Protecție de clasă operator
Protecție DDoS pentru operatori și ISP
Protejăm rețele de operator cu integrare BGP completă, politici de securitate proprii și suport direct din partea inginerilor. Clienții dumneavoastră nu vor simți atacul.
Rețea proprie AS202520 și scrubbing în Polonia.
AS202520
Rețea proprie și scrubbing în Polonia
9 Tbps
Cel mai mare atac respins
95/5
Facturare după utilizarea reală a lățimii de bandă
24/7
NOC, monitorizare și rapoarte SLA
Construită pentru rețele de operator
Știm cum arată munca unui operator, pentru că suntem și noi operator. De aceea protecția SkyPass se integrează cu rețeaua dumneavoastră, nu invers.
Integrare prin BGP
Configurăm sesiuni BGP și preluăm anunțarea prefixelor dumneavoastră pe durata atacului. Traficul curat revine la dumneavoastră printr-un tunel sau printr-o legătură directă.
Lățimi de bandă de la 1 la 100 Gbps
Scalați protecția odată cu creșterea rețelei. Facturăm în modelul 95/5, așa că plătiți pentru utilizarea reală a lățimii de bandă.
Filtrare fără blackholing
Clienții dumneavoastră rămân online chiar și în timpul atacului. Eliminăm exclusiv traficul malițios, iar restul ajunge fără perturbări.
Politici de securitate proprii
Adaptăm profilurile de filtrare la serviciile dumneavoastră. Puteți avea politici separate pentru diferite prefixe și grupuri de clienți.
Monitorizare și rapoarte SLA
NOC-ul nostru veghează 24/7, iar dumneavoastră aveți vizibilitate completă asupra traficului și incidentelor în panoul clientului, împreună cu rapoartele SLA.
Responsabil tehnic dedicat
Vorbiți cu un inginer care vă cunoaște rețeaua. Fără call center și fără să explicați totul de la zero la fiecare solicitare.
Ce protejăm
Tot ce ține în funcțiune internetul abonaților dumneavoastră
Un atac asupra unui operator vizează rareori un singur server. Lovește conexiunile, pool-uri întregi de adrese și echipamentele prin care trece traficul abonaților. SkyGuard protejează fiecare dintre aceste elemente.
Conexiuni de tranzit
Traficul de atac este preluat de rețeaua SkyPass înainte să ajungă la conexiunile dumneavoastră. Nu trebuie să vă extindeți lățimea de bandă în avans, pentru eventualitatea unui atac.
Prefixe întregi și pool-uri de abonați
Protejăm întregul spațiu de adrese anunțat prin rețeaua noastră, inclusiv atunci când atacul se distribuie simultan pe multe adrese (carpet bombing).
Gateway-uri NAT (CGNAT) și BRAS-uri
Echipamentele prin care trece fiecare abonat. Avem o tehnologie proiectată special pentru ca atacurile, inclusiv cele TCP-ACK, să nu le suprasolicite.
DNS și servicii pentru abonați
Resolverele DNS și alte servicii folosite de clienții dumneavoastră, inclusiv atunci când atacul vizează portul 53.
Jocuri online și VPN-uri
Traficul în timp real, VPN-urile și asimetria rutelor funcționează în timpul filtrării. Adaptăm profilurile la traficul rețelei dumneavoastră.
Continuitatea serviciilor
Fără blackholing: eliminăm exclusiv traficul malițios, iar abonații rămân online, inclusiv în timpul atacurilor care durează ore întregi.
Gateway-uri NAT și BRAS-uri
Un atac TCP-ACK nu vă va suprasolicita gateway-urile NAT
Gateway-urile NAT (CGNAT) și BRAS-urile gestionează simultan traficul tuturor abonaților. Un val de pachete TCP-ACK le poate suprasolicita înainte să se umple conexiunea, iar atunci toți clienții pierd internetul în același timp. De aceea avem o tehnologie proiectată special pentru aceste echipamente și pentru atacurile TCP-ACK.
Filtrare stateful înaintea gateway-ului NAT
Firewallul nostru stateful urmărește starea conexiunilor TCP. Pachetele ACK care nu aparțin niciunei sesiuni stabilite le eliminăm în scrubbing, înainte să ajungă la echipamentele dumneavoastră.
Tabele NAT și procesor în parametri normali
Gateway-ul NAT și BRAS-ul primesc doar traficul pe care trebuie să îl gestioneze, așa că atacul nu umple tabelele de sesiuni și nu blochează procesorul.
Traficul abonaților trece
Răspunsurile la conexiunile inițiate de abonați ajung fără obstacole. Filtrăm atacul, nu clienții.
Politici separate pentru pool-urile CGNAT
Pool-urile de adrese din spatele gateway-urilor NAT pot avea profiluri de filtrare proprii, independente de celelalte prefixe.
