O que é anti-DDoS: as camadas de proteção explicadas para provedores
O que é anti DDoS: é o conjunto de detecção e contenção que mantém a rede atendendo enquanto um ataque de negação de serviço acontece. Em provedor, não é um aparelho único, e sim camadas que vão da operadora de trânsito à borda, cada uma comprada ou configurada de um jeito diferente.
Resumo
- Anti-DDoS junta detecção por NetFlow, contenção na operadora, filtro na borda e limpeza externa de tráfego.
- Um aparelho instalado dentro do POP não segura ataque maior que o link que chega até ele.
- Link "com anti-DDoS" pode ser limpeza de verdade ou só blackhole automático, e é o contrato que diz qual.
- Boa parte da proteção sai de configuração e de acordo com as operadoras, sem compra de equipamento.
O que é anti DDoS, sem jargão de fornecedor
Anti-DDoS é o nome de qualquer medida ou serviço que detecta um ataque de negação de serviço e impede que ele derrube o alvo. O termo cobre desde uma regra no roteador até um centro de limpeza do outro lado do país.
Num ataque DDoS, milhares de máquinas mandam tráfego ao mesmo tempo contra um endereço até ele parar de responder. Em provedor regional, o estrago costuma ir além do alvo, porque o link de trânsito lota e todos os assinantes sentem; o guia de ataque DDoS no provedor descreve esse efeito.
Anti-DDoS é, portanto, tudo o que separa o ataque da queda. No provedor, essas peças formam a proteção DDoS para provedor, e o que define a qualidade da proteção é a combinação delas, não o nome de um produto.
Por que o termo confunde quem vai comprar
Fabricantes, operadoras e prestadores usam a mesma palavra para coisas muito diferentes. Um vende um aparelho, outro vende um link com proteção, um terceiro vende o desvio para um centro de limpeza.
Todos dizem entregar anti-DDoS, e todos entregam uma parte. O problema aparece quando o provedor compra uma camada achando que comprou todas e descobre a diferença no primeiro ataque grande.
Anti-DDoS de site e anti-DDoS de provedor
Muita gente conhece o termo pelos serviços que protegem sites, como CDNs e proxies reversos. Eles recebem as visitas no lugar do servidor, filtram requisições suspeitas e só repassam o que parece legítimo.
Esse modelo funciona para quem tem um site ou uma aplicação, porque o tráfego pode passar por outro lugar. O provedor não tem essa opção para a base inteira: o tráfego dos assinantes precisa entrar pela própria rede, e por isso o anti-DDoS de provedor trabalha com rotas, operadoras e prefixos, e não com páginas e requisições.
A única exceção são os serviços do próprio provedor que ficam expostos, como o portal do assinante e o DNS autoritativo. Para eles, uma proteção no estilo de site pode somar às camadas de rede.
Quais são as camadas de um anti-DDoS de provedor?
São cinco camadas: detecção, contenção na operadora, filtro na borda, limpeza externa e rede fechada. Só duas delas seguram um ataque maior que o seu link.
| Camada | O que faz | Onde fica | Segura ataque maior que o link? |
|---|---|---|---|
| Detecção | Aponta alvo, vetor e tamanho pelos fluxos e dispara a contenção | Coletor ligado à borda | Não, sozinha não contém nada |
| Contenção na operadora | Descarta o tráfego por blackhole ou regra FlowSpec antes do seu link | Rede da operadora ou IX | Sim |
| Filtro na borda | Descarta vetores conhecidos com ACL ou firewall | Seu roteador de borda | Não |
| Limpeza externa | Separa o tráfego ruim e devolve o bom por túnel ou circuito | Centro de scrubbing | Sim, até a capacidade contratada |
| Rede fechada | Tira alvos da borda e impede a rede de atacar outras | Borda, CGNAT e CPEs | Não se aplica |
A coluna da direita explica a maior parte dos desencontros entre o que o provedor esperava e o que recebeu. A camada que mais aparece em proposta comercial, o equipamento no POP, é justamente uma das que não seguram ataque grande.
