Vai aumentar o link de trânsito
Link maior recebe o mesmo ataque, só que mais caro. Antes de contratar banda, defina onde o ataque será contido.
Segurança e DDoS · Provedores
Projeto de arquitetura anti-DDoS para provedores
Um desenho que diz onde cada ataque será contido, quem aciona a contenção e quanto custa cada camada, antes de você comprar qualquer coisa.
- Duas ou três opções com custo
- Só leitura durante o projeto
- Procedimento de ataque para a equipe
Projeto de arquitetura anti-DDoS é o documento que define como o seu provedor detecta e contém ataques: o que fica com as operadoras, o que fica na borda e o que a equipe faz nos primeiros minutos. É para quem vai aumentar o link, trocar a borda ou já perdeu assinantes por queda com ataque. O resultado é um plano por etapas que mostra onde gastar primeiro e o que não precisa ser comprado.
O que é projeto de arquitetura anti-DDoS
É o desenho da proteção contra ataques de negação de serviço, camada por camada, feito antes de qualquer investimento. Ele parte do tamanho dos links e do tipo de cliente, não de um catálogo de produtos.
Um ataque DDoS usa milhares de máquinas para mandar mais tráfego do que o link do alvo aguenta. Em provedor regional, o alvo costuma ser um assinante que joga online, mas quem cai é a cidade inteira atrás do mesmo link de trânsito.
A arquitetura combina três frentes: contenção fora do seu link, detecção pelos fluxos e borda fechada. A detecção depende da exportação de NetFlow, sFlow ou IPFIX dos roteadores, que mostra qual IP recebe o ataque e de que tipo ele é.
O firewall entra na camada certa: protege os equipamentos e o plano de controle, mas fica depois do link e não segura ataque volumétrico. O projeto separa o que cada parte resolve:
Contenção nas operadoras
Blackhole por community e, quando a operadora oferece, FlowSpec. O projeto lista o que cada contrato de trânsito já inclui e o que ainda falta pedir.
Limpeza de tráfego externa
Um serviço recebe o tráfego do bloco atacado e devolve só o legítimo. Entra quando há cliente que não pode ser tirado do ar por blackhole.
Detecção e acionamento
Coletor de fluxos com limites por IP, alerta e, se você quiser, contenção automática. Define quem é avisado e quem aciona a contenção de madrugada.
Borda, CGNAT e equipamentos
Proteção da CPU do roteador, filtros de amplificação, antispoofing e distribuição dos IPs do CGNAT para que um ataque não derrube centenas de assinantes juntos.
Quando você precisa de projeto de arquitetura anti-DDoS
Seis momentos pedem o desenho antes da compra. Em todos eles, decidir sem projeto costuma sair mais caro.
Vai atender empresas com SLA
Cliente com contrato de disponibilidade não aceita ficar fora por blackhole. A arquitetura precisa prever limpeza para ele.
Cai com ataque toda semana
Quedas curtas e repetidas mostram que a contenção é feita à mão, tarde, ou nem existe.
Recebeu proposta de equipamento
Antes de assinar, confira se o aparelho segura ataque maior que o link. Se ele fica dentro do POP, não segura.
Vai abrir POP ou nova operadora
Cada operadora tem community de blackhole e regras próprias. A borda nova já deve nascer com elas mapeadas.
CGNAT concentrando assinantes
Com dezenas de clientes atrás de um IP público, um blackhole derruba todos. A distribuição dos blocos entra no desenho.
Como funciona o projeto de arquitetura anti-DDoS
São cinco etapas, e nenhuma delas muda a sua rede. O projeto termina num plano que a Táquion Tech ou a sua equipe pode implantar.
Histórico dos ataques
Datas, horários, tamanho, alvo e o que foi feito em cada ataque, a partir dos gráficos e do relato da equipe.
Prazo: [PREENCHER]
Levantamento da borda
Links, contratos de trânsito, roteadores, CGNAT, coleta de fluxos e portas expostas, com acesso só de leitura.
Prazo: [PREENCHER]
Opções de proteção
Duas ou três combinações de camadas, cada uma com o que contém, o que deixa passar e o custo estimado.
Prazo: [PREENCHER]
Desenho final
A opção escolhida em detalhe, com diagrama e requisitos para pedir às operadoras e aos fornecedores.
Prazo: [PREENCHER]
Plano de implantação
Etapas em ordem de impacto, janelas sugeridas e o procedimento de ataque escrito para a equipe.
Prazo: [PREENCHER]
O que está incluído no projeto de arquitetura anti-DDoS
O projeto cobre o desenho completo da proteção, das operadoras aos CPEs. A execução fica de fora e tem página própria.
