A proteção cobre os IPs dos meus clientes?

Cobre tudo o que estiver dentro dos prefixos anunciados, independentemente de quem usa cada IP. Em operações com muitos blocos, o escopo pode ser o ASN completo, o que dispensa revisar o contrato a cada cliente novo.

Preciso avisar o cliente final que uso a UPX?

Não há exigência disso. A mitigação acontece na rede, antes do seu backbone, e o cliente final continua se relacionando com você — inclusive no relatório da campanha, que você repassa com a sua marca.

Posso proteger só os blocos de alguns clientes?

Pode: a unidade de proteção é o bloco /24, e o escopo é definido no contrato. Vale avaliar na qualificação se separar os clientes com histórico de ataque num prefixo próprio faz sentido para o seu desenho de rede.

O que exatamente entra sob proteção?

A unidade de proteção é o bloco /24 IPv4. Tudo o que estiver atrás do prefixo anunciado está coberto: site, portal, API, DNS, VoIP, VPN, painel interno — inclusive serviço que você ainda não publicou. Para empresas que anunciam vários blocos, o escopo pode ser o ASN completo, com todos os prefixos.

Meu prefixo pode cair em blackhole?

Não é a forma de operar aqui: a mitigação é por vetor, e o prefixo atacado segue anunciado. Descartá-lo seria a falha, não a defesa.

O volume do ataque gera cobrança?

Não. A banda suja absorvida pela rede da UPX não é tarifada nem limitada por contrato. A fatura não muda com o tamanho da campanha.

Quais são as formas de receber o tráfego limpo?

Três: túnel GRE, que funciona de qualquer lugar da internet sobre qualquer trânsito; cross-connect na Equinix SP2; e cross-connect na Ascenty SP3, os dois em São Paulo. A mitigação é a mesma nas três — o que muda é o encapsulamento e a capacidade do circuito.

DDoS Defense · Data center e hosting

Proteção DDoS para data centers e hosting

O ataque é contra um cliente seu. A indisponibilidade é da sua rede.

Mitigação de rede para data center, hosting e provedor de infraestrutura. O volume é absorvido antes do seu backbone, e o ataque a um cliente deixa de derrubar os vizinhos de rack — com escopo por ASN completo, não bloco a bloco.

Falar com a engenharia

Empresas que confiam na UPX

Controles auditados

O risco

Um alvo, todos os afetados

Em hosting, o ataque raramente é contra você: é contra um dos seus clientes. Mas o tráfego entra pelo seu link, satura o seu uplink e derruba quem está no mesmo prefixo — inclusive quem não tem nada a ver com o alvo.

Quando o prefixo fica inacessível, não é o site que sai do ar.

Os vizinhos de rack

O ataque a um cliente consome a banda compartilhada. Quem está no mesmo prefixo cai junto, sem ser alvo de nada.

O SLA de cada contrato

Você responde por disponibilidade para dezenas ou centenas de clientes ao mesmo tempo, e cada um conta os minutos no próprio contrato.

O painel do cliente

Quando o portal de autoatendimento cai junto, o cliente não consegue nem abrir o ticket para avisar que está fora.

A reputação do bloco

Blackhole do prefixo pelo trânsito resolve para o provedor e deixa a sua operação inteira inacessível.

Exposição

O blackhole do trânsito é o custo de não mitigar

Sem mitigação contratada, a reação padrão do provedor de trânsito a um ataque volumétrico é descartar o prefixo atacado para proteger a própria rede. Em hosting, isso significa derrubar todos os clientes daquele bloco.

Ataque contra um IP leva o /24 inteiro a blackhole
Cliente sem relação com o alvo abre ticket de indisponibilidade
O uplink satura antes de o seu equipamento de borda reagir

Nas três janelas a mitigação já está ativa: o tráfego entra pela rede da UPX e a filtragem parte da detecção, sem acionamento.

A proteção, traduzida para a sua operação.

A oferta técnica é a mesma do resto do pilar. O que muda é o que ela significa aqui.

O ataque para antes do seu backbone
A filtragem acontece na rede da UPX, em Equinix SP2 e Ascenty SP3. O seu uplink recebe o tráfego já filtrado.
Escopo por ASN completo
Sem blackhole do prefixo
Relatório para repassar ao cliente

Como funciona

Quatro etapas, nenhuma dentro da sua rede.

A ativação é por anúncio BGP: sem hardware no seu rack, sem agente na aplicação e sem redesenho de rede. Você continua dono dos prefixos e da política de roteamento.

01
Anúncio BGP
Os seus prefixos passam a ser anunciados pela rede da UPX.
02
Desvio do tráfego
Todo o tráfego de entrada dos prefixos passa pela rede da UPX.
03
Filtragem
O ataque é filtrado na rede da UPX, antes de consumir o seu link.
04
Tráfego filtrado
O tráfego filtrado é devolvido à sua infraestrutura.

Ver a arquitetura completa

Começar

Fale com a engenharia

A engenharia que opera a rede responde com o handoff recomendado e a proposta para a sua operação.

Está sofrendo um ataque DDoS?

Se sua operação está sob ataque, fale diretamente com nossa equipe para solicitar atendimento emergencial.

Solicitar atendimento emergencial

Perguntas frequentes

Dúvidas de quem opera neste segmento.

A proteção cobre os IPs dos meus clientes?
Cobre tudo o que estiver dentro dos prefixos anunciados, independentemente de quem usa cada IP. Em operações com muitos blocos, o escopo pode ser o ASN completo, o que dispensa revisar o contrato a cada cliente novo.
Preciso avisar o cliente final que uso a UPX?
Não há exigência disso. A mitigação acontece na rede, antes do seu backbone, e o cliente final continua se relacionando com você — inclusive no relatório da campanha, que você repassa com a sua marca.
Posso proteger só os blocos de alguns clientes?
Pode: a unidade de proteção é o bloco /24, e o escopo é definido no contrato. Vale avaliar na qualificação se separar os clientes com histórico de ataque num prefixo próprio faz sentido para o seu desenho de rede.
O que exatamente entra sob proteção?
A unidade de proteção é o bloco /24 IPv4. Tudo o que estiver atrás do prefixo anunciado está coberto: site, portal, API, DNS, VoIP, VPN, painel interno — inclusive serviço que você ainda não publicou. Para empresas que anunciam vários blocos, o escopo pode ser o ASN completo, com todos os prefixos.
Meu prefixo pode cair em blackhole?
Não é a forma de operar aqui: a mitigação é por vetor, e o prefixo atacado segue anunciado. Descartá-lo seria a falha, não a defesa.
O volume do ataque gera cobrança?
Não. A banda suja absorvida pela rede da UPX não é tarifada nem limitada por contrato. A fatura não muda com o tamanho da campanha.
Quais são as formas de receber o tráfego limpo?
Três: túnel GRE, que funciona de qualquer lugar da internet sobre qualquer trânsito; cross-connect na Equinix SP2; e cross-connect na Ascenty SP3, os dois em São Paulo. A mitigação é a mesma nas três — o que muda é o encapsulamento e a capacidade do circuito.