Isso protege o meu ambiente industrial?

Protege o enlace de rede que o conecta, não o ambiente em si. A mitigação atua na borda corporativa, em rede e transporte, e não substitui a segmentação entre TI e OT. Ela evita que o link sature e a planta perca contato com a matriz e a nuvem.

Já tenho appliance de DDoS. Vale somar?

Vale, e é o desenho mais comum. O equipamento trata ataque pequeno e camada de aplicação com contexto local. O volumétrico que saturaria o circuito é desviado por BGP e absorvido antes de chegar.

Tenho vários prefixos em unidades diferentes. Como entra?

A unidade de proteção é o bloco /24, e blocos maiores contam pelo equivalente. Com muitos prefixos, o escopo pode ser o ASN completo. O recorte sai na qualificação.

Preciso mexer na minha segmentação de rede?

Não. A ativação é por anúncio BGP, e a entrega do tráfego filtrado acontece no handoff escolhido. Nenhuma regra interna é alterada, e você continua dono dos prefixos e da política de roteamento.

Preciso instalar algo na minha infraestrutura?

Nenhum hardware e nenhum agente. A proteção acontece na rede, antes de o pacote chegar até você. Também não há terminação de TLS nem inspeção de payload: a sua chave privada não sai do seu lado.

Always-On ou Sob Demanda: qual escolher?

Always-On mantém os seus prefixos sempre anunciados pela UPX, sem acionamento no momento do ataque — é o indicado para operação financeira e transacional e para ambientes em data center. Sob Demanda anuncia só durante o ataque, por ação sua ou por gatilho combinado: custa menos, mas a reação depende do acionamento e da convergência BGP. Hoje a detecção na borda do seu ambiente não é o nosso ponto mais forte; se o seu cenário depende de gatilho automático a partir dela, fale com a engenharia antes de fechar o modo.

Quanto tempo leva a ativação?

A ativação começa quando o handoff está pronto e inclui a sessão BGP, o anúncio dos prefixos e um teste de desvio controlado antes do go-live. O prazo do handoff depende da forma escolhida: GRE não exige circuito novo, enquanto cross-connect segue o prazo do data center. Peça o prazo do seu cenário à engenharia na qualificação.

DDoS Defense · Indústria e corporativo

Proteção DDoS para indústria e grandes empresas

O ataque não precisa alcançar a planta. Basta saturar o link que a conecta.

Mitigação de rede para operação industrial e corporativa de múltiplos sites. O ataque volumétrico é absorvido antes do seu circuito, sem equipamento novo e sem mexer na sua segmentação.

Falar com a engenharia

Empresas que confiam na UPX

Controles auditados

O risco

Indisponibilidade de enlace, consequência na operação

Em indústria, o sistema que para raramente é o site institucional. É o ERP que libera ordem de produção, a integração com o fornecedor e o enlace entre planta e matriz.

Quando o prefixo fica inacessível, não é o site que sai do ar.

ERP e MES na borda

Liberação de ordem, apontamento e expedição dependem de sistema acessível. Sem ele, a produção segue sem registro ou simplesmente para.

Enlace entre sites

Matriz, plantas e CDs trocam dado continuamente. Quando o link satura, cada unidade passa a operar isolada.

Integração com a cadeia

Portal de fornecedor, EDI e troca de nota param, e o impacto se propaga para quem entrega e para quem recebe.

Acesso remoto de engenharia

Suporte e manutenção remota de equipamento ficam indisponíveis quando há incidente para investigar.

Exposição

O limite do equipamento no seu rack

Muitas operações industriais já têm firewall de borda e, às vezes, appliance de DDoS. Os dois tratam o que já entrou pelo link e saturam junto com o circuito no ataque volumétrico.

O appliance local satura junto com a banda contratada
Aumentar o link é custo fixo mensal para um pico de minutos
Blackhole do trânsito protege o provedor, não a sua operação

Nas três janelas a mitigação já está ativa: o tráfego entra pela rede da UPX e a filtragem parte da detecção, sem acionamento.

A proteção, traduzida para a sua operação.

A oferta técnica é a mesma do resto do pilar. O que muda é o que ela significa aqui.

