WanGuard: DDoS-Erkennung und Mitigation, installiert und optimiert von ITORO
WanGuard von Andrisoft ist ein Anti-DDoS-System in Carrier-Grade-Qualität, das Angriffe erkennt und mit BGP FlowSpec, RTBH-Blackholing mitigiert oder hypervolumetrische DDoS-Angriffe an ein Scrubbing-Center umleitet. Mit Port-Mirroring greift RTBH nach etwa 1 s und die selektive Filterung nach 6–10 s. Als Andrisoft Gold Partner installiert, optimiert und betreibt ITORO es für ISPs / DCs und Unternehmen weltweit.
Neue Version: WanGuard 9.0Was sich ändert, Reaktionszeiten und Konsolen-Screens mit ITORO-Kommentar ›Nach etwa 65 s sind die Uplinks gesättigt. Bis dahin haben die Nutzer den Zugriff bereits verloren, deshalb zählt jede Sekunde.
Eine komplette DDoS-Schutzplattform
WanGuard vereint Hochgeschwindigkeits-Traffic-Monitoring, Anomalieerkennung und automatisierte Mitigation in einem On-Premise-System, das Sie vollständig kontrollieren. Wir können Mitigation von Drittanbietern aktivieren, etwa Scrubbing-Center-Failover, Web Application Firewall (WAF)-Schutz oder weitere Ebenen, um mehrschichtigen Schutz aufzubauen.
WanGuard Sensor
Verarbeitet Pakete aus dem Port-Mirroring oder NetFlow/sFlow, erstellt Traffic-Baselines pro IP und erkennt volumetrische und Protokoll-Angriffe: mit Port-Mirroring RTBH nach etwa 1 s und selektive Filterung nach 6–10 s, mit Flow-Daten nach 35–95 s.
WanGuard Filter / WanFilter
Die DPDK-beschleunigte Paketfilterung entfernt nur den bösartigen Verkehr, skaliert von 1 Gbit/s bis 800 Gbit/s pro Sensor-Port und verwirft keinen legitimen Verkehr.
WanGuard Console
Zentrale Verwaltung, Dashboards, Reporting und Alerting mit langfristiger sFlow/IPFIX/NetFlow-Analyse und Kapazitätsplanung.
Schnelle Reaktion
FlowSpec verteilt Filterregeln netzwerkweit: Mit Port-Mirroring greift die selektive Filterung nach 6–10 s und stoppt Angriffe, bevor sie ihre Ziele erreichen.
Präzise Filterung
Regeln erfassen bösartigen Verkehr anhand von IP, Protokoll, Port und Paketmerkmalen, legitimer Verkehr passiert ungehindert.
Läuft auf Ihren Routern
Nutzt vorhandene BGP-fähige Router (Cisco, Juniper, Arista, Huawei, Nokia), eine dedizierte Appliance ist nicht erforderlich.
Skalierbar
Global oder auf ausgewählte Netzwerksegmente angewendet; skaliert mit Ihrer bestehenden BGP-Infrastruktur.
Bereitstellung ohne Ausfallzeit
ITORO richtet BGP FlowSpec ohne Wartungsfenster ein, der Dienst wird während der Installation nicht unterbrochen.
Geringere Kosten
Nutzt Ihre Router anstelle dedizierter DDoS-Hardware und senkt die Gesamtbetriebskosten.
Entwickelt für die Angriffe, die ISPs tatsächlich erleben
WanGuard, von ITORO optimiert, schützt vor volumetrischen und protokollbasierten DDoS-Angriffen. Die folgenden Kategorien decken den Großteil realer Vorfälle ab.
Volumetrische Floods
Hochratige UDP-, ICMP- und IP-Floods, die versuchen, Ihre Uplinks zu sättigen.
Amplifikation / Reflexion
NTP, DNS, CLDAP, CHARGEN, SSDP, memcached, SNMP und ähnliche Reflexionsvektoren.
