Categoria · 19 guias
Os guias de segurança de redes para provedores mostram como usar RTBH, IPFIX, sFlow e TACACS para detectar e conter ataques e controlar quem acessa os equipamentos. Cada guia traz configuração de exemplo e o que conferir depois.
A Táquion Tech cuida da preparação da rede antes do próximo ataque, pelos serviços de segurança e proteção DDoS.
Os guias vão da detecção à resposta a um ataque DDoS: coleta de fluxos para enxergar o tráfego, descarte na borda e controle de acesso aos equipamentos.
Segurança de redes
Configuração de RTBH: é o ajuste da borda BGP para descartar todo o tráfego destinado a um IP atacado, anunciando esse IP com uma community de blackhole. O descarte pode acontecer no seu roteador de borda ou dentro da operadora, e só no segundo caso o ataque deixa de encher o seu link de trânsito.
Segurança de redes
Implantação de IPFIX: é a configuração que faz os roteadores enviarem a um coletor um resumo de cada conversa da rede, com origem, destino, portas e volume. Com isso o provedor vê quem consome o link, detecta ataques e planeja capacidade com dados reais, sem copiar o tráfego inteiro.
Segurança de redes
Implantação de sFlow: é a configuração que faz switches e roteadores enviarem a um coletor uma amostra dos pacotes, por exemplo 1 a cada 4.096, junto com os contadores das interfaces. É leve para o equipamento, funciona em quase todo switch e mostra em segundos quem está usando a rede ou atacando um IP.
Segurança de redes
Implantação de TACACS+: é centralizar o login de roteadores, switches e OLTs num servidor, com usuário próprio para cada pessoa da equipe. O mesmo servidor decide quais comandos cada um pode rodar e guarda tudo o que foi digitado, com usuário e horário.
Segurança de redes
Como identificar DDoS: compare o tráfego de agora com a linha de base da sua borda e procure três marcas juntas, que são subida brusca, destino concentrado e protocolo fora do padrão. A confirmação vem dos fluxos exportados pelo roteador, como NetFlow, sFlow ou IPFIX, que mostram alvo, vetor e tamanho do ataque enquanto ele acontece.
Segurança de redes
Como mitigar DDoS: escolha a contenção pelo tamanho e pelo vetor do ataque, aplique-a o mais longe possível do seu link e suba de camada só quando a anterior não bastar. A escada vai do filtro na borda à regra FlowSpec, ao blackhole na operadora e ao desvio para limpeza, e cada degrau cobra um preço diferente do assinante atacado.
Segurança de redes
DDoS como evitar: o ataque em si não se evita, porque quem escolhe o alvo é o atacante; o que se evita é que ele derrube a rede. Isso se faz com preparação permanente, que junta contenção combinada com as operadoras, folga de capacidade, equipamentos fechados e uma equipe que já ensaiou o que fazer.
Segurança de redes
O que é anti DDoS: é o conjunto de detecção e contenção que mantém a rede atendendo enquanto um ataque de negação de serviço acontece. Em provedor, não é um aparelho único, e sim camadas que vão da operadora de trânsito à borda, cada uma comprada ou configurada de um jeito diferente.
Segurança de redes
Quanto custa projeto de arquitetura anti-DDoS depende de quantas operadoras, bordas e clientes com contrato de disponibilidade o desenho precisa cobrir, e de quanto histórico de ataques já existe para analisar. É um valor pago uma vez, separado da implantação e de qualquer mensalidade de proteção. O jeito seguro de avaliar o preço é olhar o trabalho que cada entrega exige e comparar com o custo de comprar a camada errada.
Segurança de redes
Quanto custa proteção DDoS é a soma de duas contas: a entrada, que coloca a detecção e a contenção automática em produção, e a manutenção, que volta todo ano com licença, limpeza de tráfego e revisão de limites. O peso de cada uma muda com o volume de tráfego, o sistema escolhido e a presença de clientes que não podem ficar fora do ar. Por isso a comparação certa é a de doze meses, e não a do primeiro boleto.
Segurança de redes
Quanto custa scrubbing depende de duas contas separadas: a mensalidade do serviço de limpeza, paga ao fornecedor conforme a capacidade e o modo contratados, e a integração, que prepara o desvio e a volta do tráfego na sua borda. O valor final muda com o número de blocos protegidos, a forma de retorno e a decisão de limpar o tráfego o tempo todo ou só durante o ataque.
Segurança de redes
Como fazer hardening: primeiro se levanta o que o equipamento expõe, depois se garante um acesso de emergência e só então se fecha o que sobra, uma mudança por vez e com caminho de volta. No provedor, o trabalho começa pelos roteadores de borda e termina com uma varredura feita de fora, que prova que as portas realmente fecharam.
Segurança de redes
Como proteger MikroTik: troque o usuário padrão, desligue os serviços sem uso, limite Winbox e SSH à rede de gerência, feche DNS e descoberta para a internet e termine com um firewall na chain input. Tudo com Safe Mode ligado, uma cópia da configuração guardada fora do roteador e uma varredura de fora para conferir.
