Guia de preço · Arquitetura anti-DDoS
Quanto custa projeto de arquitetura anti-DDoS: guia para provedores
Quanto custa projeto de arquitetura anti-DDoS depende de quantas operadoras, bordas e clientes com contrato de disponibilidade o desenho precisa cobrir, e de quanto histórico de ataques já existe para analisar. É um valor pago uma vez, separado da implantação e de qualquer mensalidade de proteção. O jeito seguro de avaliar o preço é olhar o trabalho que cada entrega exige e comparar com o custo de comprar a camada errada.
Resumo
- O projeto anti-DDoS é pago uma vez e entrega o desenho; implantação, licença e limpeza de tráfego são contas à parte.
- Operadoras de trânsito, pontos de saída e clientes com SLA são o que mais aumenta o trabalho do levantamento.
- Sem exportação de NetFlow, o projeto depende de gráficos e relatos e leva mais horas para chegar aos mesmos limites.
- O projeto de menor preço vira prejuízo quando existe só para justificar a venda de um equipamento.
Quanto custa projeto de arquitetura anti-DDoS?
O projeto é um serviço fechado, com valor escrito na proposta depois de uma conversa sobre a borda e os ataques recentes. Não há tabela pública de preço para esse tipo de trabalho, e por isso o caminho é entender o que move o valor.
Um ataque DDoS contra um único assinante pode lotar o link de trânsito e derrubar a cidade inteira que depende dele. O projeto decide, antes de qualquer compra, em que ponto cada tamanho de ataque será contido: na operadora, num serviço de limpeza ou na própria borda.
A Táquion Tech faz o projeto de arquitetura anti-DDoS com acesso só de leitura e entrega duas ou três opções de proteção, cada uma com custo estimado. Faixa de preço praticada pela Táquion Tech: [PREENCHER faixa de preço da Táquion Tech].
Quem ainda está entendendo as camadas pode começar pelo guia sobre o que é anti-DDoS. Este texto trata só do dinheiro: o que encarece o desenho, como comparar propostas e quanto custa seguir sem ele.
Projeto, implantação e proteção contínua são três contas
O erro mais frequente na hora de orçar é misturar o desenho com o que vem depois dele. São três desembolsos com lógicas próprias, e cada um merece uma pergunta separada ao fornecedor.
- Projeto: pago uma vez, entrega o desenho das camadas, os requisitos para as operadoras e o procedimento da equipe.
- Implantação: coloca em produção o que foi escolhido, como detecção pelos fluxos, communities e filtros na borda.
- Proteção contínua: licenças, mensalidade de limpeza de tráfego e horas de quem revisa limites, que voltam todo ano.
Das três, o projeto é a única que não se repete, e a conta das outras duas está no guia sobre quanto custa proteção DDoS. Um desenho bem feito continua valendo até a rede mudar de forma, seja com uma operadora nova, um POP novo ou a chegada de clientes empresariais.
O que encarece cada entrega do projeto anti-DDoS
O preço cresce com o trabalho que cada entrega exige, e esse trabalho depende mais do desenho da rede do que do tamanho da base. A tabela mostra o que pesa em cada etapa e o que o provedor pode adiantar para reduzir horas.
| Entrega | O que aumenta o trabalho | O que o provedor pode adiantar |
|---|---|---|
| Histórico de ataques | Ataques sem data, tamanho nem alvo registrados, só lembrados pela equipe | Prints dos gráficos dos links nos dias de queda, com horário |
| Mapa das operadoras | Cada operadora de trânsito e cada porta em IX com regras próprias de descarte | Contrato, contato técnico e página de communities de cada operadora |
| Folga dos links | Links sem gráfico de pico confiável, medidos só pela média do dia | Gráfico de 30 dias de cada link, com o pico da noite |
| Separação de clientes | Empresas com SLA espalhadas em blocos misturados com residenciais | Lista dos clientes com contrato de disponibilidade e o bloco de cada um |
| CGNAT | Muitos assinantes atrás de cada IP público, sem regra de distribuição | Quantidade de IPs públicos do pool e assinantes por IP |
| Procedimento da equipe | Ninguém definido para acionar a contenção à noite e no feriado | Nomes e telefones de quem pode mexer na borda |
Repare que nenhuma linha fala em número de assinantes. Um provedor pequeno com três operadoras, porta no IX.br e uma prefeitura com SLA pode exigir mais trabalho do que um provedor maior com uma operadora e base só residencial.
