Unidade mínima
Bloco /24 IPv4.
DDoS Defense · L3/L4
O ataque volumétrico é absorvido na rede da UPX, antes do seu link. Sem hardware no seu rack, sem redesenho de rede e sem blackhole do seu prefixo.
Capacidade de scrubbing da rede que absorve o ataque.
A filtragem roda em Equinix SP2 e Ascenty SP3.
O problema
Um ataque volumétrico não precisa derrubar o seu servidor: basta saturar o link que chega até ele. Quando o tráfego entra na sua rede, a banda já foi consumida.
Defesa no seu rack
Mitigação na rede UPX
O appliance local continua útil para ataques pequenos, com contexto da sua rede. O volumétrico, que saturaria o circuito, precisa ser desviado por BGP e absorvido antes de chegar. Um não substitui o outro.
Como funciona
Quatro etapas entre o anúncio do seu prefixo e a entrega do tráfego limpo. Nenhuma exige hardware no seu ambiente.
01
A sessão BGP é estabelecida com o ASN do cliente e seus prefixos passam a ser anunciados pela rede da UPX. O cliente segue dono dos prefixos e da política de roteamento.
02
Todo o tráfego de entrada dos seus prefixos passa pela rede da UPX, com dupla mitigação física em Equinix SP2 e Ascenty SP3.
03
A detecção dispara a política do vetor identificado, nas camadas 3 e 4, com regras ajustadas por IP e por serviço (IP Profile). Sem blackhole do prefixo.
04
O tráfego filtrado volta à sua infraestrutura por túnel GRE, cross-connect ou VLAN no IX, e fica visível na Plataforma UPX.
Modo de operação
A filtragem é a mesma nos dois modos. O que muda é quando o tráfego passa a ser anunciado pela UPX.
Prefixos sempre anunciados pela UPX. O tráfego já está na rede de mitigação quando o ataque começa.
Anúncio pela UPX apenas durante o ataque, acionado pelo cliente ou por gatilho combinado.
Na dúvida, a engenharia ajuda a escolher a partir do histórico de ataques e do custo de alguns minutos de indisponibilidade na sua operação.
Escopo técnico
A mitigação é específica por vetor, com regras ajustadas por IP e por serviço. Campanhas que trocam de técnica no meio do ataque são acompanhadas sem reconfiguração.
| Camada | O que o ataque faz | Vetores mitigados |
|---|---|---|
| Rede (L3) | Saturam a banda disponível até o serviço ficar inacessível. |
|
| Transporte (L4) | Exaurem recursos de estado explorando o próprio protocolo. |
|
| Estado e sessão | Atacam a tabela de conexões em vez da banda. |
|
Ataques multivetor trocam de técnica durante a campanha. Cada mudança recebe a política da nova família.
Bloco /24 IPv4.
Todos os prefixos do cliente, para empresas que anunciam vários blocos.
Web, DNS, VoIP e APIs: qualquer serviço atrás do prefixo anunciado.
ASN próprio e sessão BGP com a UPX.
Fora do escopo
Esta proteção cobre rede e transporte, L3 e L4. Ataques que imitam acesso legítimo, como HTTP flood e abuso de API, não fazem parte deste escopo — eles são tratados por WAF e bot management.
Entrega do tráfego filtrado
A mitigação é a mesma nas três. O que muda é o encapsulamento e o que precisa existir do seu lado.
| Forma | Onde | Como o tráfego chega | Requisito |
|---|---|---|---|
| Túnel GRE | De qualquer lugar da internet | Sobre qualquer trânsito, sem contrato de cross-connect e sem presença física em data center. | Há overhead de encapsulamento e o MTU precisa de ajuste. |
| Cross-connect Equinix | Equinix SP2, São Paulo | Circuito físico dedicado dentro do data center, sem encapsulamento no caminho. | Exige presença do cliente no mesmo data center. |
| Cross-connect Ascenty | Ascenty SP3, São Paulo | Mesma lógica do Equinix, para quem já está hospedado na Ascenty. | Exige presença do cliente no mesmo data center. |
Também via VLAN no IX, Ascenty Fabric e Megaport.
Quem está fora de SP2 e SP3 começa por GRE e pode migrar para cross-connect quando fizer sentido. O anúncio BGP não muda: muda apenas por onde o tráfego filtrado é devolvido.
Operação
A mitigação é automática: não existe janela de abrir chamado para começar. O SOC da UPX acompanha a campanha, classifica os vetores e só procura você quando há decisão a tomar.
Perguntas
Começar
A engenharia que opera a rede responde com o desenho de conexão e a proposta para o seu cenário.
Está sofrendo um ataque DDoS?
Se sua operação está sob ataque, fale diretamente com nossa equipe para solicitar atendimento emergencial.
Solicitar atendimento emergencial