O que é scrubbing: a limpeza de tráfego DDoS explicada para provedores

Resumo

• O scrubbing desvia o tráfego que chega ao bloco atacado para um centro de limpeza, antes que ele lote o seu link.
• O desvio é feito por BGP, e o tráfego limpo volta à sua borda por túnel ou por circuito dedicado.
• Só a entrada passa pela limpeza; a saída dos seus clientes continua indo direto pelas suas operadoras.
• O scrubbing vira necessidade quando o ataque passa do tamanho do link e o alvo não pode ser desligado por blackhole.

O que é scrubbing e de onde vem o nome

Scrubbing é o processo de esfregar o tráfego para tirar dele o que é ataque, e o nome vem do verbo inglês to scrub. Na prática, é um serviço que recebe os pacotes destinados aos seus IPs, filtra e devolve o que sobrou de legítimo.

O termo apareceu junto com os grandes ataques de negação de serviço, quando ficou claro que nenhum provedor conseguiria absorver sozinho um volume várias vezes maior que o próprio trânsito. A saída foi concentrar a capacidade em poucos lugares, os centros de limpeza, e levar o tráfego até eles só quando necessário.

Um ataque DDoS volumétrico lota o link antes de chegar ao roteador de borda. Por isso, qualquer filtro que você coloque dentro de casa chega tarde: o assinante já sente a perda de pacotes no momento em que o tráfego atravessa o cabo da operadora. O scrubbing resolve isso mudando o lugar onde o filtro age.

A Táquion Tech faz a integração com serviços de scrubbing na borda do provedor: a sessão com o fornecedor, o caminho de retorno, os registros dos blocos e o teste do desvio. O serviço de limpeza é contratado por você, direto com o fornecedor escolhido.

O que é um centro de limpeza de tráfego

É um conjunto de equipamentos de filtragem instalado em pontos de troca e grandes data centers, com conexões de centenas de gigabits ou mais. Os fornecedores mantêm vários centros em países diferentes e somam a capacidade de todos para receber ataques muito grandes.

Para o provedor brasileiro, conta mais a capacidade que fica perto daqui. Se o centro mais próximo está em outro continente, o tráfego dos seus clientes viaja até lá e volta enquanto durar o desvio, e jogos, chamadas de voz e videoconferências sentem o atraso.

O que scrubbing não é

Scrubbing não é firewall, não é antivírus e não impede que o ataque seja lançado. Ele também não serve para o ataque pequeno que a sua própria borda já descarta, porque desviar tráfego por BGP tem custo e leva algum tempo para propagar.

• Não é blackhole: o blackhole descarta todo o tráfego do IP atacado, inclusive o legítimo; a limpeza preserva o legítimo.
• Não é FlowSpec: o FlowSpec aplica uma regra de filtro nos roteadores da operadora; a limpeza leva o tráfego para outro lugar.
• Não é aumento de link: mais banda adia o problema, mas o ataque seguinte pode ser maior que qualquer link que caiba no orçamento.

Como funciona scrubbing DDoS, do desvio à volta do tráfego

O scrubbing funciona em quatro movimentos: alguém percebe o ataque, o fornecedor passa a anunciar o seu bloco, a internet entrega o tráfego ao centro de limpeza e o tráfego limpo volta à sua borda. O diagrama abaixo mostra cada etapa.

1. 1 · Detecção

   O ataque aparece nos fluxos

   A coleta de fluxos da borda mostra um destino recebendo muito mais que o normal, e o desvio é acionado.

2. 2 · Anúncio

   O fornecedor anuncia o seu bloco

   O serviço passa a anunciar o /24 atacado por BGP, e as redes da internet preferem esse caminho.

3. 3 · Filtragem

   O centro separa o ataque

   Os pacotes chegam ao centro de limpeza, que descarta o que tem assinatura de ataque e mantém o resto.

4. 4 · Retorno

   O tráfego limpo volta à borda

   O que sobrou segue por túnel GRE ou circuito dedicado até o seu roteador, que entrega ao cliente.

A saída do tráfego não muda. As respostas dos seus clientes continuam saindo pelas suas operadoras, e só o sentido de chegada passa pelo centro.

Esse caminho de ida por um lado e volta por outro se chama roteamento assimétrico. É normal no scrubbing, mas exige que nenhum filtro antispoofing ou regra de estado na sua borda descarte as respostas por achar que elas não combinam com a entrada.

Como o desvio por BGP leva o tráfego ao centro

Quando o fornecedor anuncia o seu bloco, as redes da internet passam a ter dois caminhos para ele, e escolhem o do fornecedor por estar mais perto ou por ser mais específico. Em IPv4, o menor bloco aceito pela maioria das redes é o /24, por isso o desvio acontece de /24 em /24.

Para esse anúncio ser aceito, o ROA do bloco no RPKI precisa autorizar o ASN do fornecedor, e o registro de rota precisa existir. O guia sobre validação de origem de rotas mostra por que um anúncio sem autorização é descartado pelas redes que validam.

O que acontece dentro do centro de limpeza?

A filtragem combina várias técnicas em sequência, e cada uma tira uma parte do ataque. O que sobra depois da última etapa é o que volta para você.

• Descarte por assinatura: pacotes UDP vindos das portas usadas em amplificação, como DNS, NTP, SSDP e memcached, são descartados ou limitados.
• Validação de protocolo: conexões TCP que não completam o aperto de mão são barradas antes de chegar ao servidor.
• Limite de taxa: cada origem pode mandar só um volume compatível com o uso normal daquele destino.
• Reputação: endereços já vistos em outros ataques recebem filtro mais duro durante o incidente.
• Perfil aprendido: o centro compara o tráfego atual com o que aquele bloco recebia antes do ataque.

