Ochrana operátorské třídy
Ochrana proti DDoS pro operátory a ISP
Chráníme operátorské sítě s plnou integrací BGP, vlastními bezpečnostními politikami a přímou podporou inženýrů. Vaši zákazníci útok nepocítí.
Vlastní síť AS202520 a scrubbing v Polsku.
AS202520
Vlastní síť a scrubbing v Polsku
9 Tbps
Největší odražený útok
95/5
Účtování podle skutečného využití kapacity
24/7
NOC, monitoring a SLA reporty
Navrženo pro operátorské sítě
Víme, jak vypadá práce na straně operátora, protože jím sami jsme. Proto se ochrana SkyPass přizpůsobí vaší síti, a ne naopak.
Integrace přes BGP
Sestavíme BGP session a po dobu útoku převezmeme oznamování vašich prefixů. Čistý provoz se k vám vrací tunelem nebo přímým okruhem.
Kapacita od 1 do 100 Gbps
Ochranu škálujete spolu s růstem sítě. Účtujeme v modelu 95/5, takže platíte za skutečné využití kapacity.
Filtrace bez blackholingu
Vaši zákazníci zůstávají online i během útoku. Zahazujeme výhradně škodlivý provoz a zbytek dorazí bez narušení.
Vlastní bezpečnostní politiky
Profily filtrace přizpůsobujeme vašim službám. Můžete mít samostatné politiky pro různé prefixy a skupiny zákazníků.
Monitoring a SLA reporty
Náš NOC bdí 24/7 a vy máte v zákaznickém panelu plný přehled o provozu a incidentech včetně SLA reportů.
Vyhrazený technický správce
Mluvíte s inženýrem, který zná vaši síť. Bez infolinky a bez vysvětlování všeho od začátku u každého požadavku.
Co chráníme
Vše, na čem závisí internet vašich účastníků
Útok na operátora málokdy míří na jeden server. Zasahuje okruhy, celé rozsahy adres a zařízení, kterými prochází provoz účastníků. SkyGuard chrání každý z těchto prvků.
Tranzitní okruhy
Útočný provoz přijme síť SkyPass dřív, než dorazí k vašim okruhům. Nemusíte navyšovat kapacitu do zásoby pro případ útoku.
Celé prefixy a účastnické rozsahy
Chráníme celý adresní prostor oznamovaný přes naši síť, i když se útok rozloží na mnoho adres najednou (carpet bombing).
NAT brány (CGNAT) a BRASy
Zařízení, kterými prochází každý účastník. Máme technologii navrženou speciálně tak, aby je útoky, včetně TCP-ACK, nepřetěžovaly.
DNS a služby pro účastníky
DNS resolvery a další služby, které vaši zákazníci využívají, i když útok míří na port 53.
Online hry a VPN
Provoz v reálném čase, VPN a asymetrie tras fungují i během filtrace. Profily přizpůsobujeme provozu vaší sítě.
Kontinuita služeb
Bez blackholingu: zahazujeme výhradně škodlivý provoz a účastníci zůstávají online, i během mnohahodinových útoků.
NAT brány a BRASy
Útok TCP-ACK vaše NAT brány nepřetíží
NAT brány (CGNAT) a BRASy obsluhují provoz všech účastníků najednou. Záplava paketů TCP-ACK je dokáže přetížit dřív, než se zaplní linka, a pak přijdou o internet všichni zákazníci současně. Proto máme technologii navrženou speciálně pro tato zařízení a pro útoky TCP-ACK.
Stavová filtrace před NAT bránou
Náš stateful firewall sleduje stav TCP spojení. ACK pakety, které nepatří k žádné navázané session, zahazujeme ve scrubbingu dřív, než dorazí k vašim zařízením.
Tabulky NAT a procesor v normě
NAT brána a BRAS dostávají jen provoz, který mají obsloužit, takže útok nezahltí tabulky session ani procesor.
Provoz účastníků prochází
Odpovědi na spojení navázaná účastníky dorazí bez překážek. Filtrujeme útok, ne zákazníky.
Samostatné politiky pro CGNAT rozsahy
Rozsahy adres za NAT branami mohou mít vlastní profily filtrace, nezávislé na ostatních prefixech.
