Schutz auf Carrier-Niveau
DDoS-Schutz für Netzbetreiber und ISPs
Wir schützen Betreibernetze mit vollständiger BGP-Integration, eigenen Sicherheitsrichtlinien und direktem Draht zu unseren Technikern. Ihre Kunden merken vom Angriff nichts.
Eigenes Netzwerk AS202520 und Scrubbing in Polen.
AS202520
Eigenes Netzwerk und Scrubbing in Polen
9 Tbps
Größter abgewehrter Angriff
95/5
Abrechnung nach tatsächlicher Bandbreitennutzung
24/7
NOC, Monitoring und SLA-Berichte
Gebaut für Betreibernetze
Wir wissen, wie die Arbeit auf Betreiberseite aussieht, denn wir sind selbst Netzbetreiber. Deshalb fügt sich der SkyPass-Schutz in Ihr Netzwerk ein und nicht umgekehrt.
Integration per BGP
Wir richten BGP-Sessions ein und übernehmen für die Dauer eines Angriffs das Announcement Ihrer Präfixe. Sauberer Traffic kommt per Tunnel oder Direktverbindung zu Ihnen zurück.
Bandbreiten von 1 bis 100 Gbps
Sie skalieren den Schutz mit dem Wachstum Ihres Netzes. Wir rechnen nach dem 95/5-Modell ab, Sie zahlen also für die tatsächliche Bandbreitennutzung.
Filterung ohne Blackholing
Ihre Kunden bleiben auch während eines Angriffs online. Wir verwerfen ausschließlich schädlichen Traffic, der Rest kommt ungestört an.
Eigene Sicherheitsrichtlinien
Wir passen Filterprofile an Ihre Dienste an. Sie können eigene Policies für verschiedene Präfixe und Kundengruppen haben.
Monitoring und SLA-Berichte
Unser NOC ist rund um die Uhr im Einsatz, und Sie haben im Kundenpanel vollen Einblick in Traffic und Vorfälle, inklusive SLA-Berichten.
Fester technischer Ansprechpartner
Sie sprechen mit einem Techniker, der Ihr Netzwerk kennt. Ohne Hotline und ohne bei jedem Ticket alles von vorn erklären zu müssen.
Was wir schützen
Alles, wovon das Internet Ihrer Endkunden abhängt
Ein Angriff auf einen Netzbetreiber zielt selten auf einen einzelnen Server. Er trifft Leitungen, ganze Adresspools und die Geräte, über die der Traffic der Endkunden läuft. SkyGuard schützt jedes dieser Elemente.
Transitleitungen
Den Angriffstraffic nimmt das SkyPass-Netzwerk auf, bevor er Ihre Leitungen erreicht. Sie müssen keine Bandbreitenreserve für den Angriffsfall vorhalten.
Ganze Präfixe und Endkunden-Pools
Wir schützen den gesamten Adressraum, den wir über unser Netzwerk announcen, auch wenn sich ein Angriff auf viele Adressen gleichzeitig verteilt (Carpet Bombing).
NAT-Gateways (CGNAT) und BRAS
Die Geräte, über die jeder Endkunde läuft. Wir haben eine Technologie, die speziell dafür entwickelt wurde, dass Angriffe, auch TCP-ACK, sie nicht überlasten.
DNS und Dienste für Endkunden
DNS-Resolver und andere Dienste, die Ihre Kunden nutzen, auch wenn der Angriff auf Port 53 zielt.
Online-Spiele und VPNs
Echtzeit-Traffic, VPNs und asymmetrisches Routing funktionieren auch während der Filterung. Die Profile passen wir an den Traffic Ihres Netzes an.
Kontinuität der Dienste
Ohne Blackholing: Wir verwerfen ausschließlich schädlichen Traffic, und die Endkunden bleiben online, auch bei stundenlangen Angriffen.
NAT-Gateways und BRAS
Ein TCP-ACK-Angriff überlastet Ihre NAT-Gateways nicht
NAT-Gateways (CGNAT) und BRAS verarbeiten den Traffic aller Endkunden gleichzeitig. Eine Flut von TCP-ACK-Paketen kann sie überlasten, bevor die Leitung voll ist, und dann verlieren alle Kunden gleichzeitig das Internet. Deshalb haben wir eine Technologie, die speziell für diese Geräte und für TCP-ACK-Angriffe entwickelt wurde.
Stateful-Filterung vor dem NAT-Gateway
Unsere Stateful Firewall verfolgt den Status von TCP-Verbindungen. ACK-Pakete, die zu keiner aufgebauten Session gehören, verwerfen wir im Scrubbing, bevor sie Ihre Geräte erreichen.
NAT-Tabellen und CPU im Normalbereich
NAT-Gateway und BRAS erhalten nur den Traffic, den sie verarbeiten sollen. Der Angriff verstopft also weder die Session-Tabellen noch die CPU.
Endkunden-Traffic kommt durch
Antworten auf Verbindungen, die Endkunden aufgebaut haben, kommen ungehindert an. Wir filtern den Angriff, nicht die Kunden.
Eigene Policies für CGNAT-Pools
Adresspools hinter NAT-Gateways können eigene Filterprofile haben, unabhängig von den übrigen Präfixen.