GRE ou circuito dedicado no retorno

O túnel GRE funciona pela própria internet e não exige obra, mas acrescenta cabeçalho a cada pacote. Sem ajuste do tamanho máximo de segmento, sites e VPNs param de abrir durante o desvio.

O circuito dedicado até o fornecedor evita esse ajuste e aguenta mais volume, mas depende de ponto de presença compartilhado e de ativação física. A escolha entre os dois costuma seguir o tamanho do tráfego legítimo que precisa voltar.

Scrubbing, blackhole e FlowSpec diante do mesmo ataque

As três ferramentas param ataques grandes, mas tratam o tráfego legítimo de formas opostas. A tabela mostra o que cada uma faz com o cliente atacado e do que depende.

O que blackhole, FlowSpec e scrubbing fazem com um ataque maior que o link

Ferramenta	Onde o ataque é parado	O que acontece com o cliente atacado	Do que depende
Blackhole	Na rede da operadora, antes do seu link	Fica sem internet enquanto o descarte durar	Community liberada por cada operadora
FlowSpec	Nos roteadores da operadora, por regra de filtro	Continua no ar se o ataque tem padrão claro	Operadora que aceite FlowSpec do cliente
Scrubbing	No centro de limpeza, fora da sua rede	Continua no ar, com um pouco mais de latência	Contrato com fornecedor, ROA e caminho de retorno

O blackhole resolve quase tudo para a base residencial, e o guia sobre o que é blackhole BGP explica o descarte em detalhe. O FlowSpec funciona bem quando todo o ataque vem de uma porta ou protocolo, como mostra a configuração de FlowSpec.

O scrubbing entra onde os outros dois falham: ataque misturado, sem assinatura única, contra um IP que não pode ser desligado. Ele é a camada mais cara do conjunto, e as outras camadas estão no guia sobre o que é anti-DDoS.

Em que momento a falta de scrubbing vira problema?

Vira problema no dia em que o ataque passa do tamanho do link e o alvo é alguém que não pode ser desligado. Até lá, o blackhole costuma dar conta, e o provedor nem percebe que falta uma camada.

Muitos provedores só descobrem esse limite no meio de um ataque, quando disparam o blackhole e o telefone do cliente empresarial toca logo em seguida. Os sinais abaixo aparecem antes, para quem olha o histórico.

O caso do pool público do CGNAT

Com CGNAT, dezenas de assinantes saem pelo mesmo endereço público. Um blackhole nesse endereço derruba todos eles, e o atacante, que mirava um jogador, acaba tirando do ar uma rua inteira.

Para esse caso, desviar o bloco do pool para limpeza mantém os assinantes conectados. A conta de quando isso compensa está no guia sobre quanto custa scrubbing.

Erros comuns de quem já tem scrubbing

Ter o serviço contratado não é o mesmo que estar protegido. Estas falhas aparecem com frequência no primeiro desvio de verdade.

Na prática: um ataque misto contra um cliente empresarial

Um caso típico mostra como o scrubbing se encaixa no restante da defesa. O ataque mistura amplificação e pacotes TCP, e o alvo é um cliente que paga por disponibilidade.

1. Detecção: os fluxos da borda mostram um IP de cliente empresarial recebendo várias vezes o tamanho do link, com UDP de várias portas e SYN em excesso.
2. Primeira reação: o NOC descarta por FlowSpec o UDP de amplificação, mas o SYN continua e o link segue cheio.
3. Desvio: o /24 do cliente é anunciado pelo fornecedor de limpeza, e em poucos minutos o tráfego de entrada passa a chegar pelo túnel.
4. Conferência: o cliente segue navegando, o link de trânsito esvazia e o NOC confere se sites com pacotes grandes continuam abrindo.
5. Retirada: quando o ataque para, o anúncio é retirado pelo roteiro e o tráfego volta ao caminho normal sem oscilação de rotas.

Sem a limpeza, a única saída seria o blackhole do IP do cliente, que cumpriria o objetivo do atacante. Para a detecção da primeira etapa, o guia sobre como identificar DDoS mostra o que os fluxos revelam.

Quando vale ter scrubbing e quando o blackhole basta?

Vale ter scrubbing quando existe pelo menos um bloco com clientes que não podem ser desligados e ataques maiores que o link. Para base só residencial, sem cliente com contrato, o blackhole bem configurado costuma bastar.

• Só residencial: blackhole por operadora, filtros na borda e detecção pelos fluxos resolvem a grande maioria dos casos.
• Residencial com poucos clientes empresariais: concentre esses clientes num mesmo /24 e proteja só esse bloco com limpeza sob demanda.
• Muitos clientes com contrato: a limpeza deixa de ser exceção, e o acionamento automático passa a valer a conta.
• Alvo frequente, como hospedagem ou servidor de jogo: o modo sempre ligado evita o tempo de ativação a cada ataque.

O scrubbing exige um bloco /24 inteiro para desviar, registros em dia e um caminho de retorno testado. Por isso a decisão vem antes do contrato: primeiro se escolhe quais blocos precisam de limpeza, depois o fornecedor.

Perguntas frequentes

Fontes

1. DDoS mitigation (Wikipédia em inglês): explica os centros de limpeza e o redirecionamento do tráfego atacado para filtragem fora da rede de destino
2. RFC 2784: Generic Routing Encapsulation (GRE): define o túnel GRE usado para devolver o tráfego limpo à borda do provedor
3. RFC 4459: MTU and Fragmentation Issues with In-the-Network Tunneling: trata da perda de tamanho útil de pacote dentro de túneis, motivo do ajuste no caminho de retorno