Carpet-Bomb
Angriffe, die über viele Ziel-IPs eines Präfixes verteilt sind: erkannt pro IP, nicht nur pro Dienst.
Fragmentierung
IP/UDP-Fragment-Floods, die darauf ausgelegt sind, an sampling-basierten Flow-Systemen vorbeizukommen.
TCP-State-Exhaustion
SYN-, ACK- und Connection-Flood-Angriffe gegen zustandsbehaftete Geräte.
DNS & Anwendungsschicht
DNS-Query-Floods werden mitigiert (DNS-Sicherheit über DNSdist). Angriffe auf Anwendungsebene (L7) verwerfen oder drosseln wir, statt sie vollständig zu stoppen. WanGuard ist eine volumetrische L3/L4-Mitigation, keine Web Application Firewall.
RTBH, BGP FlowSpec und WanFilter: das passende Werkzeug für jeden Angriff
BGP-FlowSpec-Filterung
Granulare Filterung in Hardware-Geschwindigkeit, direkt auf die Line-Cards von Cisco, Juniper oder Arista übertragen. Verworfen wird nur der Angriffsverkehr, der Dienst bleibt online.
RTBH-Blackholing
Remotely Triggered Black Hole verwirft bei Ihren Upstreams den gesamten Verkehr zu einer angegriffenen IP. Das ist die Rückfalloption, wenn ein Angriff für granulare Filterung zu groß ist.
WanFilter-Scrubbing
Gezieltes DPDK-Paket-Scrubbing, inline oder als Off-Ramp-Filter. Einsetzbar, wenn Ihre Router kein BGP FlowSpec unterstützen, oder als zusätzliche Filterebene neben FlowSpec, um einzelne Dienste zu schützen, statt die gesamte IP ins Blackhole zu leiten.
Mehrschichtige Automatisierung
Zuerst FlowSpec/WanFilter, RTBH als Rückfalloption, wenn die Uplinks sich der Sättigung nähern. Vollautomatisch, mit Alarmen an Ihr NOC.
Mitigation hat Grenzen, und wir sagen das offen
Die Kapazität Ihres Uplinks ist die feste Obergrenze: Wir können nicht mehr filtern, als die Leitung transportiert.
Was wir mitigieren
- Alles, worauf WanGuard und Juniper MX reagieren können, innerhalb der Bandbreite Ihres Uplinks.
- Dauerhaft aktive, zustandslose MX-Filterung: Anti-Spoofing, Anti-Amplification, Rate-Limits, CoPP.
- Dynamisches BGP FlowSpec und RTBH werden aktiviert, sobald ein Angriff erkannt wird.
- Granulare Filterung hält Ihren Kunden online, RTBH nur als letztes Mittel.
Wo wir eskalieren
- Die Mitigation ist durch die Uplink-Kapazität begrenzt. Wir können nicht mehr filtern, als die Leitung transportiert.
- BGP FlowSpec blockiert nur, was sich als Regel ausdrücken lässt. Manche randomisierten oder adaptiven Floods lassen sich damit nicht filtern.
- Wenn der Traffic Ihren Uplink übersteigt oder nicht gefiltert werden kann, eskalieren wir zu einem externen Scrubbing-Center im Terabit-Bereich.
- Wir sagen Ihnen vorab, was wir nicht blockieren können. Das gehört zu unserem Ansatz und ist kein Haftungsausschluss.
Ein Andrisoft Gold Partner, der WanGuard täglich betreibt
- Komplette Installation, BIOS/OS/NIC-Tuning und Mitarbeiterschulung.
- Realistische Schwellenwerte pro IP, die Angriffe ohne Fehlalarme erkennen.
- BGP, RTBH und FlowSpec konfiguriert auf Ihren Routern und Upstreams.
