Agentes de IA SeguroCréditos grátis de USD 100 por 7 dias.Comece agora!
UPX
Agentes de IA
MCP
UPX

Há mais de 20 anos, a UPX protege ambientes críticos com engenharia de cibersegurança e operação própria 24/7. Detecção e resposta assistidas por inteligência artificial, conduzidas por equipe interna.

Pergunte à IA sobre a UPX

Produtos

  • Conexão Bancária
  • Agentes de IA
  • Proteção DDoS

Segurança Gerenciada

  • SOC 24/7
  • CrowdStrike Falcon (EDR)
  • Inteligência de Ameaças (CTI)
  • Teste de Penetração (Pentest)

Recursos

  • Blog
  • Documentação
  • Status

Empresa

  • Sobre Nós
  • Contato
  • Carreiras
SOC 2 Type IIISO 27001

© 2026 UPX - Todos os direitos reservados.

PrivacidadeTermosCookiesSeus dados
talk@upx.com+55 19 3368-0609Campinas, SP
  1. Início
  2. Produtos
  3. Proteção DDoS
  4. Perguntas frequentes
  • Escopo e cobertura
  • Operação e mitigação
  • Conexão e ativação
  • Contrato e cobrança
  • Cobrança
  • Falar com o time

Tecnologia e conhecimento

Perguntas frequentes sobre proteção DDoS

17 respostas sobre escopo, operação, conexão e contrato.

As dúvidas entre a primeira conversa e o go-live, respondidas com o que o serviço faz, incluindo o que ele não cobre. Quando a resposta depende da sua operação, a página diz isso.

Falar com a engenharia

01 · Escopo e cobertura

O que entra sob proteção.

A unidade de proteção é o bloco /24, e a cobertura é por rede — não por hostname nem por serviço declarado.

  • O que exatamente entra sob proteção?

    A unidade de proteção é o bloco /24 IPv4. Tudo o que estiver atrás do prefixo anunciado está coberto: site, portal, API, DNS, VoIP, VPN, painel interno — inclusive serviço que você ainda não publicou. Para empresas que anunciam vários blocos, o escopo pode ser o ASN completo, com todos os prefixos.
  • A proteção cobre ataque na camada de aplicação?

    Não. O escopo é rede e transporte (L3 e L4), com mitigação específica por vetor. HTTP flood, abuso de API por credencial válida, injeção e bot de scraping são tratados por WAF e por bot management, que são produtos separados. As duas camadas se complementam: sem mitigação de rede o WAF nunca recebe a requisição, porque o link saturou antes.
  • Preciso ter ASN próprio?

    A ativação é por anúncio BGP, então o caminho padrão depende de você conseguir anunciar os seus prefixos — o que normalmente significa ter ASN. Se a sua operação hoje usa endereçamento do provedor, fale com a engenharia: o desenho muda e precisa ser avaliado caso a caso.

02 · Operação e mitigação

Operação e mitigação

O que acontece durante um ataque, e em que momento alguém precisa agir.

  • Em quanto tempo a mitigação começa?

    A mitigação é automática a partir da detecção: não há janela de abrir chamado nem autorização por vetor. Em Always-On não existe acionamento no momento do ataque, porque o tráfego já entra pela rede de mitigação. Em Sob Demanda, soma-se o acionamento e o tempo de convergência do BGP.
  • Vou precisar abrir chamado durante um ataque?

    Não. A filtragem parte da detecção e o SOC da UPX valida a campanha, classifica os vetores e procura você apenas quando existe decisão a tomar. Encerrado o ataque, o relatório e o ticket são gerados e entregues pelos canais combinados. O contato é direto com a engenharia, inclusive por WhatsApp.
  • Meu prefixo pode cair em blackhole?

    Não é a forma de operar aqui: a mitigação é por vetor, e o prefixo atacado segue anunciado. Descartá-lo seria a falha, não a defesa.
  • O que acontece com a latência?

    O tráfego passa pela mitigação em São Paulo, em Equinix SP2 ou Ascenty SP3, antes de chegar até você. Em túnel GRE existe o overhead de encapsulamento e o MTU precisa de ajuste. Em cross-connect o circuito é direto, sem encapsulamento no caminho.
  • Preciso instalar algo na minha infraestrutura?

    Nenhum hardware e nenhum agente. A proteção acontece na rede, antes de o pacote chegar até você. Também não há terminação de TLS nem inspeção de payload: a sua chave privada não sai do seu lado.

03 · Conexão e ativação

Conexão e ativação

Como o tráfego filtrado chega até você, o que precisa existir do seu lado e quanto tempo leva.

  • Quais são as formas de receber o tráfego limpo?

    Três: túnel GRE, que funciona de qualquer lugar da internet sobre qualquer trânsito; cross-connect na Equinix SP2; e cross-connect na Ascenty SP3, os dois em São Paulo. A mitigação é a mesma nas três — o que muda é o encapsulamento e a capacidade do circuito.
  • Minha infraestrutura não está em nenhuma dessas praças.

    Começa por GRE, que não exige presença física nem circuito novo, e migra para handoff físico depois, se fizer sentido. A troca não interrompe a proteção.
  • Quanto tempo leva a ativação?