Por que não há faixa de mercado confiável para o projeto?
Não existe tabela oficial de preço para projeto anti-DDoS, como existe para as taxas da Anatel ou para os blocos do Registro.br. Os números que circulam saem de quem vende o serviço ou o equipamento, e cada um inclui coisas diferentes.
Há também o projeto que aparece como cortesia na proposta de um equipamento. Nesse caso o desenho não some da conta: ele vem embutido no preço da caixa e tende a terminar sempre na mesma recomendação, que é comprar a caixa.
O peso de não ter coleta de fluxos
Sem NetFlow, sFlow ou IPFIX exportados, o Especialista não vê qual IP recebeu cada ataque nem de que tipo ele foi. O levantamento passa a depender de gráficos de interface e do relato da equipe, o que leva mais tempo e dá limites menos precisos.
Ligar a exportação de fluxos algumas semanas antes de pedir o projeto costuma encurtar o levantamento. O guia de implantação de sFlow mostra o caminho para os roteadores que não fazem NetFlow.
Exemplo: dois provedores pedindo o mesmo projeto
Dois provedores com bases parecidas podem receber propostas bem diferentes, e o motivo aparece quando se olha a borda de cada um. O exemplo não usa valores, só mostra qual fator pesou.
Os dois atendem cidades vizinhas e têm número parecido de assinantes. Ambos caíram com ataques nos últimos meses e pediram um projeto antes de aumentar o link de trânsito.
| Ponto da rede | Provedor A | Provedor B |
|---|---|---|
| Operadoras de trânsito | Uma, com community de descarte já testada | Três, mais porta no IX, nenhuma testada |
| Pontos de saída | Um POP com um roteador de borda | Dois POPs em cidades diferentes |
| Clientes com SLA | Nenhum | Prefeitura, hospital e dois links dedicados |
| Coleta de fluxos | NetFlow exportado há meses | Nenhuma, só gráficos de interface |
| Histórico | Ataques anotados com data e alvo | Lembrança da equipe e reclamações de assinantes |
No provedor A, o projeto se resume a confirmar o descarte na operadora, fechar a borda e escrever quem aciona. No provedor B, o fator que mais pesou foram os clientes com SLA: eles obrigam a estudar limpeza externa, separar blocos e calcular a folga de três operadoras, além de montar a coleta antes de medir qualquer coisa. A mensalidade dessa limpeza, que vem depois do projeto, está detalhada no guia sobre quanto custa scrubbing.
Quer saber quanto trabalho o desenho da sua borda exige?
No projeto de arquitetura anti-DDoS, um Especialista lê a borda com acesso só de leitura e devolve escopo, prazo e valor por escrito antes de começar.
Se a urgência é o ataque desta semana, e não o desenho, o roteiro de ataque DDoS no provedor mostra como achar o alvo e conter sem derrubar a cidade.
Quando o projeto de menor preço sai caro?
O projeto de menor preço sai caro quando entrega um desenho genérico, que não muda nada na rede real, ou quando serve de porta de entrada para uma venda. O prejuízo aparece no primeiro ataque depois da compra.
Sinais de que a proposta de projeto vai custar mais do que parece
- A proposta não traz nenhuma opção de proteção sem compra de equipamento.
- Quem desenha é o mesmo fornecedor que vende o aparelho indicado no desenho.
- Não há levantamento das communities de descarte de cada operadora.
- O desenho trata empresas com SLA e assinantes residenciais da mesma forma.
- Não há procedimento escrito para a madrugada, com o nome de quem aciona.
- O documento não cita a folga de cada link no horário de pico.
Duas marcas ou mais indicam um desenho que não foi feito para a sua borda. Peça a revisão do escopo antes de comparar o preço com outra proposta.
O caso mais caro é o do equipamento comprado antes do desenho. Uma caixa de filtragem dentro do POP só limpa o que cabe no link, e o ataque maior que ele chega já depois do gargalo; o guia como mitigar DDoS mostra por que a contenção precisa começar antes do link.
Outro prejuízo comum vem do desenho que manda descartar tudo por blackhole. Com CGNAT, cada IP descartado tira dezenas de assinantes do ar, e o provedor troca uma queda por ataque por uma queda causada pela própria proteção.
Quanto custa não ter o projeto de arquitetura anti-DDoS?
Seguir sem projeto custa em três frentes: quedas que se repetem, compras que não resolvem e link aumentado que recebe o mesmo ataque. A conta abaixo usa os números do seu provedor, não médias de mercado.
