Hybrydowa ochrona przed DDoS — Lokalna szybkość, skala chmury

Hybrydowa ochrona przed DDoS łączy dwie warstwy obrony, z których każda z osobna zawodzi w przeciwnym kierunku: lokalne wdrożenie WanGuard on-premise, które wykrywa i filtruje ataki na miejscu w ciągu sekund, oraz nadrzędne czyszczenie ruchu w chmurze (scrubbing), które pochłania zalewy większe, niż wasze łącza są w stanie fizycznie udźwignąć. ITORO projektuje podział zadań między nimi tak, aby codzienne ataki były obsługiwane na waszym brzegu sieci, a w górę do chmury eskalowane były wyłącznie prawdziwe zdarzenia rzędu terabitów.

Dlaczego jedna warstwa nigdy nie wystarcza

Czysto lokalny appliance jest szybki i tani w utrzymaniu, ale potrafi oczyścić tylko ruch, który do niego dotrze — gdy atak przekroczy przepustowość waszego łącza, przeciążenie następuje na brzegu sieci waszego dostawcy, powyżej dowolnego urządzenia, które posiadacie. Usługa czysto chmurowa rozwiązuje problem pojemności, ale dokłada stałe przekierowanie ruchu, rozliczanie za zdarzenie lub za oczyszczony gigabit oraz opóźnienie detekcji liczone w dziesiątkach sekund, w trakcie których ruch jest przekierowywany. Hybryda utrzymuje normalny ruch lokalnie i w sieci, a po pojemność chmury sięga tylko wtedy, gdy wymaga tego fizyka ataku.

Podział zadań

On-premise: WanGuard odpowiada za detekcję i chirurgiczne filtrowanie

WanGuard pobiera NetFlow/sFlow/IPFIX z waszych routerów brzegowych Juniper MX lub innych i buduje żywą linię bazową tego, jak wygląda norma dla każdego prefiksu, hosta i protokołu. Gdy anomalia przekroczy próg, odrzuca szkodliwy ruch za pomocą precyzyjnych filtrów WanFilter lub wypycha regułę BGP FlowSpec na sam router — dopasowując po źródle, celu, portach, protokole, długości pakietu lub flagach TCP. Jest to chirurgiczne: pojedynczą sygnaturę amplifikacji NTP albo jeden atakowany /32 można odfiltrować, podczas gdy reszta podsieci działa dalej. Czas reakcji to sekundy, a nie kosztuje ani grosza za gigabit, bo działa na waszym własnym sprzęcie.

Warstwa nadrzędna: scrubbing w chmurze i u operatora dla wolumetrycznego sufitu

Niektóre zalewy są po prostu większe niż wasze łącza. Dla nich WanGuard automatycznie sygnalizuje kolejną warstwę. RTBH (Remotely Triggered Black Hole) to prymitywne, ale wszędzie wspierane narzędzie — kieruje atakowany cel w null-route na brzegu sieci waszego operatora nadrzędnego, poświęcając jeden cel, by ochronić całą resztę. Tam, gdzie wasz operator tranzytowy lub centrum scrubbingu to obsługuje, można zamiast tego propagować w górę BGP FlowSpec, odrzucając tylko złośliwe przepływy i utrzymując cel online. Warstwa chmurowa jest zwymiarowana pod ruch, którego wasze własne łącza nigdy nie udźwigną.

Kiedy angażuje się każda warstwa

• Normalna praca: wszystko zostaje lokalnie. Bez przekierowań, bez dodatkowego opóźnienia, bez taryfikowanego ruchu wychodzącego.
• Typowy atak (mieszczący się w waszych łączach): WanGuard filtruje na brzegu za pomocą WanFilter lub FlowSpec w ciągu sekund. Chmura nie jest w ogóle dotykana.
• Łącza zbliżające się do nasycenia: WanGuard eskaluje automatycznie — FlowSpec lub RTBH sygnalizowane w górę albo przekierowanie do centrum scrubbingu — zanim przeciążenie pogorszy ruch legalny.

Przewidywalność kosztów w porównaniu z czystą chmurą

Stały scrubbing w chmurze nalicza opłatę za pojemność i czysty ruch każdego miesiąca, niezależnie od tego, czy jesteście atakowani, a duże zdarzenia mogą generować nieprzewidywalne przekroczenia. Model hybrydowy odwraca tę logikę: waszym kosztem stałym jest lokalna platforma WanGuard, która obsługuje przytłaczającą większość incydentów przy zerowym koszcie krańcowym, a po pojemność nadrzędną sięgacie — i płacicie za nią — tylko podczas rzadkich zdarzeń, które faktycznie tego wymagają. Dla ISP, operatorów telekomunikacyjnych i centrów danych o stabilnym ruchu i sporadycznych skokach jest to zwykle zarazem taniej i bardziej przewidywalnie. Zobacz przejrzysty cennik.

Realistyczny scenariusz: carpet-bomb kontra atak ukierunkowany

Obie warstwy zarabiają na siebie w różnych atakach. Atak ukierunkowany — powiedzmy 8 Gbit/s odbicia DNS wymierzonego w jeden adres IP klienta — to woda na młyn warstwy lokalnej: WanGuard tworzy jego odcisk palca, odrzuca go regułą FlowSpec na MX i nikt inny tego nie zauważa. Carpet-bomb jest trudniejszy: ten sam łączny wolumen rozsmarowany jest na setki celów w /22, każdy pojedynczy przepływ zbyt mały, by przekroczyć próg per host, ale suma nasyca wasz brzeg sieci. Tutaj liczy się detekcja WanGuard na poziomie podsieci i agregatu, a jeśli łączny wolumen i tak przekracza wasze łącza, uczciwą odpowiedzią jest scrubbing nadrzędny — RTBH per /32 zblackholowałby połowę waszych klientów. Projektujemy progi i eskalację pod oba przypadki, zamiast zakładać, że każdy atak wygląda tak samo.

Najczęściej zadawane pytania

Ochrona DDoS on-premise czy chmurowa — która jest lepsza?

Żadna z osobna. On-premise wygrywa szybkością i kosztem przy atakach, które widzicie najczęściej; chmura wygrywa surową pojemnością przy rzadkich, największych zalewach. Hybryda używa każdej tam, gdzie jest najmocniejsza.

Czy ochrona hybrydowa dodaje opóźnienie?

Nie. Normalny ruch zostaje lokalnie i bez przekierowań. Pojemność nadrzędna angażowana jest tylko podczas wyjątkowych zdarzeń wolumetrycznych, a nie w stanie ustalonym.

Czy możecie zagwarantować, że żaden atak nigdy nie przejdzie?

Nie i nie będziemy tego twierdzić. Projektujemy warstwową obronę tak, aby utrzymać dostępność usług w całym realistycznym zakresie zagrożeń, i jasno wskazujemy punkt, w którym atak musi zostać pochłonięty w warstwie nadrzędnej, a nie na waszym brzegu sieci.

Czy musimy wymienić nasze Juniper MX lub istniejące routery?

Zwykle nie. WanGuard współpracuje z waszym istniejącym brzegiem sieci, wykorzystując NetFlow/sFlow/IPFIX do detekcji oraz BGP FlowSpec i RTBH do programowania reguł filtrujących na routerach, które już posiadacie.