- Technischer Support wird getrennt von der Implementierung abgerechnet, von E-Mail-Support am nächsten Werktag bis zur vollständigen Administration. Der Onboarding-Monat ist die Implementierung selbst: Wir bauen die Installation auf und helfen Ihrem Team, den Schutz mit korrekt gesetzten Triggern in Betrieb zu nehmen.
Bereitstellung, von Anfang bis Ende
Die genauen Schritte von ITORO: von Ihren blanken Servern zu einer abgestimmten, produktiven WanGuard-Bereitstellung.
Ausgereifte, kampferprobte Software: kein frisches Experiment
WanGuard wird von Ingenieuren geschrieben, nicht von KI generiert. Es ist seit über einem Dutzend Jahren am Markt und wurde Jahr für Jahr unter dem Druck echter DDoS-Angriffe im Produktivbetrieb gehärtet.
- Eine ausgereifte, von Menschen entwickelte Codebasis: kein frisches, KI-generiertes Experiment.
- Jahre im Produktivbetrieb, bewährt unter dem Druck echter, vielfältiger DDoS-Angriffe.
- Bevor Sie eine DDoS-Lösung wählen, prüfen Sie, wie lange sie am Markt ist und ob sie professionell validiert wird, mit anerkannten Traffic-Generatoren wie IXIA oder TREX.
Transparent, ab 2.500 € einmalig
Zwei Standardszenarien decken die meisten Bereitstellungen ab. Einmalige Bereitstellung (der erste Server umfasst Installation, Schulung und einen Monat Feinabstimmung); WanGuard-Lizenzen sind jährlich. Erstellen Sie ein vollständig aufgeschlüsseltes Angebot im Kalkulator.
Nur RTBH: schneller und kostengünstiger Einstieg, volumetrische Angriffe werden per Blackholing des Ziels gestoppt.
- 2×10GE-Sensor (Port-Mirroring), RTBH nach etwa 1 s
- BGP RTBH auf Ihren Routern/Upstreams
- Mitigation nur per Blackhole
RTBH + BGP FlowSpec: granulare Filterung, die den Dienst online hält, mit RTBH als Rückfalloption.
- Alles aus Szenario 1
- Granulare BGP-FlowSpec-Filterung + WanFilter
- Skaliert auf 40/100/400GE-Sensoren
Häufige Fragen
Ist WanGuard besser als Cloud-DDoS-Schutz?
WanGuard läuft on-premise: Der Traffic verlässt niemals Ihr Netzwerk, die Erkennung ist schneller und die Kosten sind vorhersehbar. Es ergänzt Upstream-Cloud-Scrubbing bei sehr großen volumetrischen Angriffen.
Wie schnell erkennt WanGuard einen DDoS-Angriff?
Mit Port-Mirroring greift RTBH nach etwa 1 s und die selektive Filterung nach 6–10 s; mit NetFlow/sFlow dauert die Erkennung 35–95 s, je nach Export-Intervallen.
Welche Hardware benötige ich?
Ein BGP-fähiger Router, ein Switch oder Router, der Flows exportieren (sFlow, NetFlow, IPFIX) oder Verkehr spiegeln kann, und für einen Port-Mirroring-Sensor ein Server, der auf die gespiegelte Portgeschwindigkeit von 1 bis 400 Gbit/s ausgelegt ist. ITORO empfiehlt die genaue Spezifikation.
Kann ITORO WanGuard für uns betreiben?
Ja. Unsere Support-Stufen GOLD und PLATINUM umfassen Monitoring, Schwellenwert-Tuning, Änderungen und auch die vollständige Administration.
Sollten wir inline oder out-of-band bereitstellen?
Unsere bevorzugte Methode ist out-of-band (off-ramp) mit BGP FlowSpec auf Ihren Edge-Routern, Erkennung und Scrubbing liegen nie dauerhaft im Datenpfad. Ein inline-Filter wird ebenfalls unterstützt, hat aber einen Nachteil: in einer Bridge oder direkt im Datenpfad platziert, kann ein Neustart oder Serviceereignis den Verkehr kurz beeinträchtigen. Off-Ramp-Filterung vermeidet das vollständig.
