antes dele. A tabela compara o caminho de um incidente nas duas situações.
| Momento | Rede despreparada | Rede preparada |
|---|---|---|
| Primeiros minutos | Reclamações chegam e ninguém sabe se é ataque | O alarme por destino aponta alvo e vetor |
| Contenção | Ligação para a operadora atrás da community certa | Regra ou blackhole testado entra na hora |
| Equipe de turno | Espera a única pessoa que conhece a borda | Segue o roteiro escrito e ensaiado |
| Depois do ataque | Nada registrado, o próximo começa do zero | Linha do tempo guardada e ajustes feitos |
Como proteger provedor de DDoS: por onde começar?
Para proteger provedor de DDoS, comece pelo que segura ataque maior que o link e não exige compra: a contenção combinada com as operadoras. Depois vêm visibilidade, arquitetura, rede fechada e ensaio, nessa ordem.
- Operadoras: confirme com cada trânsito a community de blackhole aceita e o contato do NOC fora do horário comercial.
- Visibilidade: ligue a exportação de fluxos na borda e um alarme por IP de destino, para o alvo aparecer logo.
- Arquitetura: separe os prefixos de infraestrutura dos assinantes e feche o plano de controle da borda.
- Saída: aplique antispoofing e desligue DNS, SSDP e NTP voltados para a internet nos CPEs.
- Ensaio: teste a contenção com um IP de laboratório e repita a cada troca de operadora ou de roteador.
Limpeza de tráfego contratada entra depois dessa base, quando o histórico mostra ataques maiores que o link com frequência. Antes disso, o provedor paga por uma capacidade que ainda não sabe acionar no meio da noite.
Onde cada peça da preparação age na rede
A preparação age em cinco pontos, do lado de fora da rede até a casa do assinante. Quanto mais perto da origem do ataque, mais tráfego ruim cada medida segura.
Fora da rede
Operadoras e IX
Community de blackhole, FlowSpec e limpeza sob demanda combinados por escrito.
Entrada
Links de trânsito
Mais de uma operadora e folga de capacidade para absorver o começo do ataque.
Borda
Roteador de borda
Fluxos exportados, plano de controle fechado e regras de filtro salvas.
Núcleo
CGNAT e concentrador
Endereços de infraestrutura separados dos assinantes e fora do blackhole.
Assinante
CPEs e saída da rede
Serviços fechados para a internet e antispoofing para a rede não atacar outras.
Um ataque maior que o link só é segurado no primeiro ponto. Os outros quatro evitam ataques menores, encurtam o diagnóstico e impedem que a sua rede seja a origem do problema.
O diagrama também mostra por que o firewall sozinho não basta. Ele fica no terceiro ponto, depois do link, e não tem como devolver a banda que o ataque já ocupou no caminho.
Os fluxos exportados no terceiro ponto são a base de tudo o que vem depois, porque sem eles ninguém sabe qual IP proteger. O guia de como identificar DDoS mostra a linha de base e os alarmes que essa coleta permite.
DDoS: como se proteger com as operadoras antes do ataque?
A proteção com as operadoras se faz combinando, por escrito e antes do ataque, o que cada uma aceita fazer quando o seu link lotar. É a única camada que segura ataque maior que a sua banda.
Muitos provedores descobrem no meio do ataque que a operadora não aceita a community que eles anunciaram ou que o NOC dela não atende à noite. Esses detalhes moram no contrato e no cadastro técnico, não na configuração.
- Blackhole: qual community a operadora aceita, se aceita /32 em IPv4 e /128 em IPv6 e se repassa aos vizinhos.
- FlowSpec: se a sessão aceita regras de filtro e quais ações e campos são permitidos.
- Proteção no link: se existe, a partir de que volume entra e se é limpeza de verdade ou só blackhole automático.
- Contato técnico: telefone e e-mail do NOC que atendem fora do horário comercial, conferidos a cada semestre.
- IX: se o route server do ponto de troca aceita blackhole e qual community ele pede.
Quer as operadoras combinadas antes do próximo ataque?
Na proteção DDoS da Táquion Tech, communities, regras e contatos de cada operadora ficam conferidos, testados e escritos num roteiro para a sua equipe.
Por que mais de uma operadora protege
Com duas ou mais operadoras, o ataque costuma entrar com força maior por uma delas. A contenção pode ser pedida só a essa, enquanto a outra segue entregando o tráfego normal dos assinantes.
O ponto de troca ajuda do mesmo jeito: o tráfego que vem pelo IX e pelos caches deixa de passar pelo trânsito, e o link sobra para absorver o começo de um ataque. A conexão ao IX.br faz parte da preparação por esse motivo.
Quando vale mexer na arquitetura da rede?
Vale mexer quando um ataque contra um assinante consegue atingir a infraestrutura, ou quando a contenção de um IP tira do ar gente demais. Os ajustes abaixo resolvem esses dois casos sem equipamento novo.
| Ajuste | O que evita | Esforço típico |
|---|---|---|
| Prefixos de infraestrutura separados dos assinantes | Blackhole que derruba DNS ou concentrador junto | Médio, pede renumeração planejada |
| Enlaces com as operadoras fora dos anúncios | Ataque direto contra o IP da sessão BGP | Baixo, feito em janela |
| Plano de controle protegido na borda | CPU travada e sessões BGP caindo | Baixo, com teste antes |
| DNS recursivo só para os assinantes | Servidor do provedor usado em reflexão | Baixo |
| Pools de CGNAT menores e bem distribuídos | Um ataque atingindo milhares de assinantes | Médio, pede revisão do CGNAT |
Nenhum desses ajustes depende de comprar um aparelho. O desenho completo, das operadoras à borda, é o trabalho da arquitetura anti-DDoS, feito antes de qualquer investimento.
