Quanto custa proteção DDoS: entrada e manutenção para provedores
Quanto custa proteção DDoS é a soma de duas contas: a entrada, que coloca a detecção e a contenção automática em produção, e a manutenção, que volta todo ano com licença, limpeza de tráfego e revisão de limites. O peso de cada uma muda com o volume de tráfego, o sistema escolhido e a presença de clientes que não podem ficar fora do ar. Por isso a comparação certa é a de doze meses, e não a do primeiro boleto.
Resumo
- A entrada paga a coleta de NetFlow, os limites e a ligação com as operadoras, e acontece uma vez só.
- A manutenção soma licença de sistema comercial, mensalidade de limpeza e horas de revisão quando o tráfego cresce.
- O blackhole na operadora não tem custo de limpeza, mas desliga o alvo, e por isso não serve para todo cliente.
- A proteção de menor preço vira prejuízo quando contém tudo por descarte e derruba quem estava atrás do mesmo IP.
Quanto custa proteção DDoS para um provedor?
Não há preço de tabela: o valor sai de uma proposta feita sobre o tráfego da borda, os roteadores e as ações de contenção que serão integradas. O que dá para saber antes é como a conta se divide entre o que se paga uma vez e o que volta todo ano.
Proteção contra DDoS em provedor não é um produto único. É a combinação de detecção, que percebe o ataque nos fluxos da borda, com contenção, que descarta ou desvia o tráfego antes de ele lotar o link de trânsito.
A Táquion Tech implanta a mitigação de DDoS com semanas de observação antes de ligar qualquer ação automática, e o sistema fica instalado na rede do provedor. Faixa de preço praticada pela Táquion Tech: [PREENCHER faixa de preço da Táquion Tech].
Se a rede ainda não tem um desenho de camadas, o passo anterior é o projeto, tratado no guia sobre quanto custa projeto de arquitetura anti-DDoS. Aqui o foco é a proteção já funcionando: o que se paga para tê-la e para mantê-la de pé.
Custo de entrada, custo de manter e custo do incidente
A entrada é o trabalho de colocar o sistema em produção. A manutenção é o que continua custando depois que ele já funciona, e é ela que costuma ficar fora da primeira comparação.
- Entrada: exportação de fluxos em cada roteador, coletor dimensionado, observação, ajuste de limites, testes com as operadoras e treino.
- Manutenção: licença anual quando o sistema é comercial, mensalidade quando há scrubbing e horas para revisar os limites.
- Incidente: o que se gasta num ataque que passa do previsto, como acionamento externo ou tráfego excedente na limpeza.
Do que depende o preço da proteção DDoS
O preço depende de quais camadas entram na proteção e de quem cobra por cada uma. A tabela separa o que se paga uma vez, o que volta todo ano e a quem vai cada pagamento.
| Camada | Paga uma vez | Volta todo mês ou ano | Quem recebe |
|---|---|---|---|
| Detecção por fluxos | Coletor, exportação nos roteadores e ajuste dos limites | Servidor, atualização e revisão quando o tráfego cresce | Quem implanta e a sua equipe |
| Sistema comercial | Ativação e configuração inicial | Licença, em geral por volume [CONFIRMAR com o fabricante] | Fabricante ou revenda |
| Blackhole na operadora | Teste da community com cada operadora | Nada além do trânsito na maioria dos contratos [CONFIRMAR com a operadora] | Operadora de trânsito |
| FlowSpec | Sessão e regras testadas com a operadora | Pode ser serviço adicional no contrato [CONFIRMAR com a operadora] | Operadora de trânsito |
| Limpeza de tráfego | Integração, túnel e teste de desvio | Mensalidade por capacidade, tráfego ou incidente | Fornecedor do scrubbing |
A primeira linha existe em toda proteção. As outras entram conforme o tipo de cliente e o tamanho dos ataques, e é a escolha entre elas que separa uma proposta modesta de uma proposta alta.
Sistema aberto ou comercial muda a conta do ano
Sistemas de código aberto não têm licença, mas pedem mais ajuste na implantação e alguém que os mantenha depois. Os comerciais trazem assistentes e suporte do fabricante, com renovação anual.
