Link lota e ninguém sabe o alvo
Sem fluxos, achar o IP atacado vira tentativa e erro, com a cidade fora do ar enquanto isso.
Segurança e DDoS · Provedores
Implantação de análise de fluxos com NetFlow para provedores
Saiba em um minuto qual IP está sob ataque, que tráfego enche cada link e para onde vão os seus assinantes, sem tocar no tráfego de ninguém.
- CPU conferida roteador por roteador
- Coletor e dados na sua rede
- Painéis para as suas perguntas
Implantação de análise de fluxos com NetFlow é configurar os roteadores para exportar o resumo de cada conversa e montar o coletor que transforma esses dados em respostas. É para o provedor que vê o link lotar e não sabe qual IP é o alvo, ou que quer decidir IX.br e caches com números. O resultado é enxergar o que passa pela borda, sem mexer no tráfego dos assinantes.
O que é análise de fluxos com NetFlow
É dar à rede um registro de quem fala com quem, por qual porta e quanto. O roteador manda os resumos; o coletor guarda, cruza e alerta.
O NetFlow nasceu na Cisco e virou nome genérico da exportação de fluxos. Um fluxo é o conjunto de pacotes com a mesma origem, destino, portas e protocolo; o roteador conta bytes e pacotes de cada um e envia ao coletor quando ele termina ou expira.
Num ataque DDoS, o gráfico da interface mostra só o link cheio. Os fluxos mostram que o alvo é um IP, que o tráfego vem da porta 123 e quais operadoras o trazem, e isso decide entre blackhole e filtro.
Os fluxos também mostram o que o firewall não vê: assinante infectado mandando tráfego para fora, servidor respondendo a varreduras e o peso de cada rede de destino. A implantação envolve quatro peças:
NetFlow v5 e v9
A v5 é antiga e só conhece IPv4; a v9 usa modelos e aceita IPv6 e MPLS. Ainda é a mais comum em Cisco e MikroTik.
IPFIX
Versão padronizada pela IETF, derivada da v9, com campos flexíveis. É o caminho usual em Juniper, Huawei e Nokia.
sFlow
Copia um pacote a cada N e envia junto com contadores da interface. Pesa pouco na CPU e aparece muito em switches.
Coletor e painéis
O servidor que recebe, guarda e mostra os dados. Pode ser de código aberto ou comercial, e roda dentro da sua rede.
Quando você precisa da análise de fluxos com NetFlow
Seis situações em que o gráfico de interface não responde a pergunta. Em todas, os fluxos respondem em minutos.
Vai implantar detecção de DDoS
Todo sistema de mitigação automática começa pelos fluxos. Sem eles, não há o que analisar.
Avaliando IX.br ou cache
Saber quanto tráfego vai para cada rede mostra se a porta no ponto de troca ou o cache se pagam.
Reclamação sem pista
Outra rede reclama de tráfego saindo do seu bloco e você não sabe de onde vem. Os fluxos de saída mostram.
Trânsito cheio no pico
Os fluxos mostram que tráfego encheu o link e se ele poderia sair por outro caminho mais em conta.
Exportação ligada e roteador pesado
Fluxo sem amostragem em tráfego alto sobe a CPU. A implantação ajusta a taxa em cada roteador.
Como funciona a análise de fluxos com NetFlow
São quatro etapas, e nenhuma interrompe o tráfego. A exportação é ligada em janela só por cuidado com a CPU.
Levantamento
Roteadores, suporte a NetFlow, IPFIX ou sFlow, volume de tráfego e onde o coletor vai rodar.
Prazo: [PREENCHER]
Coletor
Instalação e dimensionamento de disco para o tempo de guarda combinado com você.
Prazo: [PREENCHER]
Exportação em janela
Um roteador por vez, com a CPU medida antes e depois e a taxa de amostragem anotada.
Duração da janela: [PREENCHER]
Painéis, alertas e treino
Painéis montados para as perguntas do seu provedor e treino da equipe em casos reais.
Prazo: [PREENCHER]
O que está incluído na análise de fluxos com NetFlow
A implantação cobre a exportação, o coletor e os painéis. O que depende dos fluxos, mas é outro trabalho, tem página própria.
