DDoS-Schutz für Netzbetreiber, Hosting-Anbieter und Rechenzentren
ITORO plant, implementiert und betreut DDoS-Schutz auf Basis von WanGuard. Die Erkennung arbeitet mit einer per Port-Mirroring erzeugten Kopie des Datenverkehrs oder mit NetFlow-, sFlow- und IPFIX-Daten, die von den Routern exportiert werden. Die Filterung erfolgt am Netzrand des Betreibers über BGP FlowSpec und RTBH, mit der Möglichkeit, den Verkehr zu einem externen Scrubbing-Center umzuleiten.
Preise Ingenieur kontaktieren
Netzwerksicherheit für Netzbetreiber: DDoS-Schutz am eigenen Netzrand
Jede Implementierung umfasst drei Phasen. Die Erkennung identifiziert den DDoS-Angriff und seinen Vektor, die Mitigation entfernt den Angriffsverkehr am Netzrand, und der laufende Betrieb hält Schwellenwerte und Filter an den sich ändernden Datenverkehr angepasst.
DDoS-Erkennung
Mit Port-Mirroring und DPDK analysiert WanGuard jedes Paket. Das Blackholing einer angegriffenen Adresse beginnt nach etwa 1 s, die selektive Filterung nach 6–10 s. Die flow-basierte Erkennung mit NetFlow, sFlow oder IPFIX reagiert innerhalb von 35–95 s.
Methoden der DDoS-Erkennung ›DDoS-Abwehr
Filterregeln werden per BGP FlowSpec an die Edge-Router verteilt und mit Line Rate ausgeführt. Typische Vektoren wie SYN-Flood, UDP-Flood und DNS-Amplification werden selektiv gefiltert. RTBH verwirft den Verkehr zu einer einzelnen angegriffenen Adresse, wenn das Volumen die Uplinks gefährdet. Für Angriffe, die die Uplink-Kapazität übersteigen, steht ein hybrides Modell mit einem externen Scrubbing-Dienst zur Verfügung.
BGP FlowSpec › RTBH ›Betrieb und Support
Die Support-Pakete von SILVER bis PLATINUM legen fest, welche Aufgaben beim Team des Betreibers verbleiben und welche ITORO übernimmt – von der technischen Wartung bis zur Konfigurationsprüfung und Alarmbearbeitung. Der Support wird getrennt von der Implementierung abgerechnet.
Support-Pakete ›Netzwerk-Monitoring und Traffic-Analyse für die DDoS-Erkennung: Port-Mirroring, NetFlow, sFlow und IPFIX
Die Wahl der Datenquelle bestimmt die Erkennungszeit, die Hardware-Anforderungen und die Präzision der Filterregeln. Beide Methoden lassen sich in einer WanGuard-Installation kombinieren.
| Methode | Erkennungszeit | Hardware | Typischer Einsatz |
|---|---|---|---|
| Port-Mirroring mit DPDK (WanGuard Sensor) | RTBH: 1 s Filterung: 6–10 s | Dedizierter Server, dimensioniert nach der Portkapazität (10GE bis 400GE) | Transit- und Peering-Verbindungen von Netzbetreibern und Rechenzentren |
| NetFlow, sFlow, IPFIX (WanGuard Flow Sensor) | 35–95 s, abhängig von den Export-Timern | Minimal; WanGuard Flow Sensor arbeitet als NetFlow-Analyzer für die von vorhandenen Routern exportierten Daten | Netze mit vielen Edge-Routern, Traffic-Analyse und Reporting |
Leistungen für DDoS-Schutz und DDoS-Abwehr
Erhältlich als Komplettimplementierung oder einzeln für eine bestehende WanGuard-Installation.
WanGuard-Installation, Konfiguration und Schulung
Mehr erfahren WanGuard-Installation, Konfiguration und Schulung
Tuning von Server, BIOS, Betriebssystem und NIC für DPDK
Mehr erfahren Tuning von Server, BIOS, Betriebssystem und NIC für DPDK
Einrichtung von BGP-Blackhole-Routing (RTBH)
Mehr erfahren Einrichtung von BGP-Blackhole-Routing (RTBH)
Traffic-Filterung mit BGP FlowSpec und WanFilter
Mehr erfahren Traffic-Filterung mit BGP FlowSpec und WanFilter
DDoS-Schutz für DNS · Hybrider DDoS-Schutz · Bewertung der DDoS-Abwehrbereitschaft
Juniper MX Firewall und Telemetrie
Ein eigenständiges Produkt für Edge-Router vom Typ Juniper MX (MX204, MX304 und größer): Firewall-Filter zum Schutz des Routers und des Netzes, Telemetrie, die alle 60 Sekunden über ein Read-only-Konto aus der PFE erfasst wird, zwei Grafana-Dashboards (DDoS Streams und Router Health) sowie ein E-Mail-Bericht, der nur bei einem Problem versendet wird. Die Implementierung erfolgt durch Juniper-zertifizierte Ingenieure. WanGuard ist optional; mit WanGuard werden die Regeln für BGP FlowSpec nach der Erkennung automatisch aktiviert.
