Unidade de proteção
Blocos /24 IPv4.
Tecnologia e conhecimento
Como funciona o DDoS Defense
Quatro etapas entre o anúncio do seu prefixo e a entrega do tráfego filtrado.
A proteção é ativada por BGP: os seus prefixos passam a ser anunciados pela rede da UPX. O tráfego de entrada é filtrado em Equinix SP2 e Ascenty SP3 e devolvido pelo handoff que você escolher. Sem hardware no seu rack e sem redesenho de rede.
O fluxo
Anúncio, desvio, filtragem, entrega.
A ordem explica por que o volume do ataque não chega ao seu circuito. Nas etapas 02 e 03 o tráfego ainda está na rede da UPX.
01
Anúncio BGP
Os seus prefixos passam a ser anunciados pela rede da UPX.
- Sessão BGP estabelecida com o ASN do cliente
- Prefixos anunciados pela rede UPX
- Operação Always-On ou Sob Demanda
- O cliente segue dono dos prefixos e da política de roteamento
02
Desvio do tráfego
Todo o tráfego de entrada dos prefixos passa pela rede da UPX.
- Dupla mitigação física em São Paulo: Equinix SP2 e Ascenty SP3
- Sem hardware no cliente e sem redesenho de rede
03
Filtragem
O ataque é filtrado na rede da UPX, antes de consumir o seu link.
- Mitigação automática a partir da detecção
- Filtragem de rede e transporte (L3 e L4), por vetor
- Regras ajustadas por IP e por serviço (IP Profile)
- Sem blackhole do prefixo
- SOC da UPX acompanhando a campanha
04
Tráfego filtrado
O tráfego filtrado é devolvido à sua infraestrutura.
- Entrega por túnel GRE, cross-connect ou VLAN no IX
- Tráfego e eventos visíveis na Plataforma UPX
Nenhuma das quatro etapas depende de equipamento seu. Do seu lado, a configuração é a sessão BGP e, quando o handoff for túnel, o próprio túnel — os dois no roteador que você já opera.
Na prática
Entra ataque, sai tráfego filtrado.
O tráfego de entrada passa pela rede de mitigação, é filtrado em São Paulo e devolvido ao cliente pelo handoff contratado. Os volumes abaixo são ilustrativos.
- Tráfego de entrada
- 18.4Gbps
- Tráfego limpo entregue
- 10.8Gbps
Mitigação
Equinix SP2 · Ascenty SP3
Análise e filtragem
Sua operação
Tráfego filtrado, sem blackhole do prefixo
Modos de operação
Sempre desviado, ou desviado no ataque.
A escolha é entre custo e tempo de reação. Não há diferença na capacidade de mitigação entre os dois: o que muda é quando o tráfego começa a passar pela rede.
Always-On
RecomendadoPrefixos sempre anunciados pela UPX
O tráfego já entra pela rede de mitigação. Não há acionamento nem decisão humana no momento do ataque.
Indicado para: Operação financeira e transacional e ambientes em data center
Sob Demanda
Anúncio pela UPX apenas durante o ataque
Acionado pelo cliente ou por gatilho combinado. Custa menos, mas a reação depende do acionamento e da convergência BGP.
Indicado para: Operações que toleram alguns minutos de convergência
Em Sob Demanda, o tempo entre o acionamento e a mitigação inclui a convergência do BGP, que não é instantânea e não está sob controle da UPX nem do cliente. É o trade-off que o modo carrega.
Hoje a detecção na borda do seu ambiente não é o nosso ponto mais forte. Se o seu Sob Demanda depende de gatilho automático a partir dela, fale com a engenharia antes de fechar o modo.
Formas de conexão
Três handoffs para receber o tráfego filtrado.
A mitigação é idêntica nas três: o que muda é o encapsulamento, a capacidade e o que precisa existir do seu lado. A banda limpa é dimensionada por contrato, a partir do mínimo que sai na proposta.
De qualquer lugar da internet
Túnel GRE
Sobre qualquer trânsito, sem contrato de cross-connect e sem presença física em data center.
Funciona de qualquer local
Sem circuito novo
Requisito: Há overhead de encapsulamento e o MTU precisa de ajuste.
Cliente fora dessas praças começa por GRE e migra para handoff físico quando fizer sentido. A troca não interrompe a proteção: o anúncio BGP permanece, e o que muda é apenas por onde o tráfego filtrado é devolvido.
Escopo
O que o anúncio passa a cobrir.
ASN completo
Todos os prefixos do cliente, no caso de ISP e data center.
Serviços cobertos
Web, DNS, VoIP e APIs — qualquer serviço atrás do prefixo anunciado.
Camadas
Rede e transporte (L3 e L4), com mitigação por vetor e regras por IP e serviço (IP Profile).
Camada de aplicação (WAF) é produto separado e não faz parte deste escopo.
Operação
Antes, durante e depois do ataque.
A mitigação é automática; a equipe entra para validar a campanha, não para autorizá-la. Encerrado o ataque, o relatório e o ticket são gerados sem você pedir.