    A ativação começa quando o handoff está pronto e inclui a sessão BGP, o anúncio dos prefixos e um teste de desvio controlado antes do go-live. O prazo do handoff depende da forma escolhida: GRE não exige circuito novo, enquanto cross-connect segue o prazo do data center. Peça o prazo do seu cenário à engenharia na qualificação.
  • Always-On ou Sob Demanda: qual escolher?

    Always-On mantém os seus prefixos sempre anunciados pela UPX, sem acionamento no momento do ataque — é o indicado para operação financeira e transacional e para ambientes em data center. Sob Demanda anuncia só durante o ataque, por ação sua ou por gatilho combinado: custa menos, mas a reação depende do acionamento e da convergência BGP. Hoje a detecção na borda do seu ambiente não é o nosso ponto mais forte; se o seu cenário depende de gatilho automático a partir dela, fale com a engenharia antes de fechar o modo.
  • Estou sob ataque agora e não tenho contrato. Dá para começar?

    Dá. O onboarding emergencial é feito por anúncio BGP e túnel GRE, que não exigem equipamento novo nem presença física em data center. O que a UPX precisa no primeiro contato é o seu ASN, os prefixos sob ataque e um contato técnico com acesso ao roteador.

04 · Contrato e cobrança

Contrato e cobrança

O modelo de cobrança, sem valor: as cifras saem na proposta, depois da qualificação.

  • Como a proteção é cobrada?

    Por duas variáveis recorrentes: a quantidade de blocos /24 sob proteção e a banda limpa comprometida, que é o tráfego legítimo entregue depois da filtragem. Os valores e o mínimo de banda limpa saem na proposta, depois da qualificação da conta.
  • O volume do ataque gera cobrança?

    Não. A banda suja absorvida pela rede da UPX não é tarifada nem limitada por contrato. A fatura não muda com o tamanho da campanha.
  • Como a banda limpa é dimensionada?

    Pelo seu pico real de tráfego legítimo, com degraus acima do mínimo contratado. É por isso que o pico é uma das três perguntas de qualificação: banda limpa subdimensionada limitaria o tráfego depois da filtragem.
  • Já tenho appliance de DDoS. Preciso trocar?

    Não. O appliance no seu rack trata ataque pequeno e camada de aplicação, com contexto que só existe do seu lado. O volumétrico que saturaria o circuito é desviado por BGP e absorvido antes de chegar. Nenhum dos dois substitui o outro.

Três variáveis, e uma delas é zero.

Os valores saem na proposta, depois da qualificação da conta. O que esta página explica é como se cobra — e qual é a parte que não entra na fatura.

Escopo: quantidade de /24

Mensal

Cada bloco /24 sob proteção é uma unidade. Blocos maiores contam pelo equivalente em /24. É o que define o alcance do contrato.

Recorrente mensal

  • Cada bloco /24 sob proteção é uma unidade
  • Blocos maiores contam pelo equivalente em /24
  • Define o alcance do contrato
Pedir proposta  →
Banda limpa comprometida

Mensal

O tráfego legítimo entregue depois da filtragem, dimensionado pelo pico real do cliente, com degraus acima do mínimo contratado.

Recorrente mensal

  • Tráfego legítimo entregue depois da filtragem
  • Dimensionada pelo seu pico real
  • Com degraus acima do mínimo, que sai na proposta
Pedir proposta  →
Banda suja: sem cobrançaSem custo adicional

R$ 0

O volume do ataque absorvido pela rede da UPX não é tarifado nem limitado por contrato. A fatura não muda com o tamanho da campanha.

Sem custo adicional

  • Volume do ataque absorvido pela rede da UPX
  • Não é tarifado nem limitado por contrato
  • A fatura não muda com o tamanho da campanha
Pedir proposta  →

Para receber o valor

A proposta sai da qualificação

Falar com a engenharia

O valor é definido por três variáveis: quantos blocos /24 entram sob proteção, qual o seu pico de tráfego legítimo e onde está a sua infraestrutura.

Qualificação

Para receber a proposta, três respostas.

São as mesmas três perguntas da qualificação técnica. Com elas a engenharia devolve a proposta e o desenho de conexão, sem reunião prévia.

Quantos blocos /24?

Define o escopo do contrato e o que entra sob proteção.

Qual o pico de tráfego legítimo?

Dimensiona a banda limpa a ser entregue depois da filtragem.

Onde a sua infraestrutura está?

Equinix SP2, Ascenty SP3 ou outro local — é o que define a forma de conexão.

Não encontrou

Pergunte direto à engenharia

Se a sua dúvida depende do desenho da sua rede, ela não cabe num FAQ. Mande as três respostas de qualificação e a engenharia responde com o seu cenário.

Está sofrendo um ataque DDoS?

Se sua operação está sob ataque, fale diretamente com nossa equipe para solicitar atendimento emergencial.

Solicitar atendimento emergencial

Ao enviar, você concorda com nossa Política de Privacidade.

Também no pilar

Onde cada assunto é tratado a fundo

  • Como funciona

    Arquitetura, modos de operação, formas de conexão e o caminho até o go-live.

  • Infraestrutura

    Os 26 centros por região, a capacidade da rede e as praças de handoff físico.

  • O que é DDoS

    As três famílias de ataque e por que a defesa dentro da sua rede não resolve.