Na comparação, some três anos de cada opção: entrada, renovações e as horas de quem mantém. Uma licença que parece pequena no primeiro ano pode virar a maior linha da conta quando a borda dobra de tráfego.
Por que o tráfego da borda pesa tanto
Mais tráfego significa mais fluxos por segundo para o coletor processar e amostragem mais estudada para não pesar na CPU do roteador. É também o volume que costuma servir de régua para licenças e para a capacidade contratada de limpeza.
Antes de pedir proposta, separe o gráfico de pico do último mês de cada link. O guia sobre como identificar DDoS mostra o que observar nesses gráficos.
Exemplo: a conta de doze meses em dois provedores
Dois provedores com o mesmo tráfego podem ter contas anuais muito diferentes, porque a proteção segue o tipo de cliente, e não só o tamanho do link. O exemplo mostra qual fator pesou, sem valores.
Os dois têm duas operadoras de trânsito, um POP e tráfego de pico parecido. Ambos já sofreram ataques no horário nobre e decidiram automatizar a contenção.
| Item | Provedor C | Provedor D |
|---|---|---|
| Clientes | Só residenciais | Residenciais, um hospital e três links dedicados |
| Detecção | Código aberto, mantida pela equipe | Comercial, com relatórios para clientes |
| Contenção automática | Blackhole e FlowSpec nas operadoras | Blackhole para residenciais e desvio para os blocos empresariais |
| Limpeza de tráfego | Nenhuma | Sob demanda, para dois blocos /24 |
| O que se repete no ano | Horas de revisão de limites | Licença, mensalidade da limpeza e revisão |
No provedor C, quase toda a conta está na entrada, e o custo do ano seguinte é o tempo da equipe. No provedor D, o fator que mais pesou foi o contrato com o hospital: ele exige que o alvo continue no ar, e isso traz a mensalidade de limpeza e um sistema que gera relatório para o cliente. As réguas dessa mensalidade estão no guia sobre quanto custa scrubbing.
Quer a contenção automática dimensionada para a sua borda?
Na implantação de mitigação de DDoS, um Especialista mede o tráfego, separa os blocos que não podem cair e entrega escopo e valor por escrito.
Quando a proteção DDoS de menor preço vira prejuízo?
Vira prejuízo quando a proteção contém mal, contém tarde ou contém demais. Nos três casos o provedor paga e continua com assinantes fora do ar.
Sinais de que a proteção mais em conta vai sair cara
- O link vem com proteção inclusa, mas o contrato não diz a capacidade nem o tempo de ativação.
- A contenção automática liga no primeiro dia, sem período só de alertas.
- Toda ação é blackhole, inclusive para IPs do CGNAT e de clientes empresariais.
- As ações não têm tempo de expiração nem comando de retirada documentado.
- Ninguém está definido para revisar os limites quando o tráfego cresce.
- O sistema e as senhas ficam com o fornecedor, e não com o provedor.
Duas marcas ou mais indicam que a economia de hoje volta como queda amanhã. Peça a proposta corrigida nesses pontos antes de decidir.
O sinal mais caro da lista é o descarte usado para tudo. Com dezenas de assinantes atrás de cada IP público do CGNAT, um blackhole automático mal calibrado derruba mais gente do que o ataque derrubaria, e a reclamação chega como se fosse falha da rede.
Também pesa a proteção sem dono. Detecção que ninguém revisa envelhece junto com a rede: o tráfego normal cresce, os limites ficam baixos e o sistema passa a disparar em pico legítimo, como o lançamento de um jogo.
Quanto custa ficar sem proteção DDoS?
Custa as horas de queda multiplicadas por quem fica sem serviço, mais os cancelamentos e o tempo da equipe em cada ataque. A conta muda muito com o CGNAT, porque um único alvo pode levar muitos assinantes junto.
- Frequência: conte quantos ataques derrubaram ou degradaram a rede nos últimos três meses.
- Duração: anote quanto tempo cada um levou do início até a contenção, incluindo a demora para alguém perceber.