Segurança de redes
Como testar proteção DDoS: teste cada camada separadamente, com tráfego pequeno e controlado contra um IP de laboratório, em vez de simular um ataque inteiro. Primeiro se faz a conta do que o link aguenta; depois se confere se a detecção dispara, se cada operadora aceita o blackhole, se o filtro age e se o desvio para limpeza volta limpo.
Segurança de redes
Mitigação DDoS na borda ou no upstream se decide pelo tamanho do ataque em relação ao link e pelo que pode acontecer com o alvo. Na borda, o seu roteador filtra o que já chegou e só resolve o que cabe no link; no upstream, a operadora ou um serviço de limpeza para o ataque antes dele entrar, e é a única saída quando o volume passa da capacidade contratada.
Segurança de redes
NetFlow como usar: ligue a exportação nas interfaces de borda, confira se o volume do coletor bate com o da porta e passe a fazer perguntas concretas aos fluxos, como qual IP mais recebe, para quais redes vai o tráfego e quem manda coisa estranha para fora. O valor está nessas perguntas feitas toda semana, não no painel aberto só no dia do ataque.
Segurança de redes
O que é NetFlow: é um recurso do roteador que resume o tráfego em conversas, os fluxos, e envia esse resumo a um servidor chamado coletor. Cada registro diz quem falou com quem, por qual porta, com qual protocolo e quanto, sem guardar o conteúdo dos pacotes.
Segurança de redes
O que é scrubbing: é a limpeza do tráfego de um ataque DDoS feita fora da sua rede, num centro com capacidade bem maior que o seu link. O bloco atacado passa a ser entregue a esse centro, que separa os pacotes do ataque e devolve à sua borda só o tráfego dos clientes, sem desligar o endereço atacado.
Segurança de redes
O que é teste de estresse de rede: é colocar um equipamento ou um trecho da rede sob carga acima do uso normal, de forma controlada, para descobrir em que ponto ele começa a falhar. No provedor, o teste responde perguntas como quantas sessões o concentrador aceita por segundo, quantos pacotes a borda processa e o que acontece quando um link cai e o outro recebe tudo.
Escolha pelo que está acontecendo na rede, não pela sigla. Quando o caminho é o hardening dos equipamentos ou a revisão de regras, a tabela aponta o serviço em vez do guia.
| Situação | Por onde começar | Tipo |
|---|---|---|
| O tráfego de um ataque está chegando a um IP do provedor | Configuração de RTBH | Guia |
| Você não sabe de onde vem o tráfego que lota o link | Implantação de IPFIX | Guia |
| Os switches só conseguem exportar amostras de tráfego | Implantação de sFlow | Guia |
| Vários técnicos entram nos equipamentos com a mesma senha | Implantação de TACACS | Guia |
| O provedor precisa saber o que falta para o R-Ciber | Checklist R-Ciber para provedores | Ferramenta |
| As regras do firewall de borda nunca foram revisadas | Revisão de firewall | Serviço |
| Roteadores ainda têm serviços abertos para a internet | Hardening de roteadores | Serviço |
Está sob ataque e não sabe por onde começar? Fale com um Especialista
Veja os guias das outras oito categorias.
O que fazer quando a rede cai, com BGP, OLT, PPPoE, CGNAT e ataques.
Projeto de rede óptica, splitters, potência e migração para XGS-PON.
Backbone, MPLS, switches e POPs para crescer sem gargalo.
ASN, IX.br, RPKI e configuração do roteador de borda.
Endereçamento IPv6, CGNAT, PPPoE, BNG e RADIUS.
Monitoramento, Zabbix, Grafana e automação da rotina da rede.
Obrigações do provedor, SCM, registro de estação e LGPD.
Wi-Fi para hotéis e empresas, cabeamento e segmentação de rede.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
O que donos e técnicos de provedor perguntam antes de mexer na segurança da rede.
Comece por enxergar o tráfego, com NetFlow ou IPFIX na borda, e por fechar o acesso aos equipamentos. Sem esses dois passos, não dá para saber o que acontece na rede nem quem mexeu na configuração.
O RTBH descarta todo o tráfego destinado ao IP atacado, o que tira aquele cliente do ar para salvar o resto da rede. A mitigação limpa o tráfego e mantém o cliente conectado, e para isso depende de scrubbing na operadora ou em um serviço contratado.
O R-Ciber é o regulamento de segurança cibernética da Anatel e pede medidas como troca de senhas padrão, controle de acesso e aviso de incidentes [CONFIRMAR alcance e prazos na norma]. O checklist R-Ciber mostra o que já está em dia.
Não. O firewall protege os equipamentos e a gerência, mas um ataque volumétrico lota o link antes de chegar até ele, e aí o tráfego precisa ser descartado ou limpo antes de entrar na rede.
A Táquion Tech faz o hardening, a revisão de firewall e o plano de resposta a incidentes junto com o seu técnico, pelos serviços de segurança e proteção DDoS. Os guias ajudam a sua equipe a entender cada mudança feita.
Hardening, firewall, mitigação de DDoS e plano de resposta para quando o ataque vier.
Falar com o André Comercial, no WhatsApp 