Protection de classe opérateur
Protection DDoS pour les opérateurs et FAI
Nous protégeons les réseaux d'opérateurs avec une intégration BGP complète, des politiques de sécurité personnalisées et le support direct de nos ingénieurs. Vos clients ne ressentiront pas l'attaque.
Notre propre réseau AS202520 et du scrubbing en Pologne.
AS202520
Notre propre réseau et du scrubbing en Pologne
9 Tbps
Plus grande attaque repoussée
95/5
Facturation selon l'utilisation réelle de la bande passante
24/7
NOC, surveillance et rapports SLA
Conçu pour les réseaux d'opérateurs
Nous savons comment on travaille côté opérateur, parce que nous en sommes un. C'est pourquoi la protection SkyPass s'intègre à votre réseau, et non l'inverse.
Intégration via BGP
Nous établissons des sessions BGP et prenons en charge l'annonce de vos préfixes pendant l'attaque. Le trafic propre vous revient par un tunnel ou une liaison directe.
Bande passante de 1 à 100 Gbps
Votre protection évolue avec votre réseau. Nous facturons selon le modèle 95/5 : vous payez l'utilisation réelle de la bande passante.
Filtrage sans blackholing
Vos clients restent en ligne même pendant une attaque. Nous rejetons uniquement le trafic malveillant, et le reste passe sans perturbation.
Des politiques de sécurité personnalisées
Nous adaptons les profils de filtrage à vos services. Vous pouvez avoir des politiques distinctes pour différents préfixes et groupes de clients.
Surveillance et rapports SLA
Notre NOC veille 24/7, et vous avez une visibilité complète sur le trafic et les incidents dans l'espace client, avec les rapports SLA.
Référent technique dédié
Vous parlez à un ingénieur qui connaît votre réseau. Pas de hotline, et pas besoin de tout réexpliquer à chaque demande.
Ce que nous protégeons
Tout ce dont dépend l'Internet de vos abonnés
Une attaque contre un opérateur vise rarement un seul serveur. Elle frappe les liaisons, des plages d'adresses entières et les équipements par lesquels passe le trafic des abonnés. SkyGuard protège chacun de ces éléments.
Liaisons de transit
Le trafic d'attaque est absorbé par le réseau SkyPass avant d'atteindre vos liaisons. Inutile de surdimensionner votre bande passante en prévision d'une attaque.
Préfixes entiers et plages d'abonnés
Nous protégeons tout l'espace d'adressage annoncé par notre réseau, y compris lorsque l'attaque se répartit sur de nombreuses adresses à la fois (carpet bombing).
Passerelles NAT (CGNAT) et BRAS
Les équipements par lesquels passe chaque abonné. Nous disposons d'une technologie conçue spécifiquement pour que les attaques, y compris TCP-ACK, ne les surchargent pas.
DNS et services aux abonnés
Les résolveurs DNS et les autres services utilisés par vos clients, y compris lorsque l'attaque vise le port 53.
Jeux en ligne et VPN
Le trafic temps réel, les VPN et l'asymétrie des routes fonctionnent pendant le filtrage. Nous adaptons les profils au trafic de votre réseau.
Continuité des services
Sans blackholing : nous rejetons uniquement le trafic malveillant, et les abonnés restent en ligne, même pendant des attaques de plusieurs heures.
Passerelles NAT et BRAS
Une attaque TCP-ACK ne surchargera pas vos passerelles NAT
Les passerelles NAT (CGNAT) et les BRAS traitent le trafic de tous les abonnés à la fois. Un flot de paquets TCP-ACK peut les surcharger avant même que la liaison ne sature, et tous les clients perdent alors Internet en même temps. C'est pourquoi nous disposons d'une technologie conçue spécifiquement pour ces équipements et pour les attaques TCP-ACK.
Filtrage stateful en amont de la passerelle NAT
Notre pare-feu stateful suit l'état des connexions TCP. Les paquets ACK qui n'appartiennent à aucune session établie sont rejetés dans le scrubbing, avant d'atteindre vos équipements.
Tables NAT et processeur au niveau normal
La passerelle NAT et le BRAS ne reçoivent que le trafic qu'ils doivent traiter : l'attaque ne sature ni les tables de sessions ni le processeur.
Le trafic des abonnés passe
Les réponses aux connexions établies par les abonnés arrivent sans obstacle. Nous filtrons l'attaque, pas les clients.
Politiques distinctes pour les plages CGNAT
Les plages d'adresses derrière les passerelles NAT peuvent avoir leurs propres profils de filtrage, indépendants des autres préfixes.