Wie lange dauert die Bereitstellung?
Ein erster Server umfasst Installation, BIOS/OS/NIC-Tuning, Schulung und einen Monat Feinabstimmung. In der Praxis gehen die meisten Bereitstellungen in ein bis zwei Wochen live, vorausgesetzt, Ausrüstung, Server und BGP sind bereit und Ihr Team hat Zeit für die Schulung. Wir können auch bereitstellen, während Sie sich unter aktivem Angriff befinden; das bedeutet manchmal, den Schutz über einen alternativen Datenpfad (zum Beispiel eine Mobilfunkverbindung) aufzubauen, um das angegriffene Rechenzentrum oder den ISP zu erreichen.
Wie geht es mit verschlüsselten (TLS-)Angriffen um?
TLS-Angriffe finden auf Layer 7 statt. WanGuard arbeitet auf Layer 3/4 (BGP FlowSpec, RTBH-Blackholing, Edge-FlowSpec) und inspiziert ohne installierte Zertifikate keine verschlüsselten Payloads. Es ist keine Web Application Firewall; es ist eine Software zur volumetrischen DDoS-Mitigation, die den Flood anhand des Traffic-Verhaltens (Rate, Quellen, Paketmerkmale) absorbiert.
Lässt es sich in unsere bestehende Infrastruktur integrieren?
Ja. WanGuard steuert Ihre vorhandenen BGP-fähigen Router (Juniper, Cisco, Arista, Huawei, Nokia), ein Austausch ist nicht nötig. Ein Juniper MX eignet sich als permanent aktives Filter-Gateway mit Leitungsgeschwindigkeit, und die Streaming-Telemetrie von Juniper speist Grafana für die Sichtbarkeit. Beide sind als Zusatzprodukte in unserem Portfolio verfügbar.
Kann es mit wachsender Bandbreite mitskalieren?
Sensoren skalieren von 2×10GE bis 400GE pro Server, Sie können Sensoren und POPs hinzufügen, und die Flow/sFlow-Erkennung skaliert über viele Router bis in den Terabit-Bereich. Die Mitigation über BGP FlowSpec läuft mit der Line-Rate Ihrer Router.
Wie sind die Kosten im Vergleich zum Cloud-Scrubbing?
WanGuard ist eine einmalige Bereitstellung plus jährliche Lizenzen und optionaler Support, ohne Scrubbing-Gebühren pro Gbit/s, die mit der Angriffsgröße steigen. Die Kosten sind vorhersehbar, und Ihr Traffic verlässt niemals Ihr Netzwerk.
Welche Sichtbarkeit erhalten wir über Angriffs-Alerts hinaus?
Live-Dashboards, Berichte pro Vorfall und Langzeitanalysen, dazu optional Juniper-MX-Telemetrie in Grafana für Echtzeit-Ansichten von Edge und Mitigation, die Ihr NOC während eines Angriffs beobachten kann. Das regulatorische (NIS2-)Reporting wird im Rahmen des ITORO-Notfallpakets auf die Anforderungen Ihres Landes zugeschnitten und mit dem Vertrieb abgestimmt.
Welche Arten von DDoS-Angriffen kann es stoppen?
Volumetrische Floods (UDP/ICMP), Amplifikation/Reflexion (NTP, DNS, CLDAP, memcached und mehr), Carpet-Bomb, Fragmentierung, TCP-State-Exhaustion (SYN) und DNS-Floods. Traffic auf Anwendungsebene (L7) wird verworfen oder gedrosselt, statt vollständig gestoppt zu werden. Für weitere Informationen kontaktieren Sie den Vertrieb.
Bereit, DDoS-Angriffe zu stoppen, bevor sie eintreffen?
Erhalten Sie eine WanGuard-Bereitstellung, die auf Ihr Netzwerk zugeschnitten und optimiert ist.
ITORO kontaktieren