Incluído
- Exportação em cada roteador de borda, em entrada e saída
- Taxa de amostragem ajustada por roteador
- Coletor instalado e dimensionado para o seu tráfego
- Tempo de guarda de detalhe e de resumo definido com você
- Painéis por IP, operadora, rede de destino e protocolo
- Identificação do ASN de destino de cada fluxo
- Alertas para tráfego fora do padrão
- Acesso da equipe e treino de uso
- Documentação da exportação e do coletor
Não incluído
- Servidor do coletor, que é seu, físico ou virtual (a Táquion Tech não vende equipamento)
- Contenção automática de ataques, na implantação de mitigação de DDoS
- Logs que ligam IP e porta ao assinante, na guarda de logs de CGNAT
- Disponibilidade dos equipamentos, no monitoramento com Zabbix
- Adesão e sessão com o ponto de troca, na conexão ao IX.br
Quanto custa a análise de fluxos com NetFlow
O preço depende de quantos roteadores exportam, do volume de tráfego e de quanto tempo os dados ficam guardados. O valor exato sai por escrito depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Roteadores que exportam | Cada um é configurado, medido e testado na janela | Dois roteadores de borda e um concentrador |
| Volume de tráfego | Mais tráfego pede coletor maior e amostragem mais estudada | Borda com 20 Gbps no pico |
| Tempo de guarda | Guardar detalhe por mais tempo exige mais disco e mais ajuste | Detalhe por 15 dias e resumo por 1 ano |
| Coletor escolhido | Código aberto pede mais montagem; comercial tem licença à parte | Coletor aberto com painéis no Grafana |
| Painéis sob medida | Perguntas específicas levam mais tempo de montagem | Tráfego por cidade e por cliente empresarial |
| Marcas misturadas | NetFlow, IPFIX e sFlow juntos pedem normalização no coletor | Borda MikroTik e agregação em switch com sFlow |
Faixa de preço para um provedor com dois roteadores de borda: [PREENCHER faixa aprovada pela Táquion Tech]. O servidor do coletor é seu e pode ser uma máquina virtual que você já tem.
O que conferir antes de contratar a análise de fluxos com NetFlow
Confira os erros que fazem os números saírem errados, a escolha entre as tecnologias e as normas que descrevem cada uma. Vale para avaliar qualquer implantação, inclusive a da Táquion Tech.
Erros comuns ao contratar
Cinco falhas que deixam o coletor bonito e inútil. Pergunte ao fornecedor como evita cada uma.
Exportar só um sentido
Fluxos só de entrada escondem assinante atacando para fora. A borda precisa exportar os dois sentidos, sem contar o mesmo tráfego duas vezes.
Amostragem que o coletor desconhece
Se o coletor não sabe a taxa usada, os volumes saem divididos por mil. A taxa precisa vir no modelo exportado ou estar configurada no coletor.
Expiração longa demais
Fluxo ativo que só é enviado depois de muitos minutos atrasa o alerta. Para detecção, o usual é 60 segundos ou menos [CONFIRMAR no manual do equipamento].
Disco sem conta
Coletor que guarda tudo em detalhe enche em dias. Detalhe curto e resumo longo cabem no mesmo disco.
Relógio fora de hora
Sem NTP, o horário dos fluxos não bate com os logs do CGNAT, e a investigação perde o fio.
NetFlow, IPFIX ou sFlow
Os três servem para detectar ataque e entender o tráfego. A escolha segue o que o equipamento faz bem, não uma disputa de qual é superior.
| Tecnologia | Como amostra | Peso na CPU |
|---|---|---|
| NetFlow v9 | Por fluxo, com amostragem opcional | Médio, cresce com o tráfego |
| IPFIX | Por fluxo, com campos flexíveis | Médio, parecido com a v9 |
| sFlow | Um pacote a cada N, sempre | Baixo, feito em hardware em muitos modelos |
Qual escolher
Roteador de borda
Use o que o fabricante implementa em hardware, em geral IPFIX ou NetFlow v9.
Switch de agregação
sFlow, quando disponível, mostra o tráfego interno sem pesar no equipamento.
Taxa de amostragem de referência
Até 10 Gbps
Um pacote em cada mil costuma bastar para enxergar ataques [CONFIRMAR com o tráfego real].
Acima de 10 Gbps
Entre um em 4 mil e um em 8 mil, sempre conferindo a CPU [CONFIRMAR com o tráfego real].
Normas e boas práticas
Documentos públicos que descrevem cada tecnologia e o cuidado com os dados.
RFC 3954
Descreve o NetFlow versão 9, com exportação baseada em modelos [CONFIRMAR na norma].
RFC 7011
Define o IPFIX, padrão aberto da IETF para exportar fluxos entre equipamentos de marcas diferentes [CONFIRMAR na norma].
RFC 3176
Documenta o sFlow, com amostragem de pacotes e envio de contadores [CONFIRMAR na norma].
LGPD e guarda dos fluxos
Fluxos ligam IPs a comportamento, então tempo de guarda e acesso precisam de regra [CONFIRMAR na norma]. Veja a adequação à LGPD.
Checklist antes de contratar
Com estes itens, o coletor sai dimensionado na primeira proposta.
Lista de roteadores
Modelo, versão e interfaces de borda de cada um, com acesso só de leitura.
Pico de tráfego
Gráfico do último mês de cada link de trânsito e do IX.br.
Onde roda o coletor
Servidor ou máquina virtual disponível, com disco e rede até os roteadores.
Perguntas a responder
Detectar ataques, planejar IX.br e caches, achar abuso ou tudo isso junto.