Mit SkyGuard werden ACK-Pakete ohne aufgebaute Session im Scrubbing verworfen. Das NAT-Gateway erhält nur den Endkunden-Traffic und arbeitet normal.
Wovor wir schützen
Angriffe, mit denen Netzbetreiber zu kämpfen haben
Wir filtern Angriffe von der Netzwerk- bis zur Anwendungsschicht (L3/L4/L7) in den Scrubbing-Centern in Warschau und Wrocław.
Volumetrische Angriffe
Eine Flut aus UDP-, ICMP-Traffic und IP-Fragmenten, die die Leitungen verstopfen soll. Der größte abgewehrte Angriff auf unsere Infrastruktur hatte 9 Tbps.
Amplification und Reflection
Verstärkte Antworten, reflektiert von offenen Diensten im Internet, etwa DNS oder NTP.
SYN, ACK und andere TCP-Floods
Eine Flut von TCP-Paketen, darunter SYN- und ACK-Floods, herausgefiltert von der Stateful Firewall.
Carpet Bombing
Ein Angriff, der sich so über ein ganzes Subnetz verteilt, dass keine einzelne Adresse verdächtig wirkt.
Applikationsangriffe (L7)
Traffic, der echte Nutzer imitiert und auf Dienste und Anwendungen zielt.
Multivektor- und stundenlange Angriffe
Mehrere Techniken gleichzeitig und Angriffe, die stundenlang dauern, auch im Terabit-Bereich.
DDoS mit Lösegeldforderung (RDDoS)
Erpressung nach dem Muster „Zahlen Sie, oder wir greifen an“. Mit dem SkyGuard-Schutz müssen Sie nicht zahlen.
Angriffe auf DNS
Anfragefluten und Versuche auf Port 53, die sich gegen die Resolver des Netzbetreibers richten.
Aus der Praxis
Netzbetreiber unter Angriff mit Lösegeldforderung. Gezahltes Lösegeld: 0 PLN
Das Netz eines Glasfaser-Internetanbieters fiel an einem Freitagnachmittag aus, und der Erpresser forderte Lösegeld. Am dritten Tag lief der Traffic des Betreibers bereits über SkyGuard, und in den folgenden Wochen endeten die täglichen Angriffe in unserem Scrubbing.
5,5 Tbps
Angriffsspitze
Die Angriffe dauerten viele Stunden ohne Unterbrechung.
50 Tage
Tägliche Angriffe
Jeden Tag ein Angriff, bis der Erpresser aufgab.
3. Tag
Netz läuft wieder
Traffic über SkyGuard ohne vorherigen Vertrag und ohne Leitung.
0 PLN
Gezahltes Lösegeld
Der Betreiber hat dem Erpresser kein einziges Mal geantwortet.
Start ohne Vertrag und ohne Leitung
Wir haben das Announcement der Präfixe des Betreibers aus AS202520 übernommen, und ein GRE-Tunnel brachte das Netz am Wochenende wieder ans Laufen, ohne physische Installation. Nach einigen Tagen ersetzte ihn ein L2-VLAN.
Ohne Blackholing der Endkunden
Der Angriff endete im Scrubbing in Warschau und Wrocław, und die Kunden des Betreibers blieben online.
Tuning für den Traffic des Betreibers
Online-Spiele, VPNs und asymmetrisches Routing funktionieren nach gemeinsamem Tuning mit dem Betreiber.
Unser Netzwerk in Polen
Zwei PoPs, verbunden über redundante Trassen
Unser Haupt-Point-of-Presence liegt in Warschau, der Satelliten-PoP in Wrocław. Drei unabhängige Trassen verbinden sie, der Ausfall einer einzelnen Leitung stoppt den Traffic also nicht.
- Warschau, unser Haupt-PoP
- Wrocław, Satelliten-PoP
- Redundante Verbindungen zwischen den PoPs
- Städte mit Transit über Partner
Transit über befreundete Carrier
Klicken Sie auf eine Stadt in der Karte oder wählen Sie sie aus der Liste, um Details zu sehen.
So läuft die Einführung ab
Drei einfache Phasen trennen Sie vom vollständigen Schutz Ihres Netzes.
- 01
Netzwerkanalyse
Wir lernen Ihre Topologie, Präfixe und Anforderungen kennen. Gemeinsam legen wir die Schutzarchitektur und die Anbindungsart fest.
- 02
Tests und Konfiguration
Wir richten BGP-Sessions und Tunnel ein und testen anschließend das Umschalten des Traffics ohne Auswirkungen auf die Produktion.
- 03
Produktion und laufende Überwachung
Wir aktivieren den Schutz und überwachen den Traffic rund um die Uhr. Wir reagieren auf Vorfälle und unterstützen bei der weiteren Optimierung.
Kontakt
Sprechen wir über den Schutz Ihres Netzes
Erzählen Sie uns von Ihrer Topologie und Ihren Anforderungen. Wir erstellen einen Schutzvorschlag, der zur Größe Ihres Netzes passt.
Nach dem Absenden des Formulars melden wir uns mit Rückfragen zu den Details oder mit einem Vorschlag für den nächsten Schritt: Gespräch, Tests oder Angebot.
Wir kommunizieren nur auf Englisch und Polnisch. Bitte schreiben Sie uns in einer dieser Sprachen.