Detecção não é proteção, mas sem ela nada funciona
A detecção não descarta um pacote sequer. O valor dela está em dizer, em minutos, qual IP proteger e com que regra, e em acionar a contenção sem esperar alguém acordar.
Quem ainda não tem essa camada pode começar pelo guia de como identificar DDoS, que mostra a linha de base e os alarmes por destino.
Como o anti-DDoS age no caminho do ataque
O anti-DDoS age em sequência: detecta, decide, contém longe do link e devolve o tráfego bom. Quanto mais automática a sequência, menor o tempo de rede lenta.
1 · Detectar
Fluxos mostram o desvio
O coletor compara o tráfego com a linha de base e acha o destino fora do normal.
2 · Decidir
Escolher a contenção
Tamanho e vetor definem se basta um filtro ou se é preciso agir na operadora.
3 · Conter
Descartar antes do link
Regra FlowSpec, blackhole ou desvio do prefixo para o centro de limpeza.
4 · Devolver
Tráfego bom de volta
Na limpeza, o tráfego legítimo volta por túnel; no blackhole, o alvo fica fora até o fim.
Num anti-DDoS manual, cada seta é uma pessoa fazendo algo no meio da noite. Num automático, o detector dispara a regra e a equipe só confirma.
A diferença entre os modelos aparece no relógio. A etapa de conter, em especial, depende de acordos feitos antes com as operadoras, porque é na rede delas que o tráfego ruim precisa morrer; o guia de como mitigar DDoS detalha cada degrau.
Quer saber quais camadas faltam na sua rede?
Na proteção DDoS da Táquion Tech, um Especialista levanta o que você já tem, mostra o que falta e monta a sequência de contenção com as suas operadoras.
O que se compra quando se compra anti-DDoS?
Compra-se uma ou mais camadas, em forma de equipamento, link protegido, serviço de limpeza, software ou serviço gerenciado. Cada formato cobre um pedaço e deixa outro de fora.
| Formato | O que você recebe | O que não cobre |
|---|---|---|
| Equipamento no POP | Filtro e detecção dentro da sua rede | Ataque maior que o link de entrada |
| Link com anti-DDoS | Proteção aplicada pela operadora no link dela | O tráfego que entra pelas outras operadoras e pelo IX |
| Limpeza sob demanda | Desvio do prefixo atacado para limpeza quando há ataque | Os minutos até o desvio ser acionado |
| Limpeza sempre ligada | Todo o tráfego do prefixo passa pela limpeza o tempo todo | Os prefixos que ficaram fora do contrato de desvio |
| Software de detecção | Alarmes e disparo automático de regras | A contenção em si, que continua dependendo das operadoras |
| Serviço gerenciado | Equipe que configura, acompanha e age no ataque | O que não foi combinado com as operadoras |
Na prática, um anti-DDoS completo combina dois ou três formatos. O scrubbing de tráfego cobre a limpeza, e o pacote anti-DDoS junta as peças num escopo fechado.
Link com anti-DDoS: o que perguntar à operadora
O link protegido é a oferta mais comum e a mais difícil de comparar. Antes de assinar, peça as respostas por escrito.
- Gatilho: a partir de que volume ou de que padrão a proteção entra em ação.
- Tempo: quanto tempo passa entre o começo do ataque e a contenção ativa. [CONFIRMAR com cada operadora]
- Ação: se o tráfego é limpo e entregue ou se o IP atacado vai para o blackhole.
- Controle: se o provedor consegue pedir, ajustar e retirar a proteção sozinho.
- IPv6: se a proteção vale para os prefixos IPv6 do mesmo jeito.
Exemplo: dois provedores diante do mesmo ataque
Dois provedores com links do mesmo tamanho recebem o mesmo ataque de reflexão, maior que a banda de cada um. Um comprou um equipamento para o POP; o outro combinou contenção com as operadoras.
