Protección de nivel operador
Protección DDoS para operadores e ISP
Protegemos redes de operadores con integración BGP completa, políticas de seguridad propias y soporte directo de ingenieros. Sus clientes no notarán el ataque.
Red propia AS202520 y scrubbing en Polonia.
AS202520
Red propia y scrubbing en Polonia
9 Tbps
Mayor ataque mitigado
95/5
Facturación por el uso real del ancho de banda
24/7
NOC, monitorización e informes de SLA
Pensada para redes de operadores
Sabemos cómo es el trabajo del lado del operador porque nosotros también lo somos. Por eso la protección de SkyPass se integra con su red, y no al revés.
Integración por BGP
Establecemos sesiones BGP y asumimos el anuncio de sus prefijos durante el ataque. El tráfico limpio vuelve a usted por túnel o enlace directo.
De 1 a 100 Gbps
La protección crece con su red. Facturamos en el modelo 95/5, así que paga por el uso real del ancho de banda.
Filtrado sin blackholing
Sus clientes siguen en línea incluso durante un ataque. Descartamos solo el tráfico malicioso y el resto llega sin interferencias.
Políticas de seguridad propias
Adaptamos los perfiles de filtrado a sus servicios. Puede tener políticas separadas para distintos prefijos y grupos de clientes.
Monitorización e informes de SLA
Nuestro NOC vigila 24/7 y usted tiene visibilidad completa del tráfico y de los incidentes en el panel de cliente, con informes de SLA.
Responsable técnico dedicado
Habla con un ingeniero que conoce su red. Sin centralitas y sin explicarlo todo desde cero en cada solicitud.
Qué protegemos
Todo aquello de lo que depende el internet de sus abonados
Un ataque a un operador rara vez apunta a un solo servidor. Golpea los enlaces, bloques enteros de direcciones y los equipos por los que pasa el tráfico de los abonados. SkyGuard protege cada uno de estos elementos.
Enlaces de tránsito
El tráfico del ataque lo recibe la red de SkyPass antes de que llegue a sus enlaces. No tiene que sobredimensionar el ancho de banda por si hay un ataque.
Prefijos completos y bloques de abonados
Protegemos todo el espacio de direcciones anunciado por nuestra red, también cuando el ataque se reparte entre muchas direcciones a la vez (carpet bombing).
CGNAT y BRAS
Los equipos por los que pasa cada abonado. Tenemos una tecnología diseñada específicamente para que los ataques, también los TCP-ACK, no los sobrecarguen.
DNS y servicios para abonados
Los resolvers DNS y otros servicios que usan sus clientes, también cuando el ataque apunta al puerto 53.
Juegos en línea y VPN
El tráfico en tiempo real, las VPN y las rutas asimétricas funcionan durante el filtrado. Ajustamos los perfiles al tráfico de su red.
Continuidad del servicio
Sin blackholing: descartamos solo el tráfico malicioso y los abonados siguen en línea, también durante ataques de varias horas.
CGNAT y BRAS
Un ataque TCP-ACK no sobrecargará sus CGNAT
Los CGNAT y BRAS gestionan el tráfico de todos los abonados a la vez. Una avalancha de paquetes TCP-ACK puede sobrecargarlos antes de que se llene el enlace y, entonces, todos los clientes se quedan sin internet al mismo tiempo. Por eso tenemos una tecnología diseñada específicamente para estos equipos y para los ataques TCP-ACK.
Filtrado con estado antes del CGNAT
Nuestro stateful firewall sigue el estado de las conexiones TCP. Los paquetes ACK que no pertenecen a ninguna sesión establecida se descartan en el scrubbing antes de llegar a sus equipos.
Tablas NAT y CPU en niveles normales
El CGNAT y el BRAS reciben solo el tráfico que deben gestionar, así que el ataque no satura las tablas de sesiones ni la CPU.
El tráfico de los abonados pasa
Las respuestas a las conexiones iniciadas por los abonados llegan sin obstáculos. Filtramos el ataque, no a los clientes.
Políticas separadas para los bloques CGNAT
Los bloques de direcciones tras los CGNAT pueden tener sus propios perfiles de filtrado, independientes del resto de prefijos.