Cu SkyGuard, pachetele ACK fără sesiune stabilită sunt eliminate în scrubbing. Gateway-ul NAT primește doar traficul abonaților și funcționează normal.
Ce atacuri oprim
Atacurile cu care se confruntă operatorii
Filtrăm atacurile de la nivelul rețelei până la nivelul aplicației (L3/L4/L7) în centrele de scrubbing din Varșovia și Wrocław.
Atacuri volumetrice
Valuri de trafic UDP, ICMP și fragmente IP, menite să sufoce conexiunile. Cel mai mare atac respins asupra infrastructurii noastre a avut 9 Tbps.
Amplificare și reflexie
Răspunsuri amplificate, reflectate de servicii deschise din internet, de exemplu DNS sau NTP.
SYN, ACK și alte flood-uri TCP
Valuri de pachete TCP, inclusiv SYN și ACK flood, filtrate de firewallul stateful.
Carpet bombing
Atac distribuit pe o întreagă subrețea, astfel încât nicio adresă individuală să nu pară suspectă.
Atacuri la nivel de aplicație (L7)
Trafic care imită utilizatori reali, îndreptat împotriva serviciilor și aplicațiilor.
Atacuri multivector, de mai multe ore
Mai multe tehnici simultan și atacuri care durează ore întregi, inclusiv la scară de terabiți.
DDoS cu cerere de răscumpărare (RDDoS)
Șantaj de tipul „plătiți sau vă atacăm”. Cu protecția SkyGuard nu trebuie să plătiți.
Atacuri asupra DNS
Valuri de interogări și încercări pe portul 53, îndreptate împotriva resolverelor operatorului.
Din practică
Operator atacat, cu cerere de răscumpărare. Răscumpărare plătită: 0 PLN
Rețeaua unui operator de internet prin fibră optică a căzut vineri după-amiază, iar șantajistul a cerut răscumpărare. În a treia zi, traficul operatorului trecea deja prin SkyGuard, iar în săptămânile următoare atacurile zilnice se opreau în scrubbingul nostru.
5,5 Tbps
Vârful atacului
Atacurile au durat multe ore, fără întrerupere.
50 de zile
Cu atacuri zilnice
Atac în fiecare zi, până când șantajistul a renunțat.
Ziua 3
Rețeaua funcționează din nou
Trafic prin SkyGuard, fără contract și fără conexiune anterioare.
0 PLN
Răscumpărare plătită
Operatorul nu i-a răspuns șantajistului niciodată.
Start fără contract și fără conexiune
Am anunțat prefixele operatorului din AS202520, iar un tunel GRE a repus rețeaua în funcțiune în weekend, fără instalare fizică. După câteva zile a fost înlocuit de un VLAN L2.
Fără blackholing pentru abonați
Atacul se oprea în scrubbing la Varșovia și Wrocław, iar clienții operatorului au rămas online.
Ajustare pentru traficul operatorului
Jocurile online, VPN-urile și asimetria rutelor funcționează după ajustarea făcută împreună cu operatorul.
Rețeaua noastră în Polonia
Două PoP-uri conectate prin rute redundante
Punctul principal de prezență îl avem la Varșovia, iar pe cel satelit la Wrocław. Le leagă trei rute independente, așa că defectarea unei singure conexiuni nu oprește traficul.
- Varșovia, PoP-ul nostru principal
- Wrocław, PoP satelit
- Conexiuni redundante între PoP-uri
- Orașe cu tranzit de la parteneri
Tranzit prin operatori parteneri
Faceți clic pe un oraș de pe hartă sau alegeți-l din listă, pentru a vedea detaliile.
Cum arată implementarea
Trei etape simple vă despart de protecția completă a rețelei.
- 01
Analiza rețelei
Aflăm topologia, prefixele și cerințele dumneavoastră. Stabilim împreună arhitectura protecției și modul de conectare.
- 02
Teste și configurare
Configurăm sesiunile BGP și tunelurile, apoi testăm comutarea traficului fără impact asupra producției.
- 03
Producție și supraveghere permanentă
Pornim protecția și monitorizăm traficul 24/7. Reacționăm la incidente și vă ajutăm la optimizarea ulterioară.
Contact
Să discutăm despre protecția rețelei dumneavoastră
Spuneți-ne despre topologia și cerințele dumneavoastră. Pregătim o propunere de protecție adaptată la scara rețelei.
După trimiterea formularului revenim cu întrebări despre detalii sau cu propunerea următorului pas: o discuție, teste sau o ofertă.
Comunicăm doar în limba engleză și în limba poloneză. Vă rugăm să ne scrieți într-una dintre aceste limbi.