Como evitar que a sua rede seja origem de ataque
Evite com antispoofing na borda e com os serviços de reflexão fechados nos equipamentos dos assinantes. Uma rede que vira origem perde banda de saída, entra em listas de bloqueio e recebe reclamações de outras redes.
Ataques de reflexão funcionam porque algumas redes deixam sair pacotes com origem forjada e porque há milhares de roteadores domésticos respondendo a qualquer um. A BCP 38 pede que cada rede descarte na saída os pacotes com origem que não pertence a ela [CONFIRMAR na norma].
- Antispoofing: filtro ou uRPF na borda e no concentrador, deixando sair só os prefixos do provedor.
- CPEs: DNS, SSDP e NTP desligados para a internet no modelo padrão entregue ao assinante.
- Abuse: contato de abuso do ASN em dia, para as notificações de outras redes chegarem a quem age.
Esses cuidados aparecem também nas boas práticas do MANRS. O tratamento das notificações está na gestão de abuse, e o fechamento dos equipamentos, no hardening de roteadores.
Na prática: o ensaio que separa preparação de papel
O ensaio é um ataque de mentira com contenção de verdade, feito com um IP de laboratório em horário de pouco uso. Ele revela o detalhe que falharia no ataque real enquanto ainda há tempo de corrigir.
- Preparo: escolha um IP de laboratório, avise as operadoras e marque uma janela de baixo uso.
- Detecção: gere tráfego de teste contra o IP e confira se o alarme por destino dispara.
- Blackhole: anuncie o IP com a community de cada operadora e veja no looking glass se a marca chegou.
- Filtro: aplique uma regra de teste, por FlowSpec ou na borda, e meça se o tráfego some.
- Equipe: peça para quem está de turno fazer tudo pelo roteiro, sem ajuda, e cronometre.
- Ajuste: anote o que travou, corrija o roteiro e marque o próximo ensaio.
O resultado mais comum do primeiro ensaio é uma community digitada errado ou uma operadora que nunca liberou o anúncio. Descobrir isso num teste custa uma noite tranquila; descobrir no ataque custa a rede fora do ar. A configuração que o ensaio confere está no guia de configuração de RTBH.
Para equipes que nunca fizeram o exercício, o treinamento em resposta a DDoS usa o mesmo formato em laboratório, e o plano de resposta a incidentes deixa por escrito quem faz o quê.
Quando a falta de preparo vira problema?
A falta de preparo vira problema no segundo ataque, quando o provedor percebe que vai passar pela mesma noite de novo. Os sinais abaixo aparecem antes disso, para quem olha.
Marque o que vale para o seu provedor hoje
- Ninguém sabe dizer qual community de blackhole cada operadora aceita.
- A borda não exporta fluxos e o alvo de um ataque leva tempo para aparecer.
- Só uma pessoa sabe aplicar a contenção, e ela não está sempre disponível.
- DNS, concentrador e assinantes estão no mesmo prefixo.
- Já chegaram avisos de que CPEs da rede participaram de ataques.
- Nenhum teste de contenção foi feito nos últimos seis meses.
Duas marcas ou mais indicam que o próximo ataque vai decidir quanto tempo a rede fica fora. É o momento de levantar o que falta e atacar primeiro o que custa menos.
A Táquion Tech avalia operadoras, capacidade, borda, CPEs e equipe com acesso só de leitura e entrega os riscos em ordem de custo-benefício. O trabalho está descrito na avaliação de resiliência, e o que fazer quando o ataque já começou, no guia de como mitigar DDoS.
Erros comuns de quem acha que está protegido
Alguns provedores se sentem protegidos por um único item da lista e descobrem o buraco no pior momento. Os enganos mais frequentes são estes.
Evite
- Achar que o firewall do POP segura ataque maior que o link.
- Contar com a proteção da operadora sem saber o que ela faz e em quanto tempo.
- Configurar o blackhole uma vez e nunca mais testar.
- Trocar o IP do assinante atacado e considerar o problema resolvido.
- Preparar só o IPv4 e esquecer os prefixos IPv6.
Perguntas frequentes
Como proteger provedor de DDoS quando a equipe é pequena?
Escreva a contenção num roteiro curto, com os comandos prontos e a community de cada operadora, para qualquer pessoa de turno aplicar sem esperar quem configurou a borda. Ensaiar esse roteiro com todos importa mais do que o tamanho da equipe.
Comprar mais banda evita a queda por DDoS?
Ajuda contra ataques pequenos, porque dá folga para absorver o começo do tráfego. Contra ataques grandes, a banda extra também lota, e a contenção na operadora continua necessária.
Trocar o IP do assinante atacado resolve?
Resolve por pouco tempo, porque o atacante costuma descobrir o endereço novo pela mesma partida ou serviço. Funciona melhor junto com contenção pronta na borda e nas operadoras.
A proteção anti-DDoS da operadora já basta?
Depende do que ela inclui, e muitas vezes é só um blackhole automático que tira o alvo do ar. Peça por escrito o volume que aciona a proteção, o tempo até ela agir e se o tráfego é limpo ou descartado.
Com que frequência vale ensaiar a resposta a DDoS?
Uma referência comum é ensaiar a cada semestre e sempre que mudar uma operadora ou o roteador de borda [CONFIRMAR]. O importante é que a equipe de turno faça o teste, e não só quem configurou.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 2827 (BCP 38), Network Ingress Filtering: filtro de origem forjada que impede a rede de ser usada em ataques de reflexão.
- MANRS, Mutually Agreed Norms for Routing Security: boas práticas de antispoofing, filtragem e contato entre redes.
- RFC 7999, BLACKHOLE Community: community padrão de blackhole que se combina com as operadoras.