Con SkyGuard, los paquetes ACK sin sesión establecida se descartan en el scrubbing. El CGNAT recibe solo el tráfico de los abonados y funciona con normalidad.
Frente a qué protegemos
Los ataques a los que se enfrentan los operadores
Filtramos ataques desde la capa de red hasta la de aplicación (L3/L4/L7) en los centros de scrubbing de Varsovia y Breslavia.
Ataques volumétricos
Avalanchas de tráfico UDP, ICMP y fragmentos IP para saturar los enlaces. El mayor ataque mitigado en nuestra infraestructura fue de 9 Tbps.
Amplificación y reflexión
Respuestas amplificadas que rebotan en servicios abiertos de internet, como DNS o NTP.
SYN, ACK y otros floods TCP
Avalanchas de paquetes TCP, incluidos SYN y ACK flood, filtradas por el stateful firewall.
Carpet bombing
Un ataque repartido por toda una subred para que ninguna dirección parezca sospechosa por sí sola.
Ataques de aplicación (L7)
Tráfico que se hace pasar por usuarios reales, dirigido contra servicios y aplicaciones.
Ataques multivector y de varias horas
Varias técnicas a la vez y ataques que duran horas, también a escala de terabits.
DDoS con petición de rescate (RDDoS)
Chantaje del tipo «pague o seguiremos atacando». Con la protección SkyGuard no tiene que pagar.
Ataques contra el DNS
Avalanchas de consultas y ataques al puerto 53 dirigidos contra los resolvers del operador.
En la práctica
Un operador atacado con petición de rescate. Rescate pagado: 0 PLN
La red de un operador de internet por fibra dejó de funcionar un viernes por la tarde y el chantajista exigió un rescate. Al tercer día el tráfico del operador ya pasaba por SkyGuard y, durante las semanas siguientes, los ataques diarios terminaban en nuestro scrubbing.
5,5 Tbps
Pico del ataque
Los ataques duraban muchas horas sin pausa.
50 días
De ataques diarios
Un ataque cada día, hasta que el chantajista desistió.
Día 3
La red vuelve a funcionar
Tráfico a través de SkyGuard sin contrato ni enlace previos.
0 PLN
De rescate pagado
El operador no respondió al chantajista ni una sola vez.
Arranque sin contrato y sin enlace
Anunciamos los prefijos del operador desde AS202520 y un túnel GRE levantó la red en un fin de semana, sin instalación física. A los pocos días lo sustituyó una VLAN de capa 2.
Sin blackholing de los abonados
El ataque terminaba en el scrubbing de Varsovia y Breslavia y los clientes del operador siguieron en línea.
Ajuste al tráfico del operador
Juegos en línea, VPN y rutas asimétricas funcionan tras un ajuste conjunto con el operador.
Nuestra red en Polonia
Dos PoP unidos por rutas redundantes
Nuestro punto de presencia principal está en Varsovia y el satélite en Breslavia. Los unen tres rutas independientes, así que el fallo de un enlace no detiene el tráfico.
- Varsovia, nuestro PoP principal
- Breslavia, PoP satélite
- Conexiones redundantes entre los PoP
- Ciudades con tránsito de socios
Tránsito a través de operadores asociados
Haga clic en una ciudad del mapa o elíjala en la lista para ver los detalles.
Cómo es el despliegue
Tres etapas sencillas le separan de una protección completa de su red.
- 01
Análisis de la red
Conocemos su topología, sus prefijos y sus requisitos. Juntos definimos la arquitectura de protección y la forma de conexión.
- 02
Pruebas y configuración
Establecemos las sesiones BGP y los túneles y después probamos la conmutación del tráfico sin afectar a producción.
- 03
Producción y supervisión continua
Activamos la protección y monitorizamos el tráfico 24/7. Respondemos a los incidentes y le ayudamos a seguir optimizando.
Contacto
Hablemos de la protección de su red
Cuéntenos su topología y sus requisitos. Le prepararemos una propuesta de protección adaptada a la escala de su red.
Después de enviar el formulario le respondemos con preguntas sobre los detalles o con una propuesta del siguiente paso: una conversación, pruebas o una oferta.
Nos comunicamos únicamente en inglés y polaco. Por favor, escríbanos en uno de estos dos idiomas.