Arquitetura anti-DDoS
O desenho da proteção, das operadoras à borda, antes de investir.
Ver o projeto de arquitetura anti-DDoSSegurança e DDoS · Provedores
Proteção DDoS para provedor: arquitetura, mitigação e resposta a incidentes
Contenção antes do link, detecção pelos fluxos da borda e equipamentos fechados para quem tenta invadir ou usar a sua rede como arma.
- Contenção antes do link de trânsito
- Ataque detectado pelos fluxos da borda
- Roteadores e OLTs com acesso fechado
Proteção DDoS para provedor é o conjunto de medidas que mantém a rede de pé durante um ataque: contenção na operadora, detecção pelos fluxos da borda e equipamentos sem portas abertas. A Táquion Tech projeta, implanta e atende incidentes à distância para provedores de todo o Brasil, com visita ao POP no litoral de Santa Catarina [CONFIRMAR área de atendimento].
Serviços de segurança e anti-DDoS
São dezoito serviços em três frentes: proteção contra DDoS, segurança dos equipamentos e resposta a incidentes. Escolha pelo risco que mais preocupa hoje.
-
-
Mitigação de DDoS
Detecção automática e contenção ligadas à sua borda.
Ver a implantação de mitigação de DDoS -
Mitigação emergencial
Especialista na sua borda durante o ataque.
Ver a mitigação emergencial de DDoS -
Scrubbing de tráfego
Desvio do tráfego atacado para limpeza, sem tirar o alvo do ar.
Ver a integração com scrubbing -
Análise de fluxos com NetFlow
Fluxos coletados para achar o alvo e o tipo de ataque em minutos.
Ver a análise de fluxos com NetFlow -
Avaliação de resiliência
Quanto a sua rede aguenta hoje e o que fazer primeiro.
Ver a avaliação de resiliência anti-DDoS -
Hardening de roteadores
Roteadores sem portas abertas, senhas padrão ou serviços expostos.
Ver o hardening de roteadores -
Hardening de OLTs
Acesso às OLTs fechado, com usuários individuais e registro.
Ver o hardening de OLTs -
-
Varredura de vulnerabilidades
Busca por falhas conhecidas nos equipamentos expostos.
Ver a varredura de vulnerabilidades -
Pentest de infraestrutura
Teste de invasão na infraestrutura, com escopo e regras combinados.
Ver o pentest em infraestrutura de provedor -
Política de segurança cibernética
Política de segurança escrita para o tamanho do seu provedor.
Ver a política de segurança cibernética -
Plano de resposta a incidentes
Quem faz o quê quando acontece um incidente.
Ver o plano de resposta a incidentes -
Resposta a incidentes
Investigação e contenção depois de uma invasão.
Ver a resposta a incidentes de segurança -
Gestão de abuse
Reclamações de abuso respondidas e IPs fora de listas de bloqueio.
Ver a gestão de abuse -
Rede de gerência isolada
Rede separada só para administrar os equipamentos.
Ver a rede de gerência isolada -
-
Backup de configurações
Cópia automática das configurações, pronta para restaurar.
Ver o backup de configurações de rede
Como escolher o serviço certo de segurança e DDoS
Escolha pelo momento: ataque agora, rede exposta ou exigência da Anatel. A tabela compara os dezoito serviços por público, indicação, prazo e resultado.