Incluído
- Levantamento dos ataques recentes e da borda atual
- Mapa das communities de blackhole de cada operadora
- Cálculo da folga de cada link no horário de pico
- Duas ou três opções de proteção com custo estimado
- Desenho final das camadas, com diagrama
- Requisitos escritos para operadoras e fornecedores
- Distribuição de IPs no CGNAT pensada para ataques
- Procedimento dos primeiros minutos de ataque
- Plano de implantação por etapas
Não incluído
- Compra de equipamento ou licença (a Táquion Tech não vende equipamento)
- Contrato com serviço de limpeza, que é seu direto com o fornecedor
- Detecção automática em produção, feita na implantação de mitigação de DDoS
- Communities configuradas na borda, na configuração de blackhole BGP
- Atendimento durante um ataque, que é a mitigação emergencial de DDoS
Quanto custa o projeto de arquitetura anti-DDoS
O preço depende de quantos links, POPs e tipos de cliente o desenho precisa cobrir. É um projeto fechado, com valor escrito na proposta.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Links e operadoras | Cada contrato tem communities, limites e contatos para conferir | Três operadoras de trânsito e porta no IX.br |
| POPs e roteadores de borda | Cada ponto de saída pede detecção e contenção próprias | Borda em duas cidades, um roteador em cada |
| Clientes com SLA | Exigem estudo de limpeza externa e de desvio por bloco | Prefeitura e hospital com contrato de disponibilidade |
| Histórico de ataques | Mais dados dão limites mais precisos, mas levam mais análise | Ataques semanais nos últimos seis meses |
| Ponto de partida | Sem coleta de fluxos, o levantamento depende de gráficos e relato | Nenhum NetFlow ou sFlow exportado hoje |
Faixa de preço do projeto para um provedor com duas operadoras: [PREENCHER faixa aprovada pela Táquion Tech]. A implantação, se for feita pela Táquion Tech, vem numa proposta separada; o projeto serve do mesmo jeito para a sua equipe executar.
O que conferir antes de contratar o projeto de arquitetura anti-DDoS
Confira os erros que fazem o provedor gastar e continuar caindo, o que cada camada entrega e as normas que o desenho deve citar. Vale para avaliar qualquer empresa, inclusive a Táquion Tech.
Erros comuns ao contratar
Cinco decisões que custam caro depois. Use cada uma como pergunta para o fornecedor.
Comprar o aparelho antes do desenho
Um equipamento dentro do POP só filtra o que cabe no link. Num ataque maior que o link, ele recebe o tráfego já depois do gargalo e não muda nada.
Projeto feito por quem vende a caixa
Quem vende equipamento tende a desenhar em volta dele. Pergunte se o projeto traz ao menos uma opção sem compra nenhuma.
Tratar todo cliente igual
Blackhole resolve para assinante residencial e quebra contrato com empresa. O desenho precisa separar os dois públicos por bloco.
Esquecer a própria rede como origem
CPEs com DNS, NTP ou SSDP abertos amplificam ataques contra outros e ocupam o seu upload. Isso entra no projeto desde o começo.
Não definir quem aciona
Sem nome, telefone e permissão escritos, a contenção espera alguém acordar. Pergunte como o projeto trata a madrugada e o feriado.
Comparativo entre as camadas de contenção
Cada forma de conter tem um custo e um efeito colateral. A tabela resume o que o projeto pesa antes de indicar uma combinação.
| Camada | O que segura | Efeito colateral |
|---|---|---|
| Blackhole na operadora | Ataque maior que o link, contra um IP | O IP atacado fica fora do ar |
| FlowSpec | Ataque com padrão claro de porta ou protocolo | Depende de a operadora aceitar |
| Limpeza externa | Ataque grande contra cliente que não pode parar | Custo mensal e latência do desvio |
| Filtro na borda | Ataque menor que a folga do link | Consome CPU do roteador |
Blackhole
Quando basta
Base residencial, alvo quase sempre um jogador e ataques curtos.
Limite
Tira o alvo do ar enquanto o anúncio durar, por isso precisa de prazo para ser retirado.
Limpeza de tráfego
Quando entra
Clientes com SLA ou ataques frequentes contra o mesmo bloco.
Limite
O desvio por BGP trabalha com bloco /24 inteiro em IPv4, porque prefixos menores são filtrados na internet.
Normas e boas práticas
Referências públicas que um projeto sério cita. Peça ao fornecedor que diga quais aplica.
BCP 38 e BCP 84
Tratam de descartar na borda pacotes com origem falsificada, para que a rede não sirva de base a ataques refletidos [CONFIRMAR na norma].
RFC 7999
Define a community BLACKHOLE (65535:666) como forma padrão de pedir descarte às operadoras [CONFIRMAR na norma].
RFC 8955
Descreve o FlowSpec, que envia regras de filtro por BGP para descartar só o tráfego de ataque [CONFIRMAR na norma].
R-Ciber da Anatel
O regulamento pede gestão de incidentes e cuidado com os equipamentos [CONFIRMAR na norma]. Veja a adequação ao R-Ciber.
Checklist antes de contratar
Reunir estes dados antes da primeira reunião encurta o levantamento.
Histórico de ataques
Datas, horários e prints dos gráficos dos últimos meses, mesmo que incompletos.
Contratos de trânsito
Capacidade de cada link, contato técnico da operadora e se o contrato fala em blackhole ou limpeza.
Clientes com SLA
Quantos são, quais blocos usam e que disponibilidade foi prometida a cada um.
Acesso de leitura
Usuário só de leitura nos roteadores de borda e no CGNAT, com modelo e versão de cada equipamento.