Se SkyGuard se ACK pakety bez navázané session zahazují ve scrubbingu. NAT brána dostává jen provoz účastníků a pracuje normálně.
Před čím chráníme
Útoky, kterým operátoři čelí
Filtrujeme útoky od síťové po aplikační vrstvu (L3/L4/L7) ve scrubbingových centrech ve Varšavě a ve Vratislavi.
Objemové útoky
Záplava provozu UDP, ICMP a IP fragmentů, která má zahltit linky. Největší odražený útok na naši infrastrukturu měl 9 Tbps.
Amplifikace a reflexe
Zesílené odpovědi odražené od otevřených služeb na internetu, např. DNS nebo NTP.
SYN, ACK a další TCP floody
Záplava TCP paketů, včetně SYN a ACK floodu, odfiltrovaná stateful firewallem.
Carpet bombing
Útok rozložený na celou podsíť tak, aby žádná jednotlivá adresa nevypadala podezřele.
Aplikační útoky (L7)
Provoz napodobující skutečné uživatele, mířený na služby a aplikace.
Vícevektorové a mnohahodinové útoky
Několik technik najednou a útoky trvající hodiny, i v řádu terabitů.
DDoS s požadavkem na výkupné (RDDoS)
Vydírání typu „zaplaťte, nebo budeme útočit“. S ochranou SkyGuard platit nemusíte.
Útoky na DNS
Záplava dotazů a pokusy na port 53 mířené na resolvery operátora.
Z praxe
Operátor pod útokem s požadavkem na výkupné. Zaplacené výkupné: 0 PLN
Síť operátora optického internetu přestala fungovat v pátek odpoledne a vyděrač požadoval výkupné. Třetí den už provoz operátora tekl přes SkyGuard a v dalších týdnech končily každodenní útoky v našem scrubbingu.
5,5 Tbps
Vrchol útoku
Útoky trvaly mnoho hodin bez přestávky.
50 dní
Každodenních útoků
Útok každý den, dokud to vyděrač nevzdal.
3. den
Síť znovu funguje
Provoz přes SkyGuard bez předchozí smlouvy a okruhu.
0 PLN
Zaplaceného výkupného
Operátor vyděrači ani jednou neodpověděl.
Start bez smlouvy a bez okruhu
Prefixy operátora jsme oznámili z AS202520 a GRE tunel zprovoznil síť během víkendu, bez fyzické instalace. Po několika dnech ho nahradil VLAN na L2.
Bez blackholingu účastníků
Útok končil ve scrubbingu ve Varšavě a ve Vratislavi a zákazníci operátora zůstali online.
Ladění na provoz operátora
Online hry, VPN a asymetrie tras fungují po společném ladění s operátorem.
Naše síť v Polsku
Dva PoPy propojené redundantními trasami
Hlavní bod přítomnosti máme ve Varšavě a satelitní ve Vratislavi. Spojují je tři nezávislé trasy, takže výpadek jednoho okruhu provoz nezastaví.
- Varšava, náš hlavní PoP
- Vratislav, satelitní PoP
- Redundantní propojení mezi PoPy
- Města s tranzitem od partnerů
Tranzit přes spřátelené operátory
Klikněte na město na mapě nebo ho vyberte ze seznamu a zobrazte podrobnosti.
Jak probíhá nasazení
Od plné ochrany sítě vás dělí tři jednoduché fáze.
- 01
Analýza sítě
Seznámíme se s vaší topologií, prefixy a požadavky. Společně stanovíme architekturu ochrany a způsob připojení.
- 02
Testy a konfigurace
Sestavíme BGP session a tunely a poté otestujeme přepínání provozu bez dopadu na produkci.
- 03
Produkce a stálý dohled
Spustíme ochranu a monitorujeme provoz 24/7. Reagujeme na incidenty a pomáháme s další optimalizací.
Kontakt
Pojďme probrat ochranu vaší sítě
Řekněte nám o své topologii a požadavcích. Připravíme návrh ochrany přizpůsobený velikosti vaší sítě.
Po odeslání formuláře se vám ozveme s doplňujícími dotazy nebo s návrhem dalšího kroku: rozhovoru, testů nebo nabídky.
Komunikujeme pouze v angličtině a polštině. Napište nám prosím v jednom z těchto jazyků.