Hybrider DDoS-Schutz — Lokale Geschwindigkeit, Cloud-Skalierung

Hybrider DDoS-Schutz kombiniert zwei Mitigationsebenen, die für sich allein jeweils in die entgegengesetzte Richtung versagen: eine On-Premise-Installation von WanGuard, die Angriffe lokal in Sekunden erkennt und filtert, sowie vorgelagertes Cloud-Scrubbing, das Fluten absorbiert, die größer sind, als Ihre Uplinks physikalisch tragen können. ITORO gestaltet die Arbeitsteilung zwischen beiden so, dass alltägliche Angriffe an Ihrem Edge abgewickelt werden und nur echte Ereignisse im Terabit-Bereich nach oben eskaliert werden.

Warum eine Ebene allein nie ausreicht

Eine reine On-Premise-Appliance ist schnell und günstig im Betrieb, aber sie kann nur den Datenverkehr säubern, der sie erreicht — sobald ein Angriff Ihre Uplink-Kapazität übersteigt, entsteht die Überlastung an der Grenze Ihres Providers, oberhalb jeder Box, die Ihnen gehört. Ein reiner Cloud-Dienst löst das Kapazitätsproblem, bringt aber dauerhafte Umleitung, Abrechnung pro Ereignis oder pro sauberem Gigabit sowie eine Erkennungslatenz von mehreren zehn Sekunden mit sich, während der Verkehr umgeleitet wird. Hybrid hält den normalen Datenverkehr lokal und im eigenen Netz und greift nur dann auf Cloud-Kapazität zurück, wenn die Physik des Angriffs es erfordert.

Die Arbeitsteilung

On-Premise: WanGuard übernimmt Erkennung und chirurgische Filterung

WanGuard verarbeitet NetFlow/sFlow/IPFIX von Ihren Juniper MX oder anderen Edge-Routern und erstellt eine Live-Baseline dessen, was normal aussieht — pro Präfix, pro Host, pro Protokoll. Überschreitet eine Anomalie den Schwellenwert, verwirft es den störenden Verkehr mit granularen WanFilter-Filtern oder schiebt eine BGP FlowSpec-Regel an den Router selbst — mit Abgleich auf Quelle, Ziel, Ports, Protokoll, Paketlänge oder TCP-Flags. Das ist chirurgisch: Eine einzelne NTP-Amplification-Signatur oder ein einziges angegriffenes /32 lässt sich filtern, während der Rest des Subnetzes weiter bedient wird. Die Reaktionszeit liegt im Sekundenbereich, und es kostet nichts pro Gigabit, weil es auf Ihrer eigenen Hardware läuft.

Vorgelagert: Cloud- und Provider-Scrubbing für die volumetrische Obergrenze

Manche Fluten sind schlicht größer als Ihre Leitungen. Für diese signalisiert WanGuard automatisch die nächste Ebene. RTBH (Remotely Triggered Black Hole) ist das grobe, universell unterstützte Werkzeug — es null-routet das angegriffene Ziel an der Grenze Ihres Upstreams und opfert ein Ziel, um alles andere zu schützen. Wo Ihr Transit-Provider oder ein Scrubbing-Center es unterstützt, lässt sich stattdessen BGP FlowSpec nach oben propagieren, das nur die bösartigen Flows verwirft und das Ziel online hält. Die Cloud-Ebene ist für den Verkehr dimensioniert, den Ihre eigenen Uplinks niemals sein könnten.

Wann welche Ebene greift

• Normalbetrieb: Alles bleibt lokal. Keine Umleitung, keine zusätzliche Latenz, kein gemessener Egress.
• Typischer Angriff (passt in Ihre Uplinks): WanGuard filtert am Edge mit WanFilter oder FlowSpec in Sekunden. Die Cloud wird nie berührt.
• Uplinks nahe der Sättigung: WanGuard eskaliert automatisch — FlowSpec oder RTBH werden nach oben signalisiert oder der Verkehr wird zu einem Scrubbing-Center umgeleitet —, bevor die Überlastung den legitimen Verkehr beeinträchtigt.

Kostenplanbarkeit gegenüber reiner Cloud

Dauerhaftes Cloud-Scrubbing berechnet Ihnen jeden Monat Kapazität und sauberen Verkehr, ob Sie angegriffen werden oder nicht, und große Ereignisse können unvorhersehbare Mehrkosten verursachen. Ein hybrides Modell dreht das um: Ihre Fixkosten sind die On-Premise-WanGuard-Plattform, die die überwältigende Mehrheit der Vorfälle zu null Grenzkosten abwickelt, und Sie greifen nur bei den seltenen Ereignissen, die es wirklich brauchen, auf vorgelagerte Kapazität zurück — und bezahlen sie auch nur dann. Für ISPs, Telekommunikationsanbieter und Rechenzentren mit stabilem Datenverkehr und gelegentlichen Spitzen ist das meist sowohl günstiger als auch planbarer. Siehe transparente Preise.

Ein realistisches Szenario: Carpet-Bomb gegen gezielte Flut

Die beiden Ebenen verdienen ihren Platz bei unterschiedlichen Angriffen. Eine gezielte Flut — sagen wir 8 Gbit/s DNS-Reflection gegen eine einzelne Kunden-IP — ist ein gefundenes Fressen für die On-Premise-Ebene: WanGuard erstellt einen Fingerabdruck, verwirft sie mit einer FlowSpec-Regel am MX, und niemand sonst bemerkt etwas. Eine Carpet-Bomb ist schwieriger: dasselbe Gesamtvolumen wird über Hunderte von Zielen in einem /22 verschmiert, jeder einzelne Flow zu klein, um einen Schwellenwert pro Host auszulösen, aber das Aggregat sättigt Ihre Grenze. Hier zählt WanGuards Erkennung auf Subnetz- und Aggregatebene, und falls die Summe Ihre Uplinks dennoch übersteigt, lautet die ehrliche Antwort: vorgelagertes Scrubbing — ein RTBH pro /32 würde die Hälfte Ihrer Kunden ins Black Hole schicken. Wir gestalten Schwellenwerte und Eskalation für beide Fälle, statt anzunehmen, dass jeder Angriff gleich aussieht.

Häufig gestellte Fragen

On-Premise oder Cloud-DDoS-Schutz — was ist besser?

Keins von beiden allein. On-Premise gewinnt bei Geschwindigkeit und Kosten für die Angriffe, die Sie am häufigsten sehen; die Cloud gewinnt bei roher Kapazität für die seltenen größten Fluten. Hybrid setzt jede Ebene dort ein, wo sie am stärksten ist.

Erzeugt hybrider Schutz Latenz?

Nein. Der normale Datenverkehr bleibt lokal und wird nicht umgeleitet. Vorgelagerte Kapazität wird nur bei außergewöhnlichen volumetrischen Ereignissen eingebunden, nicht im stationären Betrieb.

Können Sie garantieren, dass nie ein Angriff durchkommt?

Nein, und das behaupten wir auch nicht. Wir gestalten mehrschichtige Mitigation so, dass Dienste über das realistische Bedrohungsspektrum hinweg verfügbar bleiben, und wir benennen deutlich den Punkt, an dem ein Angriff vorgelagert statt an Ihrem Edge absorbiert werden muss.

Müssen wir unsere Juniper MX oder bestehenden Router ersetzen?

Meistens nicht. WanGuard arbeitet neben Ihrem bestehenden Edge, nutzt NetFlow/sFlow/IPFIX zur Erkennung und setzt BGP FlowSpec und RTBH ein, um die Mitigation auf den Routern zu programmieren, die Sie bereits betreiben.