Ochrona klasy operatorskiej
Ochrona DDoS dla operatorów i ISP
Chronimy sieci operatorskie z pełną integracją BGP, własnymi politykami bezpieczeństwa i bezpośrednim wsparciem inżynierów. Twoi klienci nie odczują ataku.
Własna sieć AS202520 i scrubbing w Polsce.
AS202520
Własna sieć i scrubbing w Polsce
9 Tbps
Największy odparty atak
95/5
Rozliczenie za faktyczne wykorzystanie pasma
24/7
NOC, monitoring i raporty SLA
Zbudowane z myślą o sieciach operatorskich
Wiemy, jak wygląda praca po stronie operatora, bo sami nim jesteśmy. Dlatego ochrona SkyPass integruje się z Twoją siecią, a nie na odwrót.
Integracja przez BGP
Zestawiamy sesje BGP i przejmujemy rozgłaszanie Twoich prefiksów na czas ataku. Czysty ruch wraca do Ciebie tunelem lub bezpośrednim łączem.
Pasma od 1 do 100 Gbps
Skalujesz ochronę razem ze wzrostem sieci. Rozliczamy się w modelu 95/5, więc płacisz za faktyczne wykorzystanie pasma.
Filtracja bez blackholingu
Twoi klienci pozostają online nawet w trakcie ataku. Odrzucamy wyłącznie złośliwy ruch, a reszta dociera bez zakłóceń.
Własne polityki bezpieczeństwa
Dopasowujemy profile filtracji do Twoich usług. Możesz mieć osobne polityki dla różnych prefiksów i grup klientów.
Monitoring i raporty SLA
Nasz NOC czuwa 24/7, a Ty masz pełny wgląd w ruch i incydenty w panelu klienta wraz z raportami SLA.
Dedykowany opiekun techniczny
Rozmawiasz z inżynierem, który zna Twoją sieć. Bez infolinii i tłumaczenia wszystkiego od początku przy każdym zgłoszeniu.
Co chronimy
Wszystko, od czego zależy internet Twoich abonentów
Atak na operatora rzadko celuje w jeden serwer. Uderza w łącza, całe pule adresów i urządzenia, przez które przechodzi ruch abonentów. SkyGuard chroni każdy z tych elementów.
Łącza tranzytowe
Ruch ataku przyjmuje sieć SkyPass, zanim dotrze do Twoich łączy. Nie musisz rozbudowywać pasma na zapas na wypadek ataku.
Całe prefiksy i pule abonenckie
Chronimy całą przestrzeń adresową rozgłaszaną przez naszą sieć, także gdy atak rozkłada się na wiele adresów naraz (carpet bombing).
Natownice (CGNAT) i BRAS-y
Urządzenia, przez które przechodzi każdy abonent. Mamy technologię zaprojektowaną specjalnie po to, by ataki, także TCP-ACK, ich nie przeciążały.
DNS i usługi dla abonentów
Resolwery DNS i inne usługi, z których korzystają Twoi klienci, także gdy atak celuje w port 53.
Gry online i VPN-y
Ruch czasu rzeczywistego, VPN-y i asymetria tras działają w trakcie filtracji. Profile dopasowujemy do ruchu Twojej sieci.
Ciągłość usług
Bez blackholingu: odrzucamy wyłącznie złośliwy ruch, a abonenci zostają online, także podczas wielogodzinnych ataków.
Natownice i BRAS-y
Atak TCP-ACK nie przeciąży Twoich natownic
Natownice (CGNAT) i BRAS-y obsługują ruch wszystkich abonentów naraz. Zalew pakietów TCP-ACK potrafi je przeciążyć, zanim zapełni się łącze, a wtedy internet tracą wszyscy klienci jednocześnie. Dlatego mamy technologię zaprojektowaną specjalnie pod te urządzenia i pod ataki TCP-ACK.
Filtracja stanowa przed natownicą
Nasz stateful firewall śledzi stan połączeń TCP. Pakiety ACK, które nie należą do żadnej nawiązanej sesji, odrzucamy w scrubbingu, zanim trafią do Twoich urządzeń.
Tablice NAT i procesor w normie
Natownica i BRAS dostają tylko ruch, który mają obsłużyć, więc atak nie zapycha tablic sesji ani procesora.
Ruch abonentów przechodzi
Odpowiedzi na połączenia nawiązane przez abonentów docierają bez przeszkód. Filtrujemy atak, nie klientów.