- Quedas: some as horas de queda por ataque nos últimos seis meses e multiplique pelo número de assinantes atrás do link afetado.
- Cancelamentos: conte quantos assinantes saíram nas semanas seguintes às quedas e multiplique pela mensalidade e pelos meses que ainda ficariam.
- Equipe: some as horas de técnico acordado de madrugada e o suporte externo pago durante os ataques.
- Compras: liste o que foi comprado ou contratado por causa dos ataques e se aquilo segurou o ataque seguinte.
A calculadora de custo de queda de rede faz a parte das quedas e dos cancelamentos com os seus números. Compare o total do semestre com o valor da proposta de projeto: é essa diferença que mostra se o desenho se paga.
Aumentar o link não substitui o desenho
Dobrar o trânsito parece proteção, mas um ataque maior que os dois tamanhos derruba o link do mesmo jeito. O link maior muda o valor da fatura mensal, enquanto o ponto de contenção continua indefinido.
O desenho define quanta folga faz sentido ter e qual parte do ataque fica com a operadora. O guia DDoS: como evitar mostra a preparação que acompanha essa decisão.
Como comparar propostas de projeto anti-DDoS
Mande a mesma descrição da borda a todos os fornecedores e peça que respondam pelas mesmas entregas. Só com o escopo lado a lado o preço passa a dizer alguma coisa.
- Descrição da borda: operadoras, capacidade de cada link, roteadores, CGNAT e se há exportação de fluxos.
- Clientes sensíveis: quantos têm contrato de disponibilidade e em quais blocos estão.
- Entregas: peça a lista de documentos do fim do projeto, com diagrama, opções com custo e procedimento.
- Acesso: confirme que o levantamento é só de leitura e que nada muda sem aprovação.
- Independência: pergunte se o fornecedor vende, ou recebe comissão por, algum equipamento citado.
Com as respostas, monte uma linha por fornecedor e uma coluna por entrega. Uma proposta mais alta que traz o procedimento e o mapa das operadoras pode sair mais em conta do que outra que entrega só um diagrama.
Erros comuns ao orçar o projeto
Os erros de orçamento vêm de comparar números sem comparar o que está por trás deles. Estes quatro aparecem com frequência em provedores regionais.
Evite ao orçar o projeto anti-DDoS
- Somar projeto e implantação: uma proposta que junta as duas coisas não se compara com outra que só desenha.
- Ignorar a segunda operadora: cada contrato novo de trânsito traz regras de descarte próprias para mapear.
- Pular o histórico: sem dados dos ataques, os limites do desenho saem de valores padrão, e não da sua rede.
- Esquecer o RTBH: o descarte disparado pela borda costuma ser a camada de menor custo, como mostra a configuração de RTBH.
Perguntas frequentes
O projeto anti-DDoS é cobrado por hora ou por valor fechado?
O mais comum é valor fechado, calculado sobre o escopo levantado na primeira conversa. Pergunte o que acontece se o levantamento revelar uma borda maior do que a descrita.
Provedor pequeno precisa pagar por um desenho de proteção?
Precisa ter o desenho, mesmo que simples, porque o ataque derruba a base pequena do mesmo jeito. Em redes com uma operadora e sem clientes com SLA, o projeto tende a ser curto.
O valor do projeto inclui o equipamento de proteção?
Não deveria incluir, e a Táquion Tech não vende equipamento. O projeto diz se vale comprar algo e compara essa compra com opções que usam a borda e as operadoras que você já tem.
Depois de quanto tempo o projeto precisa ser refeito?
Quando a rede muda de forma, por exemplo com uma operadora nova, um POP novo ou a chegada de clientes com SLA. Sem essas mudanças, o desenho continua valendo e só os limites de detecção são revistos.
Dá para usar o projeto com outra empresa implantando?
Dá, porque o desenho traz requisitos escritos para as operadoras e os fornecedores. A implantação pode ficar com a sua equipe, com a Táquion Tech ou com outra empresa.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- Recomendações para melhorar o cenário de ataques DDoS (CERT.br): recomendações do CERT.br para redes e provedores reduzirem o impacto de ataques distribuídos de negação de serviço
- RFC 7999: BLACKHOLE Community: community padrão para pedir descarte às operadoras, uma das camadas que o projeto mapeia em cada contrato de trânsito
- DDoS mitigation (Wikipédia em inglês): visão geral das técnicas de contenção, como descarte, filtragem e centros de limpeza de tráfego