Por que escolher a Táquion Tech para enxergar a sua borda
Porque os fluxos chegam certos, o roteador não sofre e os dados ficam com você. Seis compromissos de toda implantação.
CPU medida antes e depois
Cada roteador tem a exportação ligada sozinho, com a CPU acompanhada durante a janela.
Medição de CPU no relatório de entrega
Dados na sua rede
O coletor roda num servidor seu. Nenhum fluxo sai para um serviço de terceiros sem você decidir.
Coletor instalado em servidor do provedor
Painéis para as suas perguntas
Ataque, IX.br, caches ou abuso, os painéis são montados para o que você precisa decidir.
Painéis definidos com você no levantamento
Sem licença empurrada
Coletor aberto ou comercial, a indicação segue o seu volume e o seu orçamento.
Nenhum coletor indicado por comissão
Equipe treinada em casos reais
A equipe aprende a achar o alvo de um ataque e a origem de um abuso nos próprios painéis.
Treino incluído na entrega
Especialista do começo ao fim
Quem levanta os roteadores é quem configura a exportação e monta os painéis.
[PREENCHER: anos de experiência da equipe com análise de tráfego]
Onde a Táquion Tech implanta análise de fluxos
A implantação é remota e atende provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também instala o coletor no POP quando você prefere servidor físico.
Remoto para todo o Brasil
Exportação, coletor, painéis e treino por acesso remoto registrado, em janela combinada, de qualquer estado.
Presencial no litoral de Santa Catarina
Instalação física do servidor do coletor no rack do POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre análise de fluxos com NetFlow
As dúvidas mais comuns antes de ligar a exportação de fluxos. Se a sua não estiver aqui, pergunte no WhatsApp.
O que é NetFlow?
É um protocolo que faz o roteador enviar um resumo de cada conversa de rede: quem falou com quem, por qual porta e quanto. Esses resumos mostram do que é feito o tráfego.
NetFlow pesa no roteador?
Pode pesar em tráfego alto sem amostragem. Com a taxa ajustada, o custo de CPU fica baixo, e por isso a exportação é ligada um roteador por vez.
NetFlow ou sFlow?
Use o que o equipamento faz melhor. NetFlow e IPFIX resumem conversas; sFlow trabalha com amostras de pacotes. Para detectar DDoS, todos funcionam.
Quanto custa a implantação de análise de fluxos com NetFlow?
Depende do número de roteadores, do tráfego e do tempo de guarda. A faixa é [PREENCHER], e o servidor do coletor é seu.
Quanto tempo leva a implantação?
O prazo típico é [PREENCHER] e depende do número de roteadores e de o servidor do coletor já estar pronto. A exportação em si é ligada em uma janela curta.
Por quanto tempo os fluxos ficam guardados?
Pelo tempo que você decidir e o disco permitir, em geral dias de detalhe e meses de resumo. Se houver exigência legal no seu caso, confirme com o seu jurídico.
Os fluxos identificam o assinante atrás do CGNAT?
Sozinhos, não: mostram o IP público e a porta. Cruzados com os logs de CGNAT, chegam ao assinante.
MikroTik exporta NetFlow?
Exporta, pelo Traffic Flow do RouterOS, nas versões 5 e 9 e em IPFIX. O guia de implantação de IPFIX mostra a configuração.
Isso já detecta DDoS sozinho?
Os painéis e alertas mostram o ataque, mas não contêm. Para disparar blackhole ou FlowSpec, o próximo passo é a implantação de mitigação de DDoS.
Como escolher uma empresa de implantação de análise de fluxos com NetFlow?
Pergunte como a amostragem é escolhida, onde ficam os dados e que painéis você recebe. Desconfie de quem liga a exportação em todos os roteadores de uma vez.
Serviços relacionados à análise de fluxos com NetFlow
Três serviços que usam os fluxos como ponto de partida. Cada um transforma os dados numa decisão.
-
Implantação de mitigação de DDoS
Os fluxos ligados à contenção automática por blackhole, FlowSpec ou desvio.
Ver a implantação de mitigação de DDoS -
Conexão ao IX.br
Sessão com os route servers do ponto de troca, decidida com os números dos fluxos.
Ver a conexão ao IX.br -
Implantação de Grafana
Painéis de rede que juntam fluxos, interfaces e alertas numa só tela.
Ver os painéis em Grafana
Leia antes de contratar
Três guias com a configuração de cada tecnologia e o uso num ataque.
- Implantação de IPFIX: guia prático para provedores
Como exportar IPFIX dos roteadores de borda, passo a passo.
- Implantação de sFlow: guia prático para provedores
Como usar sFlow em switches e roteadores que trabalham por amostra.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como os fluxos mostram o alvo e o tipo de um ataque em andamento.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de análise de fluxos com NetFlow
Mande a marca dos roteadores e para que você quer os fluxos. Um Especialista devolve escopo, prazo e valor.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
