Hybrydowa ochrona przed DDoS: Lokalna szybkość, skala chmury
Hybrydowa ochrona przed DDoS łączy dwie warstwy obrony, z których każda z osobna zawodzi w przeciwnym kierunku: lokalne wdrożenie WanGuard on-premise, które wykrywa i filtruje ataki na miejscu w ciągu sekund, oraz nadrzędne czyszczenie ruchu w chmurze (scrubbing), które pochłania zalewy większe, niż Twoje łącza są w stanie fizycznie udźwignąć. ITORO projektuje podział zadań między nimi tak, aby codzienne ataki były obsługiwane na brzegu Twojej sieci, a w górę do chmury eskalowane były wyłącznie prawdziwe zdarzenia rzędu terabitów.
Dlaczego jedna warstwa nigdy nie wystarcza
Czysto lokalny appliance jest szybki i tani w utrzymaniu, ale potrafi oczyścić tylko ruch, który do niego dotrze, gdy atak przekroczy przepustowość Twojego łącza, przeciążenie następuje na brzegu sieci Twojego dostawcy, powyżej dowolnego urządzenia, które posiadasz. Usługa czysto chmurowa rozwiązuje problem pojemności, ale dokłada stałe przekierowanie ruchu, rozliczanie za zdarzenie lub za oczyszczony gigabit oraz opóźnienie detekcji liczone w dziesiątkach sekund, w trakcie których ruch jest przekierowywany. Hybryda utrzymuje normalny ruch lokalnie i w sieci, a po pojemność chmury sięga tylko wtedy, gdy wymaga tego fizyka ataku.
Podział zadań
On-premise: WanGuard odpowiada za detekcję i chirurgiczne filtrowanie
WanGuard pobiera NetFlow/sFlow/IPFIX z Twoich routerów brzegowych Juniper MX lub innych i buduje żywą linię bazową tego, jak wygląda norma dla każdego prefiksu, hosta i protokołu. Gdy anomalia przekroczy próg, odrzuca szkodliwy ruch za pomocą precyzyjnych filtrów WanFilter lub wypycha regułę BGP FlowSpec na sam router: dopasowując po źródle, celu, portach, protokole, długości pakietu lub flagach TCP. Jest to chirurgiczne: pojedynczą sygnaturę amplifikacji NTP albo jeden atakowany /32 można odfiltrować, podczas gdy reszta podsieci działa dalej. Czas reakcji to sekundy, a nie kosztuje ani grosza za gigabit, bo działa na Twoim własnym sprzęcie.
Warstwa nadrzędna: scrubbing w chmurze i u operatora dla wolumetrycznego sufitu
Niektóre zalewy są po prostu większe niż Twoje łącza. Dla nich WanGuard automatycznie sygnalizuje kolejną warstwę. RTBH (Remotely Triggered Black Hole) to prymitywne, ale wszędzie wspierane narzędzie: kieruje atakowany cel w null-route na brzegu sieci Twojego operatora nadrzędnego, poświęcając jeden cel, by ochronić całą resztę. Tam, gdzie Twój operator tranzytowy lub centrum scrubbingu to obsługuje, można zamiast tego propagować w górę BGP FlowSpec, odrzucając tylko złośliwe przepływy i utrzymując cel online. Warstwa chmurowa jest zwymiarowana pod ruch, którego Twoje własne łącza nigdy nie udźwigną.
Kiedy angażuje się każda warstwa
- Normalna praca: wszystko zostaje lokalnie. Bez przekierowań, bez dodatkowego opóźnienia, bez taryfikowanego ruchu wychodzącego.
- Typowy atak (mieszczący się w Twoich łączach): WanGuard filtruje na brzegu za pomocą WanFilter lub FlowSpec w ciągu sekund. Chmura nie jest w ogóle dotykana.
- Łącza zbliżające się do nasycenia: WanGuard eskaluje automatycznie, FlowSpec lub RTBH sygnalizowane w górę albo przekierowanie do centrum scrubbingu, zanim przeciążenie pogorszy ruch legalny.
Przewidywalność kosztów w porównaniu z czystą chmurą
Stały scrubbing w chmurze nalicza opłatę za pojemność i czysty ruch każdego miesiąca, niezależnie od tego, czy jesteście atakowani, a duże zdarzenia mogą generować nieprzewidywalne przekroczenia. Model hybrydowy odwraca tę logikę: Twoim kosztem stałym jest lokalna platforma WanGuard, która obsługuje przytłaczającą większość incydentów przy zerowym koszcie krańcowym, a po pojemność nadrzędną sięgasz i płacisz za nią tylko podczas rzadkich zdarzeń, które faktycznie tego wymagają. Dla ISP, operatorów telekomunikacyjnych i centrów danych o stabilnym ruchu i sporadycznych skokach jest to zwykle zarazem taniej i bardziej przewidywalnie. Zobacz przejrzysty cennik.
Realistyczny scenariusz: carpet-bomb kontra atak ukierunkowany
Obie warstwy zarabiają na siebie w różnych atakach. Atak ukierunkowany, powiedzmy 8 Gbit/s odbicia DNS wymierzonego w jeden adres IP klienta, to woda na młyn warstwy lokalnej: WanGuard tworzy jego odcisk palca, odrzuca go regułą FlowSpec na MX i nikt inny tego nie zauważa. Carpet-bomb jest trudniejszy: ten sam łączny wolumen rozsmarowany jest na setki celów w /22, każdy pojedynczy przepływ zbyt mały, by przekroczyć próg per host, ale suma nasyca brzeg Twojej sieci. Tutaj liczy się detekcja WanGuard na poziomie podsieci i agregatu, a jeśli łączny wolumen i tak przekracza Twoje łącza, uczciwą odpowiedzią jest scrubbing nadrzędny: RTBH per /32 zblackholowałby połowę Twoich klientów. Projektujemy progi i eskalację pod oba przypadki, zamiast zakładać, że każdy atak wygląda tak samo.
Najczęściej zadawane pytania
Ochrona DDoS on-premise czy chmurowa, która jest lepsza?
Żadna z osobna. On-premise wygrywa szybkością i kosztem przy atakach, które widzicie najczęściej; chmura wygrywa surową pojemnością przy rzadkich, największych zalewach. Hybryda używa każdej tam, gdzie jest najmocniejsza.
Czy ochrona hybrydowa dodaje opóźnienie?
Nie. Normalny ruch zostaje lokalnie i bez przekierowań. Pojemność nadrzędna angażowana jest tylko podczas wyjątkowych zdarzeń wolumetrycznych, a nie w stanie ustalonym.
Czy możecie zagwarantować, że żaden atak nigdy nie przejdzie?
Nie i nie będziemy tego twierdzić. Projektujemy warstwową obronę tak, aby utrzymać dostępność usług w całym realistycznym zakresie zagrożeń, i jasno wskazujemy punkt, w którym atak musi zostać pochłonięty w warstwie nadrzędnej, a nie na brzegu Twojej sieci.
Czy musimy wymienić nasze Juniper MX lub istniejące routery?
Zwykle nie. WanGuard współpracuje z istniejącym brzegiem Twojej sieci, wykorzystując NetFlow/sFlow/IPFIX do detekcji oraz BGP FlowSpec i RTBH do programowania reguł filtrujących na routerach, które już posiadasz.