Sempre
Plataforma UPX
- Tráfego e ataques por prefixo, ao vivo
- Alertas configuráveis por cliente
- Relatórios e histórico de campanhas
- Acesso para o cliente e para o parceiro
Durante o ataque
Mitigação automática, com equipe acompanhando
- Detecção e bloqueio sem intervenção
- SOC da UPX valida a campanha e classifica os vetores
- Contato com o cliente só quando há decisão a tomar
- Atendimento direto com a engenharia, inclusive via WhatsApp
Depois
Relatório e ticket automáticos
- Relatório da campanha: início, fim, pico, vetores e volume
- Ticket aberto e entregue ao cliente
- Envio pelos canais combinados
- Base para o cliente reportar internamente
Ativação
Da qualificação ao go-live.
Quatro etapas, com uma observação de prazo: a ativação começa depois de o handoff estar pronto, e o prazo do handoff depende da forma escolhida.
| Etapa | Responsável | O que acontece |
|---|---|---|
| 01 · Qualificação | Você e a UPX |
|
| 02 · Desenho da conexão | UPX |
|
| 03 · Handoff pronto | Você |
|
| 04 · Sessão BGP e teste | UPX e você |
|
Qualificação
As três perguntas da etapa 01.
Com essas respostas a engenharia devolve a proposta e o desenho de conexão. São as mesmas perguntas de um atendimento de emergência.
Quantos blocos /24?
Define o escopo do contrato e o que entra sob proteção.
Qual o pico de tráfego legítimo?
Dimensiona a banda limpa a ser entregue depois da filtragem.
Onde a sua infraestrutura está?
Equinix SP2, Ascenty SP3 ou outro local — é o que define a forma de conexão.
Responsabilidades
Quem opera o quê.
A divisão é explícita desde a proposta. A UPX não assume a sua política de roteamento, e você não precisa operar a rede de mitigação.
UPX
- Rede de mitigação e capacidade de filtragem
- Detecção, filtragem e classificação de vetor
- SOC da UPX acompanhando cada campanha
- Relatório e ticket por ataque
- Atendimento direto com a engenharia, inclusive via WhatsApp
Você
- Propriedade dos prefixos e do ASN
- Política de roteamento do seu lado
- Configuração do túnel ou do circuito de handoff
- Contato técnico com acesso ao roteador
Visibilidade
O que você vê enquanto nada acontece.
A plataforma mostra o tráfego por prefixo ao vivo, a qualquer momento, e não só durante incidentes. Assim você compara o pico de hoje com o da campanha passada.
- Tráfego e ataques por prefixoAo vivo
- AlertasConfiguráveis por cliente
- Histórico de campanhasCom vetores e volume
- Relatório e ticket por ataqueAutomáticos
Perguntas frequentes
Dúvidas de implantação.
As perguntas que aparecem entre a proposta e o go-live.
Quais são as formas de receber o tráfego limpo?
Três: túnel GRE, que funciona de qualquer lugar da internet sobre qualquer trânsito; cross-connect na Equinix SP2; e cross-connect na Ascenty SP3, os dois em São Paulo. A mitigação é a mesma nas três — o que muda é o encapsulamento e a capacidade do circuito.Minha infraestrutura não está em nenhuma dessas praças.
Começa por GRE, que não exige presença física nem circuito novo, e migra para handoff físico depois, se fizer sentido. A troca não interrompe a proteção.Quanto tempo leva a ativação?
A ativação começa quando o handoff está pronto e inclui a sessão BGP, o anúncio dos prefixos e um teste de desvio controlado antes do go-live. O prazo do handoff depende da forma escolhida: GRE não exige circuito novo, enquanto cross-connect segue o prazo do data center. Peça o prazo do seu cenário à engenharia na qualificação.Always-On ou Sob Demanda: qual escolher?
Always-On mantém os seus prefixos sempre anunciados pela UPX, sem acionamento no momento do ataque — é o indicado para operação financeira e transacional e para ambientes em data center. Sob Demanda anuncia só durante o ataque, por ação sua ou por gatilho combinado: custa menos, mas a reação depende do acionamento e da convergência BGP. Hoje a detecção na borda do seu ambiente não é o nosso ponto mais forte; se o seu cenário depende de gatilho automático a partir dela, fale com a engenharia antes de fechar o modo.Preciso ter ASN próprio?
A ativação é por anúncio BGP, então o caminho padrão depende de você conseguir anunciar os seus prefixos — o que normalmente significa ter ASN. Se a sua operação hoje usa endereçamento do provedor, fale com a engenharia: o desenho muda e precisa ser avaliado caso a caso.O que acontece com a latência?
O tráfego passa pela mitigação em São Paulo, em Equinix SP2 ou Ascenty SP3, antes de chegar até você. Em túnel GRE existe o overhead de encapsulamento e o MTU precisa de ajuste. Em cross-connect o circuito é direto, sem encapsulamento no caminho.Preciso instalar algo na minha infraestrutura?
Nenhum hardware e nenhum agente. A proteção acontece na rede, antes de o pacote chegar até você. Também não há terminação de TLS nem inspeção de payload: a sua chave privada não sai do seu lado.
Começar
Fale com a engenharia
A engenharia que opera a rede responde com o handoff recomendado e a proposta para o seu cenário.
Está sofrendo um ataque DDoS?
Se sua operação está sob ataque, fale diretamente com nossa equipe para solicitar atendimento emergencial.
Solicitar atendimento emergencialTambém no pilar