- Alcance: some quantos assinantes ficaram sem serviço em cada ataque, e não só o IP que era alvo.
- Custo por evento: aplique desconto na fatura, cancelamentos e horas da equipe a cada ataque e some o trimestre.
- Comparação: ponha o total ao lado do custo de entrada mais um ano de manutenção da proteção proposta.
A calculadora de custo de queda de rede ajuda no quarto passo. A demora para perceber o ataque costuma ser a maior parcela da duração, e é justamente o que a detecção automática corta.
O custo que aparece com a extorsão
Alguns ataques vêm com pedido de pagamento para parar. Sem contenção pronta, a pressão para ceder cresce a cada hora de rede fora, e o guia sobre extorsão com DDoS explica por que pagar não encerra o problema.
Como comparar propostas de proteção DDoS
Compare sempre o custo de doze meses, com entrada e manutenção somadas, e peça as mesmas informações a todos. Só assim propostas com réguas diferentes ficam comparáveis.
- Tráfego e bordas: informe o pico de cada link, os roteadores e se eles já exportam fluxos.
- Clientes que não podem cair: liste blocos de empresas e servidores que devem receber só alerta ou desvio.
- Ações: pergunte quais contenções entram na proposta e quais dependem de contrato com terceiros.
- Observação: peça a duração do período só de alertas e como os limites serão ajustados.
- Posse: confirme quem fica com o sistema, as senhas e a documentação no fim da implantação.
Com isso, a pergunta deixa de ser qual proposta tem o menor número e passa a ser qual protege os clientes certos pelo custo do ano. As ações por filtro na operadora estão no guia de configuração de FlowSpec.
Erros comuns ao orçar a proteção
A maior parte dos erros vem de olhar só a primeira fatura. Os quatro abaixo fazem a proteção parecer mais em conta do que vai ser ao longo do ano.
Evite ao orçar proteção contra DDoS
- Comparar só a entrada: a licença e a limpeza voltam todo ano e podem superar o valor da implantação.
- Esquecer a operadora: FlowSpec e blackhole dependem de cada contrato de trânsito e podem ter regras próprias.
- Proteger todos iguais: cliente com SLA e assinante residencial pedem ações diferentes, com custos diferentes.
- Contar só com o ataque pequeno: a proteção precisa prever o ataque maior que o link, não só o que a borda filtra.
Perguntas frequentes
A operadora de trânsito já não protege contra DDoS?
Muitas aceitam pedidos de descarte por community, e algumas vendem limpeza à parte. Sem detecção do seu lado, porém, alguém ainda precisa perceber o ataque e disparar o pedido.
Proteção DDoS tem mensalidade obrigatória?
Não necessariamente. Uma proteção com detecção de código aberto, blackhole e FlowSpec pode não ter mensalidade de terceiros; ela aparece com licença comercial ou limpeza de tráfego.
Quanto tempo leva até a contenção ficar automática?
Depende da coleta de fluxos e da duração da observação, que existe para os limites saírem do tráfego real. O prazo do seu caso vem na proposta: [PREENCHER prazo típico da implantação].
Proteção DDoS para provedor pequeno compensa o custo?
Compensa quando os ataques já derrubaram a rede mais de uma vez, porque a base pequena cai inteira atrás do mesmo link. Faça a conta de ficar sem proteção com os seus números antes de decidir.
Dá para começar só com blackhole e crescer depois?
Dá, e é um caminho comum para base residencial. O sistema de detecção pode começar disparando descarte e ganhar FlowSpec ou desvio para limpeza quando entrarem clientes com SLA.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 5635: Remote Triggered Black Hole Filtering with uRPF: descreve o blackhole disparado pela borda, a camada de contenção que normalmente não gera mensalidade extra
- RFC 8955: Dissemination of Flow Specification Rules: padrão do FlowSpec, que leva regras de filtro à operadora por BGP e mantém o alvo no ar
- Denial-of-service attack (Wikipédia em inglês): definição de ataque DDoS, tipos de ataque e formas de defesa usadas por redes e provedores