| Serviço | Para quem é | Quando indicar | Prazo médio | Resultado |
|---|---|---|---|---|
| Arquitetura anti-DDoS | Provedor que vai crescer ou trocar a borda | Antes de comprar equipamento | [PREENCHER] | Desenho da proteção em camadas |
| Mitigação de DDoS | Provedor com ataques frequentes | Contenção hoje feita à mão | [PREENCHER] | Detecção e contenção automáticas |
| Mitigação emergencial | Provedor sob ataque | Link lotado neste momento | [PREENCHER] | Ataque contido e alvo identificado |
| Scrubbing de tráfego | Provedor com ataques grandes | Blackhole tirando o cliente do ar | [PREENCHER] | Tráfego limpo sem derrubar o alvo |
| Análise de fluxos com NetFlow | Provedor sem visibilidade da borda | Ataque sem alvo conhecido | [PREENCHER] | Alvo e tipo de ataque em minutos |
| Avaliação de resiliência | Provedor que já caiu com ataque | Sem saber por onde começar | [PREENCHER] | Riscos em ordem de prioridade |
| Hardening de roteadores | Provedor com borda exposta | Serviços abertos ou senha padrão | [PREENCHER] | Roteadores fechados e registrados |
| Hardening de OLTs | Provedor com OLT acessível de fora | Acesso compartilhado às OLTs | [PREENCHER] | OLTs com usuários individuais |
| Revisão de firewall | Provedor com regras acumuladas | Ninguém sabe o que cada regra faz | [PREENCHER] | Regras limpas e documentadas |
| Varredura de vulnerabilidades | Provedor com muitos equipamentos expostos | Rotina de checagem inexistente | [PREENCHER] | Falhas conhecidas listadas e corrigidas |
| Pentest de infraestrutura | Provedor que quer testar a defesa | Antes de auditoria ou depois de mudança | [PREENCHER] | Relatório do que um invasor alcança |
| Política de segurança cibernética | Provedor sem política escrita | Exigência da Anatel ou de cliente | [PREENCHER] | Política no tamanho do provedor |
| Plano de resposta a incidentes | Provedor sem roteiro de incidente | Antes do primeiro grande incidente | [PREENCHER] | Quem faz o quê em cada etapa |
| Resposta a incidentes | Provedor invadido | Acesso estranho ou configuração alterada | [PREENCHER] | Invasão contida e investigada |
| Gestão de abuse | Provedor com reclamações acumuladas | IP em lista ou e-mail de abuso parado | [PREENCHER] | Reclamações respondidas no prazo |
| Rede de gerência isolada | Provedor que administra pela rede dos clientes | Equipamentos acessíveis de qualquer lugar | [PREENCHER] | Acesso administrativo separado |
| SIEM | Provedor com logs espalhados | Investigação lenta ou impossível | [PREENCHER] | Logs num lugar só, com alertas |
| Backup de configurações | Provedor sem cópia das configurações | Medo de perder um roteador | [PREENCHER] | Configuração pronta para restaurar |
Como a Táquion Tech trabalha em segurança e DDoS
Fora da emergência, são quatro etapas, e nada muda na rede sem a sua aprovação. Sob ataque, o atendimento começa direto pela contenção.
Conversa e histórico
Tamanho dos links, ataques recentes e equipamentos de borda.
Levantamento
Borda, fluxos e portas expostas, lidos com acesso só de leitura.
Proposta por prioridade
Riscos em ordem, com escopo, prazo e valor por escrito.
Execução e teste
Mudança em janela, contenção testada com IP de laboratório e roteiro entregue à equipe.
O que muda na proteção DDoS feita pela Táquion Tech
A contenção fica testada antes do ataque e a equipe sabe o que fazer nos primeiros minutos. São seis compromissos de todo trabalho de segurança.
Especialista na borda durante o ataque
Na emergência, o ataque é medido e contido na hora. Horário de atendimento [CONFIRMAR].
Contenção testada antes do ataque
Blackhole e regras de desvio são acionados com IP de laboratório, não descobertos no dia do incidente.
Ataque enxergado pelos fluxos
NetFlow, sFlow ou IPFIX mostram alvo, tipo e volume, enquanto o gráfico de interface só mostra o link cheio.
Operadoras combinadas de antemão
Communities de blackhole e contatos técnicos das operadoras ficam conferidos e documentados.
Rede que não vira arma
Portas de amplificação fechadas em roteadores e CPEs, para a sua rede não atacar a de outro provedor.
Roteiro escrito para a equipe
Comandos, contatos e ordem de ação para os primeiros minutos de um ataque, em linguagem da equipe.
O que a proteção DDoS precisa ter antes do próximo ataque
A proteção DDoS precisa de contenção fora do seu link, detecção por fluxo e equipamentos fechados; sem isso, o ataque decide quanto tempo a rede fica fora. Use os pontos abaixo para avaliar a sua rede hoje.
Regras e boas práticas que a rede segue
Regulamento de segurança da Anatel
O R-Ciber pede política, gestão de incidentes e cuidados mínimos nos equipamentos [CONFIRMAR na resolução vigente]. Veja a adequação ao R-Ciber.
Antispoofing na borda
Descartar pacotes com origem que não pertence à sua rede impede que ela seja usada em ataques refletidos [CONFIRMAR na BCP 38].
Contato de abuse em dia
Notificações do CERT.br e de outras redes chegam pelo contato do ASN [CONFIRMAR]. Veja a gestão de abuse para provedores.
Critérios técnicos que separam proteção de esperança
Detecção por fluxo, não por gráfico
O gráfico mostra que o link lotou; só o fluxo mostra qual IP é o alvo. Veja a análise de fluxos com NetFlow.
Contenção acionada na operadora
Blackhole por community e FlowSpec agem antes do seu link, num ponto que o firewall do POP não alcança.
Gerência fora da rede dos assinantes
Roteadores e OLTs só aceitam acesso administrativo pela rede de gerência. Veja a rede de gerência isolada.