Osobne polityki dla pul CGNAT
Pule adresów za natownicami mogą mieć własne profile filtracji, niezależne od pozostałych prefiksów.
Ze SkyGuard pakiety ACK bez nawiązanej sesji są odrzucane w scrubbingu. Natownica dostaje tylko ruch abonentów i pracuje normalnie.
Przed czym chronimy
Ataki, z którymi mierzą się operatorzy
Filtrujemy ataki od warstwy sieciowej po aplikacyjną (L3/L4/L7) w centrach scrubbingu w Warszawie i we Wrocławiu.
Ataki wolumetryczne
Zalew ruchu UDP, ICMP i fragmentów IP, który ma zapchać łącza. Największy odparty atak na naszą infrastrukturę miał 9 Tbps.
Amplifikacja i odbicia
Wzmocnione odpowiedzi odbite od otwartych usług w internecie, np. DNS czy NTP.
SYN, ACK i inne floody TCP
Zalew pakietów TCP, w tym SYN i ACK flood, odfiltrowany przez stateful firewall.
Carpet bombing
Atak rozłożony na całą podsieć tak, by żaden pojedynczy adres nie wyglądał podejrzanie.
Ataki aplikacyjne (L7)
Ruch udający prawdziwych użytkowników, wymierzony w usługi i aplikacje.
Ataki wielowektorowe i wielogodzinne
Kilka technik naraz i ataki trwające godzinami, także w skali terabitów.
DDoS z żądaniem okupu (RDDoS)
Szantaż „zapłać albo będziemy atakować”. Z ochroną SkyGuard nie musisz płacić.
Ataki na DNS
Zalew zapytań i próby na port 53 wymierzone w resolwery operatora.
Z praktyki
Operator pod atakiem z żądaniem okupu. Zapłacony okup: 0 zł
Sieć operatora internetu światłowodowego przestała działać w piątek po południu, a szantażysta zażądał okupu. Trzeciego dnia ruch operatora płynął już przez SkyGuard, a przez kolejne tygodnie codzienne ataki kończyły się w naszym scrubbingu.
5,5 Tbps
Szczyt ataku
Ataki trwały wiele godzin bez przerwy.
50 dni
Codziennych ataków
Atak każdego dnia, aż szantażysta odpuścił.
3. dzień
Sieć znów działa
Ruch przez SkyGuard bez wcześniejszej umowy i łącza.
0 zł
Zapłaconego okupu
Operator nie odpisał szantażyście ani razu.
Start bez umowy i bez łącza
Prefiksy operatora rozgłosiliśmy z AS202520, a tunel GRE postawił sieć w weekend, bez fizycznej instalacji. Po kilku dniach zastąpił go VLAN po L2.
Bez blackholingu abonentów
Atak kończył się w scrubbingu w Warszawie i we Wrocławiu, a klienci operatora zostali online.
Strojenie pod ruch operatora
Gry online, VPN-y i asymetria tras działają po wspólnym strojeniu z operatorem.
Nasza sieć w Polsce
Dwa PoPy połączone redundantnymi trasami
Główny punkt obecności mamy w Warszawie, a satelitarny we Wrocławiu. Łączą je trzy niezależne trasy, więc awaria pojedynczego łącza nie zatrzymuje ruchu.
- Warszawa, nasz główny PoP
- Wrocław, PoP satelitarny
- Redundantne połączenia między PoPami
- Miasta z tranzytem od partnerów
Tranzyt przez zaprzyjaźnionych operatorów
Kliknij miasto na mapie lub wybierz je z listy, aby zobaczyć szczegóły.
Jak wygląda wdrożenie
Trzy proste etapy dzielą Cię od pełnej ochrony sieci.
- 01
Analiza sieci
Poznajemy Twoją topologię, prefiksy i wymagania. Wspólnie ustalamy architekturę ochrony i sposób podłączenia.
- 02
Testy i konfiguracja
Zestawiamy sesje BGP i tunele, a następnie testujemy przełączanie ruchu bez wpływu na produkcję.
- 03
Produkcja i stały nadzór
Uruchamiamy ochronę i monitorujemy ruch 24/7. Reagujemy na incydenty i pomagamy w dalszej optymalizacji.
Kontakt
Porozmawiajmy o ochronie Twojej sieci
Opowiedz nam o swojej topologii i wymaganiach. Przygotujemy propozycję ochrony dopasowaną do skali Twojej sieci.
Po wysłaniu formularza wracamy do Ciebie z pytaniami o szczegóły albo z propozycją kolejnego kroku: rozmowy, testów lub oferty.