Avec SkyGuard, les paquets ACK sans session établie sont rejetés dans le scrubbing. La passerelle NAT ne reçoit que le trafic des abonnés et fonctionne normalement.
Contre quoi nous protégeons
Les attaques auxquelles les opérateurs font face
Nous filtrons les attaques de la couche réseau à la couche applicative (L3/L4/L7) dans les centres de scrubbing de Varsovie et de Wrocław.
Attaques volumétriques
Un flot de trafic UDP, ICMP et de fragments IP destiné à saturer les liaisons. La plus grande attaque repoussée sur notre infrastructure atteignait 9 Tbps.
Amplification et réflexion
Des réponses amplifiées, réfléchies par des services ouverts sur Internet, par exemple DNS ou NTP.
SYN, ACK et autres floods TCP
Un flot de paquets TCP, notamment SYN flood et ACK flood, filtré par le pare-feu stateful.
Carpet bombing
Une attaque répartie sur tout un sous-réseau, de sorte qu'aucune adresse prise isolément ne paraisse suspecte.
Attaques applicatives (L7)
Du trafic qui se fait passer pour de vrais utilisateurs, dirigé contre des services et des applications.
Attaques multivectorielles et de longue durée
Plusieurs techniques à la fois et des attaques qui durent des heures, y compris à l'échelle du térabit.
DDoS avec demande de rançon (RDDoS)
Le chantage « payez ou nous continuerons à attaquer ». Avec la protection SkyGuard, vous n'avez pas à payer.
Attaques DNS
Un flot de requêtes et des tentatives sur le port 53 visant les résolveurs de l'opérateur.
Sur le terrain
Un opérateur attaqué avec demande de rançon. Rançon payée : 0 PLN
Le réseau d'un opérateur Internet fibre a cessé de fonctionner un vendredi après-midi, et le maître chanteur a exigé une rançon. Dès le troisième jour, le trafic de l'opérateur passait par SkyGuard, et pendant les semaines suivantes, les attaques quotidiennes se terminaient dans notre scrubbing.
5,5 Tbps
Pic d'attaque
Les attaques duraient de nombreuses heures sans interruption.
50 jours
D'attaques quotidiennes
Une attaque chaque jour, jusqu'à ce que le maître chanteur abandonne.
3e jour
Le réseau fonctionne à nouveau
Trafic via SkyGuard sans contrat ni liaison préalables.
0 PLN
De rançon payée
L'opérateur n'a jamais répondu au maître chanteur.
Démarrage sans contrat ni liaison
Nous avons annoncé les préfixes de l'opérateur depuis AS202520, et un tunnel GRE a remis le réseau en service pendant le week-end, sans installation physique. Quelques jours plus tard, un VLAN en L2 l'a remplacé.
Sans blackholing des abonnés
L'attaque s'arrêtait dans le scrubbing à Varsovie et à Wrocław, et les clients de l'opérateur restaient en ligne.
Réglages adaptés au trafic de l'opérateur
Les jeux en ligne, les VPN et l'asymétrie des routes fonctionnent après un réglage mené avec l'opérateur.
Notre réseau en Pologne
Deux PoP reliés par des routes redondantes
Notre point de présence principal se trouve à Varsovie, et notre PoP satellite à Wrocław. Ils sont reliés par trois routes indépendantes : la panne d'une seule liaison n'interrompt donc pas le trafic.
- Varsovie, notre PoP principal
- Wrocław, PoP satellite
- Liaisons redondantes entre les PoP
- Villes avec transit de nos partenaires
Transit via des opérateurs partenaires
Cliquez sur une ville sur la carte ou choisissez-la dans la liste pour voir les détails.
Comment se déroule le déploiement
Trois étapes simples vous séparent d'une protection complète de votre réseau.
- 01
Analyse du réseau
Nous étudions votre topologie, vos préfixes et vos exigences. Ensemble, nous définissons l'architecture de protection et le mode de raccordement.
- 02
Tests et configuration
Nous établissons les sessions BGP et les tunnels, puis testons la bascule du trafic sans impact sur la production.
- 03
Production et supervision continue
Nous activons la protection et surveillons le trafic 24/7. Nous réagissons aux incidents et vous aidons à poursuivre l'optimisation.
Contact
Parlons de la protection de votre réseau
Parlez-nous de votre topologie et de vos exigences. Nous préparerons une proposition de protection adaptée à la taille de votre réseau.
Après l'envoi du formulaire, nous revenons vers vous avec des questions de détail ou une proposition d'étape suivante : un échange, des tests ou une offre.
Nous communiquons uniquement en anglais et en polonais. Merci de nous écrire dans l’une de ces deux langues.