Ataque de madrugada sem resposta
Quando ninguém está olhando, a queda dura até o primeiro assinante ligar. O sistema age no mesmo minuto.
Segurança e DDoS · Provedores
Implantação de mitigação de DDoS para provedores
O ataque é reconhecido pelos fluxos da borda e contido em segundos, por blackhole, FlowSpec ou desvio, sem esperar alguém acordar para olhar o gráfico.
- Semanas só alertando antes de agir
- Contenção testada com IP de laboratório
- Sistema e senhas ficam com você
Implantação de mitigação de DDoS é colocar em produção o sistema que lê os fluxos da borda, reconhece o ataque e dispara a contenção combinada sem intervenção manual. É para o provedor que já tem blackhole com as operadoras, mas ainda depende de alguém ver o link cheio e agir. O resultado é o ataque tratado como alerta, com o alvo identificado e o resto da rede no ar.
O que é mitigação automática de DDoS
É ligar a detecção de ataques à contenção, para que uma dispare a outra sozinha. O sistema compara o tráfego de cada IP com o normal dele e age quando passa do limite.
Num ataque DDoS sem automação, conter depende de três passos humanos: perceber, achar o alvo e mexer na borda. De madrugada, isso pode levar uma hora, e cada minuto é a cidade sem internet.
O sistema recebe os fluxos de NetFlow, IPFIX ou sFlow de cada roteador de borda, monta o perfil de tráfego por IP e por bloco e, ao ver um desvio, anuncia a contenção por BGP. Há opções de código aberto e comerciais, e a escolha segue o volume de tráfego.
O firewall do POP continua com o papel dele, mas a contenção principal acontece antes do link. O sistema pode disparar quatro tipos de ação:
Blackhole na operadora
Anuncia o /32 atacado com a community de cada operadora. Para o ataque, mas deixa aquele IP fora do ar até a retirada do anúncio.
Regra FlowSpec
Envia à operadora um filtro por porta e protocolo, como UDP vindo da porta 123. O alvo segue no ar e só o ataque é descartado.
Desvio para limpeza
Anuncia o bloco pelo serviço de scrubbing contratado, para os clientes que não podem ficar fora nem por alguns minutos.
Só alerta
Para IPs sensíveis, o sistema avisa com alvo, volume e protocolo, e a equipe decide. É também o modo das primeiras semanas.
Quando você precisa da implantação de mitigação de DDoS
Seis sinais mostram que a contenção manual já não acompanha os ataques. Dois ou mais deles juntos indicam que a automação se paga rápido.
Ataques toda semana
Contenção manual repetida cansa a equipe e gera erro. Se o padrão se repete, ele pode ser automatizado.
Alvo demora a aparecer
Se achar o IP atacado leva mais que alguns minutos, falta detecção por fluxo ligada a uma ação.
Blackhole pronto, mas manual
A community já funciona com as operadoras e só falta quem dispare no momento certo, com prazo para retirar.
Clientes empresariais na base
Para eles, a ação automática precisa ser FlowSpec ou desvio, não blackhole. O sistema separa por bloco.
Equipe sem roteiro no ataque
Cada técnico contém de um jeito e ninguém sabe desfazer. A implantação deixa o procedimento escrito.
Como funciona a implantação de mitigação de DDoS
São cinco etapas, e a contenção automática só liga na quarta. Antes disso, o sistema apenas observa e avisa.
Coleta
Fluxos de todos os roteadores de borda chegando ao sistema, com amostragem conferida contra a CPU.
Prazo: [PREENCHER]
Observação
O sistema aprende o tráfego normal de cada IP e bloco e só manda alertas, sem acionar nada.
Duração da observação: [PREENCHER]
Ajuste dos limites
Falsos alarmes revistos com você, por grupo de IPs e por protocolo, até os alertas fazerem sentido.
Prazo: [PREENCHER]
Contenção ligada
Ações automáticas ativadas em janela e testadas com um IP de laboratório em cada operadora.
Duração da janela: [PREENCHER]
Treino da equipe
A equipe aprende a ler o alerta, conferir a contenção nas operadoras e desfazer quando preciso.
Prazo: [PREENCHER]
O que está incluído na implantação de mitigação de DDoS
A implantação vai da coleta dos fluxos ao procedimento da equipe. O sistema fica na sua rede, e o que está fora tem página própria.