O ataque fica antes do seu circuito
O ataque é filtrado na rede da UPX, em Equinix SP2 e Ascenty SP3. O seu circuito recebe o tráfego já filtrado.
Escopo por ASN quando necessário
Nada muda na sua rede
Modelo híbrido com o que você já tem

Como funciona

Quatro etapas, nenhuma dentro da sua rede.

A ativação é por anúncio BGP: sem hardware no seu rack, sem agente na aplicação e sem redesenho de rede. Você continua dono dos prefixos e da política de roteamento.

01
Anúncio BGP
Os seus prefixos passam a ser anunciados pela rede da UPX.
02
Desvio do tráfego
Todo o tráfego de entrada dos prefixos passa pela rede da UPX.
03
Filtragem
O ataque é filtrado na rede da UPX, antes de consumir o seu link.
04
Tráfego filtrado
O tráfego filtrado é devolvido à sua infraestrutura.

Ver a arquitetura completa

Conformidade e evidência

A fronteira com o ambiente OT

Esta proteção atua na borda de rede corporativa. Ela não entra no ambiente industrial, não inspeciona protocolo de automação e não substitui a segmentação entre TI e OT.

Onde a mitigação atua

Na rede, antes do seu circuito: camadas de rede e transporte do tráfego de entrada dos prefixos anunciados.

O que ela não faz

Não inspeciona protocolo industrial, não atua dentro da planta e não substitui firewall de segmentação TI/OT.

Por que ainda importa para o OT

O enlace que liga a planta à matriz e à nuvem passa pela borda corporativa. Saturado esse enlace, a operação remota para.

Sem agente e sem mudança

A ativação é por BGP. Nenhum equipamento é instalado e nenhuma regra da sua segmentação é alterada.

Começar

Fale com a engenharia

A engenharia que opera a rede responde com o handoff recomendado e a proposta para a sua operação.

Está sofrendo um ataque DDoS?

Se sua operação está sob ataque, fale diretamente com nossa equipe para solicitar atendimento emergencial.

Solicitar atendimento emergencial

Perguntas frequentes

Dúvidas de quem opera neste segmento.

Isso protege o meu ambiente industrial?
Protege o enlace de rede que o conecta, não o ambiente em si. A mitigação atua na borda corporativa, em rede e transporte, e não substitui a segmentação entre TI e OT. Ela evita que o link sature e a planta perca contato com a matriz e a nuvem.
Já tenho appliance de DDoS. Vale somar?
Vale, e é o desenho mais comum. O equipamento trata ataque pequeno e camada de aplicação com contexto local. O volumétrico que saturaria o circuito é desviado por BGP e absorvido antes de chegar.
Tenho vários prefixos em unidades diferentes. Como entra?
A unidade de proteção é o bloco /24, e blocos maiores contam pelo equivalente. Com muitos prefixos, o escopo pode ser o ASN completo. O recorte sai na qualificação.
Preciso mexer na minha segmentação de rede?
Não. A ativação é por anúncio BGP, e a entrega do tráfego filtrado acontece no handoff escolhido. Nenhuma regra interna é alterada, e você continua dono dos prefixos e da política de roteamento.
Preciso instalar algo na minha infraestrutura?
Nenhum hardware e nenhum agente. A proteção acontece na rede, antes de o pacote chegar até você. Também não há terminação de TLS nem inspeção de payload: a sua chave privada não sai do seu lado.
Always-On ou Sob Demanda: qual escolher?
Always-On mantém os seus prefixos sempre anunciados pela UPX, sem acionamento no momento do ataque — é o indicado para operação financeira e transacional e para ambientes em data center. Sob Demanda anuncia só durante o ataque, por ação sua ou por gatilho combinado: custa menos, mas a reação depende do acionamento e da convergência BGP. Hoje a detecção na borda do seu ambiente não é o nosso ponto mais forte; se o seu cenário depende de gatilho automático a partir dela, fale com a engenharia antes de fechar o modo.
Quanto tempo leva a ativação?
A ativação começa quando o handoff está pronto e inclui a sessão BGP, o anúncio dos prefixos e um teste de desvio controlado antes do go-live. O prazo do handoff depende da forma escolhida: GRE não exige circuito novo, enquanto cross-connect segue o prazo do data center. Peça o prazo do seu cenário à engenharia na qualificação.