Juniper MX firewallNIS2, Cybersicherheit und DDoS-Resilienz
Die NIS-2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen, darunter Anbieter öffentlicher elektronischer Kommunikationsnetze, Maßnahmen zur Cybersicherheit umzusetzen, die die Kontinuität ihrer Dienste sicherstellen, und erhebliche Sicherheitsvorfälle zu melden. Die Erkennung und Abwehr von DDoS-Angriffen samt Dokumentation der Angriffe und Reaktionen ist Teil dieser Maßnahmen. Unsere kostenlose NIS-2-Betroffenheits- und Konformitätsprüfung für alle 27 EU-Mitgliedstaaten zeigt den Status der Einrichtung, die zuständige Aufsichtsbehörde, die Höchstbußgelder und bestehende Lücken.
Kostenlose NIS-2-PrüfungPreise für DDoS-Schutz
Alle Preise entsprechen der veröffentlichten Preisliste. Der Implementierungspreis umfasst Installation, Schulung und einen Monat Implementierungsarbeit; Lizenzen und Support werden separat abgerechnet.
Warum ITORO
Andrisoft Gold Partner und ein Team Juniper-zertifizierter Ingenieure mit Schwerpunkt DDoS-Schutz für Netzbetreiber.
Andrisoft Gold Partner
Der einzige Andrisoft Gold Partner mit Spezialisierung auf WanGuard-Implementierungen, mit direktem Zugang zum Hersteller.
Erfahrung seit 2014
Unsere Ingenieure betreiben WanGuard seit 2014 in Produktionsnetzen. ITORO wurde 2017 gegründet.
Klar definierter Leistungsumfang
Jedes Angebot legt fest, welche Angriffe die Implementierung abdeckt und wo ihre Grenzen liegen, zum Beispiel bei Angriffen, die die Uplink-Kapazität übersteigen.
Leitfäden und Artikel
Juniper-Sicherheitsbulletin JSA112187 (Oktober 2026): Bewertung der Auswirkungen auf ISP- und Rechenzentrumsnetze
Kostenloser Scrubbing-Center-Readiness-Test: ROAs, Route-Objekte, LOA und AS-SET-Hygiene anhand Ihrer AS-Nummer
Kostenlose NIS-2-Konformitätsbewertung für alle 27 EU-Mitgliedstaaten: im Browser, ohne Konto
Häufig gestellte Fragen
Was ist ein DDoS-Angriff?
Ein Distributed-Denial-of-Service-Angriff (DDoS) überflutet ein Netz, einen Server oder einen Dienst mit Datenverkehr aus vielen Quellen, sodass legitime Nutzer nicht mehr bedient werden. Bei Netzbetreibern sind volumetrische Floods (UDP, SYN) und Amplification-Angriffe (DNS, NTP, memcached) die häufigsten Vektoren.
Was umfasst DDoS-Schutz für einen Netzbetreiber?
Erkennung von Angriffen im Verkehr des Betreibers, automatische Mitigation über BGP FlowSpec oder RTBH auf den Edge-Routern, Alarmierung und Reporting. Der Umfang wird im Angebot für das jeweilige Netz festgelegt.
Wie schnell erkennt WanGuard einen DDoS-Angriff?
Mit Port-Mirroring beginnt das Blackholing nach etwa 1 s und die Filterung nach 6–10 s. Mit NetFlow, sFlow oder IPFIX dauert die Erkennung aufgrund der Export-Timer der Router 35–95 s.
Ist zusätzliche Hardware erforderlich?
Die Erkennung per Port-Mirroring erfordert einen dedizierten Server, der nach den überwachten Ports dimensioniert ist. Die flow-basierte Erkennung nutzt Daten, die die Router bereits exportieren. Die Filterung mit BGP FlowSpec läuft auf vorhandenen Routern, die BGP FlowSpec unterstützen.
Was passiert bei Angriffen, die die Uplink-Kapazität übersteigen?
Verkehr, der die Kapazität der Uplinks übersteigt, lässt sich innerhalb des Netzes nicht filtern. Für solche Angriffe konfigurieren wir RTBH bei den Upstream-Providern oder die Integration mit einem externen Scrubbing-Dienst.