Incluído
- Exportação de fluxos em cada roteador de borda
- Sistema de detecção instalado e dimensionado para o seu tráfego
- Limites por IP, por bloco e por protocolo
- Integração com o blackhole de cada operadora
- Integração com FlowSpec ou scrubbing, quando contratados
- Lista de IPs que só geram alerta, sem ação automática
- Tempo de expiração para cada ação
- Alertas pelo canal da equipe e relatório da observação
- Procedimento escrito e treino
Não incluído
- Licença de sistema comercial, comprada por você direto do fabricante (a Táquion Tech não vende equipamento nem licença)
- Communities configuradas pela primeira vez, na configuração de blackhole BGP
- Contrato e túnel com o serviço de limpeza, na integração com serviços de scrubbing
- Ataque acontecendo agora, que é a mitigação emergencial de DDoS
- Acompanhamento contínuo dos alertas, no monitoramento de rede
Quanto custa a implantação de mitigação de DDoS
O preço depende principalmente do volume de tráfego, do número de roteadores e das ações integradas. O valor exato sai por escrito depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Volume de tráfego | Mais tráfego pede coletor maior e amostragem mais estudada | Borda com 40 Gbps no pico |
| Roteadores de borda | Cada roteador exporta fluxos e recebe a ação de contenção | Três roteadores em dois POPs |
| Sistema escolhido | Código aberto pede mais ajuste; comercial tem licença à parte | Detecção aberta com painéis próprios |
| Ações integradas | Cada ação nova é configurada e testada separadamente | Blackhole, FlowSpec e desvio para scrubbing |
| Operadoras | Cada uma tem community, limites e teste próprios | Duas operadoras de trânsito e um cliente com ASN |
| Urgência | Implantar logo depois de um ataque encurta a observação e pede mais acompanhamento | Provedor atacado na semana anterior |
Faixa de preço para um provedor com duas operadoras e um POP: [PREENCHER faixa aprovada pela Táquion Tech]. Se a borda está sob ataque agora, o caminho é a mitigação emergencial, não uma proposta.
O que conferir antes de contratar a implantação de mitigação de DDoS
Confira os erros que fazem a automação derrubar cliente sem ataque, a escolha entre sistema aberto e comercial e as normas por trás das ações. Serve para avaliar qualquer fornecedor, inclusive a Táquion Tech.
Erros comuns ao contratar
Cinco falhas que transformam a proteção em problema. Pergunte ao fornecedor como evita cada uma.
Ligar a contenção no primeiro dia
Sem semanas de observação, o limite pega pico legítimo, como a atualização de um jogo popular, e derruba cliente sem ataque nenhum.
Limite único para toda a rede
Um servidor de empresa e um assinante residencial têm perfis diferentes. Limites por grupo de IPs evitam falso alarme.
Amostragem sem critério
Amostragem rala demais esconde ataques curtos; densa demais pesa na CPU. O valor segue o tráfego de cada roteador.
Ação sem tempo de expiração
Blackhole que nunca sai deixa o cliente fora horas depois do fim do ataque. Toda ação precisa expirar sozinha.
Sistema sem dono
Detecção que ninguém revisa envelhece com a rede. Pergunte quem ajusta os limites quando o tráfego cresce.
Detecção de código aberto ou comercial
As duas funcionam em provedor regional. A diferença está em quem mantém o sistema e em quanto custa por ano.
| Critério | Código aberto | Comercial |
|---|---|---|
| Licença | Nenhuma | Anual, em geral por volume [CONFIRMAR com o fabricante] |
| Ajuste fino | Feito por quem implanta e pela equipe | Assistentes prontos e suporte do fabricante |
| Integração com scrubbing | Por BGP, configurada à mão | Às vezes nativa com parceiros do fabricante |
| Dependência | Da equipe que conhece o sistema | Do contrato de suporte |
Código aberto
Quando escolher
Tráfego moderado, equipe disposta a manter o sistema e orçamento curto.
Cuidado
Atualizações e ajustes ficam por sua conta, então a documentação é obrigatória.
Comercial
Quando escolher
Tráfego alto, várias bordas e relatórios prontos para mostrar a clientes empresariais.
Cuidado
Compare o custo por Gbps e o valor da renovação, não só o primeiro ano.
Normas e boas práticas
As ações automáticas seguem padrões públicos. Peça ao fornecedor que diga quais usa.
RFC 7999
Padroniza a community BLACKHOLE, que muitas operadoras aceitam além da community própria [CONFIRMAR na norma].
RFC 8955
Define como regras de filtro trafegam por BGP, base do FlowSpec que a operadora aplica por você [CONFIRMAR na norma].
RFC 5635
Descreve o blackhole disparado remotamente, inclusive a variante por origem com uRPF [CONFIRMAR na norma].
Checklist antes de contratar
Com estes dados, o dimensionamento sai certo na primeira proposta.
Roteadores de borda
Modelo, versão e se exportam NetFlow, IPFIX ou sFlow, com acesso só de leitura.
Pico de tráfego
Gráfico do último mês de cada link, para dimensionar o coletor e a amostragem.
Communities testadas
Quais operadoras já aceitaram blackhole ou FlowSpec e quando foi o último teste.
IPs que não podem cair
Servidores, clientes com SLA e blocos que devem receber só alerta ou desvio.