Erros comuns que o ataque revela
Confiar só no firewall
Ele fica depois do link. Num ataque volumétrico, o link já chega lotado e o firewall nem vê o problema.
Blackhole nunca testado
Community errada ou não liberada pela operadora só aparece no meio do ataque, quando não há tempo.
DNS e NTP abertos para a internet
Serviços abertos em roteadores e CPEs amplificam ataques contra outras redes e levam o seu IP para listas de bloqueio.
Sinais de alerta na sua rede hoje
Quedas curtas que se repetem
Minutos fora do ar sempre no mesmo horário costumam ser ataque contra um jogador. Veja o guia de ataque DDoS no provedor.
Ameaça com pedido de pagamento
Pede contenção pronta e registro do caso. Veja o guia sobre extorsão por DDoS.
Nenhuma cópia das configurações
Se uma invasão apagar o roteador, a volta depende de memória. Veja o backup de configurações de rede.
Onde a Táquion Tech faz proteção DDoS
A proteção DDoS é projetada e operada à distância para provedores de todo o Brasil, inclusive durante o ataque. No litoral de Santa Catarina, o Especialista também vai ao POP para revisar a borda e instalar coletores [CONFIRMAR].
Visita ao POP no litoral de Santa Catarina
Revisão física da borda, montagem da rede de gerência e instalação de coletores de fluxo. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Proteção e resposta remota em todo o Brasil
Arquitetura, contenção e investigação são feitas por acesso remoto registrado. Se o ataque já começou, chame a mitigação emergencial de DDoS.
Perguntas frequentes sobre proteção DDoS
As respostas cobrem conceito, preço, prazo, emergência e Anatel. Se a sua dúvida não estiver aqui, pergunte no WhatsApp.
DDoS, como se proteger?
Com contenção antes do seu link, por blackhole ou limpeza de tráfego, detecção pelos fluxos da borda e uma rede sem serviços abertos que sirvam ao atacante. Firewall sozinho não resolve ataque volumétrico.
O que é anti-DDoS?
É o conjunto de medidas que detecta e contém ataques de negação de serviço. Em provedor, a parte principal acontece na borda e nas operadoras, não num equipamento único.
Já tenho firewall. Preciso de proteção DDoS?
Precisa. O firewall fica depois do link e não segura ataque que lota o link. A proteção DDoS começa na arquitetura da borda e no acordo com a operadora.
Ataque DDoS é coisa de provedor grande?
Não. Provedor regional é alvo frequente justamente porque atende jogadores online, e um ataque pequeno já basta para lotar um link de cidade do interior.
Por onde começar se nunca fiz nada?
Pela avaliação de resiliência, que mostra o que a rede aguenta hoje, ou pelo blackhole com as operadoras, que é rápido de configurar e já resolve os ataques maiores.
Preciso comprar um equipamento anti-DDoS?
Nem sempre. Boa parte dos ataques é contida com blackhole na operadora e regras na borda; limpeza externa entra quando o histórico pede. Veja a integração com scrubbing.
Quanto custa a proteção DDoS?
Depende do tamanho dos links, do histórico de ataques e do que já existe na borda. Emergência é cobrada à parte, por incidente. Valores da Táquion Tech: [PREENCHER].
Quanto tempo leva para implantar a proteção?
Depende do escopo e de quanto as operadoras demoram para liberar as communities. Prazo médio da Táquion Tech: [PREENCHER].
Vocês atendem durante o ataque, fora do horário comercial?
A mitigação emergencial atende o provedor durante o ataque, à distância. Horários e forma de acionamento: [CONFIRMAR].
O que a Anatel exige de segurança do provedor?
O regulamento de segurança cibernética pede política, gestão de incidentes e cuidados com os equipamentos [CONFIRMAR na resolução vigente]. Veja a adequação ao R-Ciber.
Guias de segurança e DDoS no blog
Os guias mostram como reconhecer, conter e investigar ataques, com comandos e exemplos. Comece por estes três ou veja todos os guias de segurança de redes.
-
DDoS · Diagnóstico
Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como confirmar que é ataque, achar o alvo e conter sem derrubar a cidade inteira.
-
DDoS · Mitigação
Configuração de FlowSpec: guia prático para provedores
Como mandar regras de filtro para a operadora por BGP e descartar só o tráfego de ataque.
-
Segurança · Incidente
Provedor invadido: causas, diagnóstico e quando chamar um Especialista
O que fazer nas primeiras horas quando alguém entrou nos seus equipamentos.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a avaliação anti-DDoS da sua rede
Conte o tamanho dos links e como foram os últimos ataques. Um Especialista responde com os primeiros passos, prazo e valor em [PREENCHER prazo].
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
