Distribuído por origem
O tráfego vem de milhares de endereços ao mesmo tempo. Bloquear origem por origem não escala, e a lista de bloqueio nunca fecha.
Tecnologia e conhecimento
Não é invasão. É o seu próprio link sendo usado contra você.
Um ataque de negação de serviço distribuída não entra na sua rede: ele a entope. Milhares de origens enviam tráfego ao mesmo tempo até a banda de entrada acabar. A partir daí, o pedido legítimo não chega à sua infraestrutura.
O tráfego vem de milhares de endereços ao mesmo tempo. Bloquear origem por origem não escala, e a lista de bloqueio nunca fecha.
O que derruba o serviço é a quantidade de bit por segundo e de pacote por segundo que chega ao link, não a complexidade de cada pedido.
Quando o pacote chega ao seu roteador, a banda já foi consumida. A defesa precisa acontecer antes, na rede de quem transporta.
Uma campanha multivetor pode começar como amplificação, virar SYN flood e depois exaurir a tabela de sessão. Regra fixa por vetor não acompanha a troca.
A sigla
DDoS é negação de serviço (DoS) feita de muitas origens ao mesmo tempo (distribuída). Essa distribuição é o que inviabiliza a defesa por bloqueio de origem.
DoS
Negação de serviço a partir de um único ponto. Bloqueia-se o endereço e o ataque acaba.
DDoS
O mesmo efeito, distribuído por uma botnet ou por serviços de terceiros abusados para refletir tráfego. Não há endereço para bloquear, e o volume soma.
A defesa não pode morar onde o ataque chega. Se o tráfego já passou pelo seu link, a banda foi consumida. Nenhum equipamento, cache ou instância a mais devolve o serviço.
Tipos de ataque
O que separa as famílias é o recurso que cada uma esgota: banda, estado de conexão ou capacidade da aplicação. Cada recurso se defende em um lugar diferente.
Rede (L3) · Satura a banda de entrada até o serviço ficar inacessível, mesmo com o servidor ocioso. Coberto por este serviço.
| Família | Camada | O que esgota | Exemplos | Neste serviço |
|---|---|---|---|---|
| Volumétrico | Rede (L3) | Satura a banda de entrada até o serviço ficar inacessível, mesmo com o servidor ocioso. |
| Coberto Mitigado na rede da UPX, em Equinix SP2 e Ascenty SP3, antes do seu link. |
| Protocolo e estado | Transporte (L4) | Consome recursos de estado do seu roteador, firewall e balanceador explorando o próprio funcionamento do protocolo. |
| Coberto Mitigado por rastreamento de estado e limitação de taxa por origem. |
| Camada de aplicação | Aplicação (L7) | Usa requisições que parecem legítimas para esgotar CPU, banco de dados ou regra de negócio, em volume de banda baixo. |
| Fora do escopo WAF e bot management são produtos separados, fora do escopo deste serviço. |
Campanhas multivetor trocam de técnica no meio do ataque. Por isso a mitigação é por camada e por vetor, e não por regra fixa: a troca precisa ser acompanhada sem reconfiguração.
Impacto
Não há cifra média aqui de propósito: o custo depende do que a sua operação faz por minuto. As consequências abaixo valem para todos.
Cada minuto fora conta no indicador que você compromete com o cliente, e no crédito que ele gera.
O mesmo prefixo carrega portal, API, VPN e ferramenta interna. Quando ele cai, o time também para.
Uma campanha volumétrica pode ocupar o time de operação enquanto outra ação acontece em outro ponto.
Sem mitigação, a reação padrão do trânsito é descartar o seu prefixo. O ataque para, e o seu serviço continua fora.
Sem mitigação contratada, o provedor de trânsito descarta o prefixo atacado para proteger a própria rede. O ataque deixa de afetar o provedor, e o seu serviço continua inacessível.
upxmitigation applied · traffic normalized
Leitura ilustrativa de um evento na Plataforma UPX: o ataque, a mitigação ativada e o tráfego normalizado.
Por que a defesa tradicional falha
Nenhuma delas é um erro: são decisões razoáveis para outros problemas. Todas tentam resolver dentro da sua rede algo que aconteceu antes dela.
01
Trata o que já entrou pelo link. No ataque volumétrico satura junto com o circuito, porque o gargalo está antes dele.
02
O atacante dobra o volume a custo marginal. Você dobra o custo fixo mensal para um pico de minutos.
03
Protege a rede do provedor descartando o seu prefixo. Para o ataque e mantém o seu serviço inacessível.
04
Mais instâncias atrás de um link saturado continuam inalcançáveis. A escala resolve carga, não saturação de rede.
Absorver um ataque volumétrico não se contrata como banda: é rede dedicada a isso. Os 98 Tbps de capacidade existem para o seu link não precisar crescer.
O ataque é filtrado na rede da UPX, em Equinix SP2 e Ascenty SP3. O volume não chega ao seu circuito.
A mitigação é automática a partir da detecção, sem janela de abrir chamado. O SOC entra para validar a campanha, não para autorizar a filtragem.
O que você já tem
Continua útil. O appliance local trata ataque pequeno e camada de aplicação, com contexto que só existe do seu lado. O volumétrico que saturaria o circuito é desviado por BGP antes de chegar. Nenhum dos dois substitui o outro.
Appliance no seu rack
Trata o que já entrou pelo link, com contexto que só existe do seu lado. Satura junto com o circuito no ataque volumétrico.
Mitigação em nuvem
Absorve o volumétrico antes de o pacote chegar ao seu circuito. O volume do ataque não é tarifado nem limitado.
Capacidade de scrubbing da rede que absorve o ataque.
A filtragem roda em Equinix SP2 e Ascenty SP3.
Perguntas frequentes
As respostas completas, incluindo contrato e formas de conexão, estão na página de perguntas frequentes do pilar.
Continuar