Link cheio do nada
O tráfego de entrada bate no limite em minutos, fora do padrão daquele horário.
Segurança e anti-DDoS · Provedores
Mitigação emergencial de DDoS para provedores
Mitigação emergencial de DDoS é o atendimento para quando o ataque está acontecendo agora: um Especialista entra na sua borda, descobre o alvo e o tipo de tráfego e aplica a contenção que o seu cenário permite, do blackhole na operadora ao filtro no roteador. Depois, você recebe o relatório e o que fazer antes do próximo ataque.
Sob ataque agora
- Chame no WhatsApp. Diga o nome do provedor e desde quando o link está cheio.
- Não reinicie a borda. Reiniciar não para o ataque e apaga os contadores que mostram o alvo.
- Separe os acessos. Roteador de borda, NetFlow se tiver, e o contato do NOC das operadoras.
Como saber se é DDoS
DDoS costuma aparecer como link de trânsito cheio de repente, sem aumento de assinantes, e lentidão em toda a rede. Os sinais abaixo ajudam a separar ataque de problema de rede.
Um IP recebe quase tudo
Um único destino, muitas vezes o IP de um assinante que joga online, concentra o tráfego.
UDP de portas conhecidas
Muito tráfego vindo das portas 53, 123, 1900 ou 11211 é marca de ataque por amplificação.
CPU alta na borda
Milhões de pacotes pequenos sobrecarregam o roteador e o CGNAT, mesmo sem lotar o link.
Ataques em ondas
Picos de poucos minutos que voltam várias vezes, muitas vezes à noite.
Pedido de dinheiro
Uma mensagem ameaçando continuar o ataque se você não pagar. Não pague e guarde a mensagem.
O que o Especialista faz durante o ataque
Primeiro ele mede o ataque, depois contém no ponto certo e acompanha até o tráfego voltar ao normal. Tudo fica registrado no relatório.
O que entra
- Identificar o alvo, o tipo e o tamanho do ataque pelo NetFlow ou pelos contadores da borda
- Pedir à operadora o descarte do tráfego para o IP atacado (blackhole), quando o ataque é maior que o link
- Filtrar na borda o que dá para filtrar sem cortar assinantes
- Falar com o NOC da operadora levando as evidências do ataque
- Acompanhar até o tráfego normalizar
- Relatório com linha do tempo, alvo e recomendações
O que não dá para fazer na hora
- Limpar no seu roteador um ataque maior que o seu link
- Contratar e integrar um serviço de limpeza de tráfego durante o ataque [CONFIRMAR parcerias]
- Atendimento ao assinante final [CONFIRMAR]
Quando o ataque é maior que a capacidade do link, a contenção precisa acontecer antes do seu roteador: na operadora ou num serviço de limpeza de tráfego. Nenhum ajuste na sua borda esvazia um link que já chega cheio. Por isso o primeiro passo é sempre medir.
Qual contenção serve para cada ataque
A escolha depende do tamanho do ataque em relação ao link e de quanto do tráfego é legítimo. Cada opção tem um efeito colateral, e o Especialista explica antes de aplicar.
| Contenção | Quando serve | Efeito colateral |
|---|---|---|
| Blackhole na operadora | Ataque maior que o link, contra um IP só | O IP atacado fica fora do ar até o ataque passar |
| Filtro na borda | Ataque menor que o link, com padrão claro de porta ou protocolo | Pode barrar tráfego legítimo parecido e exige CPU livre no roteador |
| Filtro na operadora | Ataque grande com padrão claro | Depende de a operadora oferecer; o tempo de resposta é dela |
| Limpeza de tráfego externa | Ataques grandes e frequentes, sem tirar o alvo do ar | Precisa estar contratada e integrada antes do ataque |
A limpeza de tráfego externa é a única que mantém o alvo no ar durante um ataque grande. Veja como funciona a integração com serviços de scrubbing.
Como funciona o atendimento
Do primeiro contato ao relatório, o atendimento segue seis etapas. Você acompanha cada uma pelo mesmo canal em que chamou.
Você chama
Pelo WhatsApp ou telefone, com o nome do provedor e desde quando o link está cheio.
Triagem
O Especialista confirma se o padrão é de ataque e diz o que precisa para entrar na borda.
Acesso registrado
Um usuário só para este atendimento, que você apaga quando terminar.
Medição
Alvo, tamanho, protocolo e origem do ataque, a partir dos dados da sua borda.
Contenção
Blackhole, filtro na borda ou pedido à operadora, com o efeito colateral explicado antes.
Relatório
Linha do tempo, o que foi feito e o que mudar para o próximo ataque doer menos.
Quanto custa a mitigação emergencial
O atendimento de emergência é cobrado por incidente. Para quem tem contrato, as regras ficam escritas no contrato.
Como é cobrado
- Atendimento avulso por incidente: [PREENCHER valor ou faixa]
- Atende provedor sem contrato: [DECIDIR]
- Clientes com contrato: [CONFIRMAR se está incluso]
- Fora do horário comercial: [PREENCHER]
O que muda o valor
- Tamanho do link e do ataque
- Duração do ataque e se ele volta
- Se já existe NetFlow e acesso preparado
- Marca e modelo dos equipamentos de borda
Perguntas sobre DDoS em provedor
Se a sua dúvida não estiver aqui, converse com um Especialista.
DDoS: como resolver?
Em três passos: medir o ataque, conter no ponto certo e depois preparar a rede para o próximo. Ataque maior que o link só se resolve fora do seu roteador, na operadora ou com limpeza de tráfego.
Como identificar um ataque DDoS?
Compare o tráfego de entrada com o padrão do mesmo horário e veja quais IPs recebem mais. Com NetFlow, o alvo e o protocolo aparecem em poucos minutos; sem ele, os contadores das interfaces dão uma primeira pista.
Recebi ameaça de ataque com pedido de dinheiro. O que faço?
Não pague e guarde todas as mensagens. Registre a ocorrência na polícia e prepare a contenção com a engenharia. O guia sobre extorsão com ataque DDoS mostra o passo a passo.
Já tenho firewall. Não basta?
Não para ataque volumétrico. O firewall fica depois do link, e quando o ataque lota o link ele não tem o que filtrar. A proteção começa na arquitetura da borda e no acordo com a operadora.
Ataque é coisa de provedor grande?
Não. Provedores regionais são alvos frequentes, muitas vezes por briga entre jogadores online: o ataque mira o IP de um assinante e derruba todos os outros junto.
Serviços relacionados
Depois do ataque, estes serviços diminuem a chance e o estrago do próximo.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Ataque em andamento? Chame agora
Mande o nome do provedor e o que está vendo. Um Especialista responde e diz o que precisa para entrar na sua borda.