Por que escolher a Táquion Tech para desenhar a proteção
Porque o desenho segue a sua rede, não um produto, e chega com opções comparáveis. Seis compromissos de todo projeto.
Não vendemos equipamento
O projeto não tem caixa para empurrar. Se a sua borda e as operadoras resolvem, o desenho diz isso.
Nenhuma marca indicada por comissão
Opções lado a lado
Duas ou três combinações de camadas com custo e efeito, para escolher sabendo o que fica de fora.
Mais de uma opção em todo projeto
Rede intocada no projeto
Nenhuma configuração é alterada no levantamento. A rede segue como está até você aprovar a implantação.
Acesso só de leitura no levantamento
Procedimento para a equipe
Quem é avisado, que comando roda, como desfazer e quando ligar para a operadora, tudo por escrito.
Entregue junto com o desenho final
Especialista do começo ao fim
Quem lê a sua borda é quem desenha e apresenta o projeto. Sem repasse para quem não viu os dados.
[PREENCHER: anos de experiência da equipe com DDoS]
Remoto para todo o Brasil
Levantamento e reuniões à distância, com acesso registrado. Não há deslocamento na conta.
[PREENCHER: estados atendidos]
Onde a Táquion Tech desenha a proteção anti-DDoS
O projeto é feito à distância para provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também pode visitar o POP antes do desenho.
Remoto para todo o Brasil
Levantamento, reuniões e entrega por acesso remoto seguro. É assim que a maior parte dos projetos é feita, de qualquer estado.
Presencial no litoral de Santa Catarina
Visita ao POP para conferir borda, links e rack antes do desenho. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre projeto de arquitetura anti-DDoS
As perguntas que os donos de provedor fazem antes de pedir o projeto. Se a sua não estiver aqui, mande no WhatsApp.
O que entra num projeto de arquitetura anti-DDoS para provedor?
Histórico de ataques, leitura da borda, opções de proteção com custo, desenho final e plano de implantação. O procedimento dos primeiros minutos de ataque também vem junto.
Quanto custa o projeto de arquitetura anti-DDoS?
O preço muda com o número de links, POPs e clientes com SLA. A faixa para duas operadoras é [PREENCHER], e o valor exato sai por escrito depois da primeira conversa.
Quanto tempo leva o projeto?
Depende do histórico disponível e de quantas bordas existem. O prazo típico é [PREENCHER], e o do seu caso vai escrito na proposta.
Preciso comprar um equipamento anti-DDoS?
Nem sempre. Boa parte dos provedores se protege com blackhole, FlowSpec e detecção sobre os roteadores que já tem. O projeto diz se vale comprar algo e compara pelo menos duas opções.
O firewall não resolve o DDoS?
Não num ataque volumétrico, porque o firewall fica depois do link e recebe o tráfego já lotado. Ele protege os equipamentos; a contenção do volume acontece na operadora ou na limpeza.
Como escolher uma empresa de projeto de arquitetura anti-DDoS?
Prefira quem não vende o equipamento indicado, entrega opções com custo e escreve o procedimento da equipe. Use os erros comuns desta página como roteiro de perguntas.
O projeto mexe na minha rede?
Não. Todo o levantamento é feito com acesso só de leitura, e nada é alterado até você aprovar a implantação.
Quem implanta o que foi desenhado?
Você escolhe: a sua equipe, a Táquion Tech ou outra empresa. Se for a Táquion Tech, a parte automática segue para a implantação de mitigação de DDoS.
O projeto é feito remoto?
Sim, para provedores de todo o Brasil. No litoral de Santa Catarina dá para incluir uma visita ao POP [CONFIRMAR área de atendimento].
O projeto ajuda com as exigências da Anatel?
Ajuda na parte de incidentes e de proteção dos equipamentos [CONFIRMAR na norma]. A adequação completa está na adequação ao R-Ciber.
Serviços relacionados ao projeto de arquitetura anti-DDoS
Três serviços que costumam vir depois do desenho. Cada um coloca uma camada em produção ou mede o que falta.
-
Implantação de mitigação de DDoS
Detecção pelos fluxos ligada à contenção automática na borda e nas operadoras.
Ver a implantação de mitigação de DDoS -
Integração com serviços de scrubbing
Desvio do bloco atacado para limpeza, mantendo no ar o cliente que não pode parar.
Ver a integração com serviços de scrubbing -
Avaliação de resiliência anti-DDoS
Diagnóstico do quanto a rede aguenta hoje, com os riscos em ordem de prioridade.
Ver a avaliação de resiliência anti-DDoS
Leia antes de contratar
Três guias que mostram, na prática, as camadas que o projeto combina.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como confirmar que é ataque, achar o alvo e conter sem derrubar a cidade.
- Configuração de RTBH: guia prático para provedores
Como o blackhole disparado pela borda pede descarte às operadoras.
- Configuração de FlowSpec: guia prático para provedores
Como mandar filtros por BGP e descartar só o tráfego de ataque.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de projeto de arquitetura anti-DDoS
Conte o tamanho dos links e como foram os últimos ataques. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