Por que escolher a Táquion Tech para automatizar a contenção
Porque a automação só liga depois de provar que não derruba ninguém, e o sistema fica com você. Seis compromissos de toda implantação.
Observação antes de agir
O sistema passa semanas só alertando. Os limites saem do tráfego real, não de um valor padrão.
Contenção liga só depois do relatório de observação
Teste com IP de laboratório
Cada ação é disparada contra um IP de teste em cada operadora antes de valer para assinantes.
Teste feito na janela de ativação
O sistema é seu
Instalado na sua rede, com acesso administrativo entregue. Não há mensalidade nossa para ele funcionar.
Senhas entregues no fim da implantação
Sem comissão de fabricante
A indicação entre sistema aberto e comercial segue o seu tráfego e o seu orçamento.
Nenhum sistema indicado por comissão
Toda ação tem volta
Cada disparo automático expira sozinho e tem comando de retirada documentado.
Retirada descrita no procedimento
Especialista do começo ao fim
Quem desenha os limites é quem acompanha a observação e liga a contenção.
[PREENCHER: implantações de detecção feitas]
Onde a Táquion Tech implanta mitigação de DDoS
A implantação é remota e atende provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também vai ao POP quando o coletor precisa de instalação física.
Remoto para todo o Brasil
Coleta, observação, ajuste e ativação por acesso remoto registrado, com janela combinada, de qualquer estado.
Presencial no litoral de Santa Catarina
Instalação do servidor do coletor no rack e acompanhamento da janela no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre implantação de mitigação de DDoS
As dúvidas mais comuns antes de automatizar a contenção. Se a sua não estiver aqui, pergunte no WhatsApp.
Como identificar um ataque DDoS na borda?
Pelos fluxos: um IP recebendo muito mais do que o normal, em geral UDP de uma só porta de origem. O sistema faz essa comparação o tempo todo e avisa em segundos.
Mitigação na borda ou na operadora?
Depende do tamanho. Ataque menor que a folga do link dá para filtrar na borda; maior que o link, só na operadora ou na limpeza, porque o link já chega cheio.
Quanto custa a implantação de mitigação de DDoS?
Varia com o tráfego, os roteadores e as ações integradas. A faixa é [PREENCHER], e licença comercial, se houver, é paga por você ao fabricante.
Quanto tempo leva para a contenção ficar automática?
O sistema coleta e observa antes de agir. O prazo total típico é [PREENCHER], e a observação pode ser encurtada se o histórico de fluxos já existir.
A mitigação automática pode derrubar um cliente sem ataque?
Pode, se os limites estiverem errados. Por isso há a observação, os limites por grupo de IPs e o tempo de expiração em cada ação.
Preciso já ter blackhole configurado?
Ajuda muito. Se as communities ainda não foram combinadas com as operadoras, a configuração de blackhole BGP vem antes ou junto.
Funciona com MikroTik?
Sim. O RouterOS exporta fluxos por Traffic Flow, compatível com NetFlow e IPFIX, e recebe a ação por BGP como as outras marcas. A amostragem é conferida contra a CPU.
Como escolher uma empresa de implantação de mitigação de DDoS?
Pergunte quanto tempo dura a observação, como os limites são ajustados e quem fica com as senhas. Desconfie de quem liga a contenção automática no primeiro dia.
Vocês atendem se o ataque vier durante a implantação?
O ataque em curso é tratado pela mitigação emergencial de DDoS. Horário e forma de acionamento: [CONFIRMAR].
Ataque DDoS tem como acabar de vez?
Ataques continuam existindo, mas deixam de derrubar a rede. Com detecção e contenção automáticas, viram um alerta resolvido em segundos.
Serviços relacionados à implantação de mitigação de DDoS
Três serviços que a mitigação usa por baixo. Sem eles, a automação não tem o que ler nem o que acionar.
-
Implantação de análise de fluxos com NetFlow
Fluxos exportados pelos roteadores e um coletor que mostra alvo e tipo de ataque.
Ver a análise de fluxos com NetFlow -
Configuração de blackhole BGP
Communities de descarte combinadas e testadas com cada operadora de trânsito.
Ver a configuração de blackhole BGP -
Integração com serviços de scrubbing
Desvio do bloco atacado para limpeza, acionado pela detecção quando o cliente não pode cair.
Ver a integração com serviços de scrubbing
Leia antes de contratar
Três guias sobre as ações que o sistema dispara e os dados que ele lê.
- Configuração de FlowSpec: guia prático para provedores
Como as regras FlowSpec descartam só o tráfego de ataque na operadora.
- Configuração de RTBH: guia prático para provedores
Como o blackhole disparado pela borda é montado e retirado.
- Implantação de sFlow: guia prático para provedores
Como exportar amostras de pacotes quando o roteador não faz NetFlow.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de implantação de mitigação de DDoS
Diga como o ataque é contido hoje e o tráfego no pico. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