- Provedor A: o equipamento detecta o ataque em segundos, mas o link de trânsito já chega lotado e nenhuma regra dentro do POP devolve a banda.
- Provedor B: o detector dispara uma regra FlowSpec para a operadora, que descarta o vetor antes do link, e os assinantes quase não percebem.
Num ataque menor que o link, o resultado se inverte: o equipamento do provedor A filtra sozinho, sem depender de ninguém. A conclusão não é que o aparelho é inútil, e sim que ele resolve um tamanho de ataque e não o outro.
O exemplo mostra por que a escolha começa pelo histórico de ataques e pelo tamanho dos links, e não pelo catálogo. O guia de DDoS, como evitar mostra a preparação que vem antes da compra.
Quando a falta de anti-DDoS vira problema?
Vira problema quando um ataque comum, contra um único assinante, consegue deixar a cidade inteira lenta. A partir daí, cada ataque vira queda, e cada queda vira reclamação e cancelamento.
Marque o que já aconteceu no seu provedor
- Um ataque contra um assinante deixou toda a base lenta.
- O link lotou e ninguém soube dizer qual IP era o alvo.
- A operadora só agiu depois de muita insistência por telefone.
- O provedor recebeu proposta de anti-DDoS e não soube comparar com outra.
- Um cliente empresarial pediu comprovação de proteção contra ataque.
Uma marca já indica que a rede depende da sorte em ataques grandes. Duas ou mais pedem um desenho de proteção antes da próxima compra.
A Táquion Tech projeta o anti-DDoS sem vender equipamento, comparando lado a lado as opções que cabem na sua rede e nos seus links. O projeto está descrito na arquitetura anti-DDoS.
Erros comuns ao escolher anti-DDoS
Os erros de escolha costumam vir de comparar preço antes de comparar cobertura. Os mais frequentes são estes.
Evite
- Comprar equipamento para o POP esperando que ele segure ataque maior que o link.
- Assinar link protegido sem saber se a proteção limpa ou só descarta.
- Proteger uma operadora e deixar o ataque entrar pelas outras.
- Contratar limpeza externa e nunca testar o desvio.
- Tratar detecção como proteção e não combinar a contenção.
Perguntas frequentes
Anti-DDoS é a mesma coisa que firewall?
Não. O firewall controla quem pode falar com quem dentro da capacidade do link, enquanto o anti-DDoS lida com volume, muitas vezes fora da sua rede. Num ataque maior que o link, o firewall nem chega a ver o problema.
Todo provedor precisa de anti-DDoS?
Todo provedor precisa de pelo menos detecção e contenção combinada com as operadoras, porque ataque contra assinante é comum em rede regional. Limpeza externa e equipamento dependem do histórico e do tipo de cliente.
Anti-DDoS deixa a internet do assinante mais lenta?
Fora do ataque, a detecção e a contenção não mexem no caminho do tráfego. Na limpeza sempre ligada, o tráfego faz um desvio e pode ganhar alguns milissegundos de latência. [CONFIRMAR com o fornecedor]
Dá para montar anti-DDoS com software livre?
Dá para montar a detecção com coletores de fluxo e detectores de código aberto, ligados ao disparo de blackhole e FlowSpec. A contenção continua dependendo das operadoras, e a limpeza de ataques grandes, de um serviço externo.
Qual a diferença entre anti-DDoS e mitigação de DDoS?
Anti-DDoS é o conjunto de proteção, montado antes do ataque. Mitigação é o que esse conjunto faz durante o ataque, quando descarta ou desvia o tráfego ruim.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 4732, Internet Denial-of-Service Considerations: visão geral dos ataques de negação de serviço e das formas de defesa.
- DDoS mitigation (Wikipédia em inglês): etapas de detecção, desvio, filtragem e análise de um anti-DDoS.
- RFC 8955, Dissemination of Flow Specification Rules: regras FlowSpec usadas para conter o ataque na rede da operadora.
