Захист операторського класу
Захист від DDoS для операторів та ISP
Ми захищаємо операторські мережі з повною інтеграцією BGP, власними політиками безпеки та прямою підтримкою інженерів. Ваші клієнти не відчують атаки.
Власна мережа AS202520 і очищення трафіку в Польщі.
AS202520
Власна мережа та очищення трафіку в Польщі
9 Tbps
Найбільша відбита атака
95/5
Оплата за фактичне використання смуги
24/7
NOC, моніторинг і звіти SLA
Створено для операторських мереж
Ми знаємо, як виглядає робота з боку оператора, бо самі ним є. Тому захист SkyPass інтегрується з вашою мережею, а не навпаки.
Інтеграція через BGP
Ми налаштовуємо BGP-сесії та беремо на себе анонсування ваших префіксів на час атаки. Чистий трафік повертається до вас тунелем або прямим каналом.
Смуга від 1 до 100 Gbps
Ви масштабуєте захист разом із ростом мережі. Ми працюємо за моделлю 95/5, тож ви платите за фактичне використання смуги.
Фільтрація без blackholing
Ваші клієнти залишаються онлайн навіть під час атаки. Ми відкидаємо лише шкідливий трафік, а решта доходить без перешкод.
Власні політики безпеки
Ми підлаштовуємо профілі фільтрації під ваші сервіси. Ви можете мати окремі політики для різних префіксів і груп клієнтів.
Моніторинг і звіти SLA
Наш NOC чергує 24/7, а ви маєте повну видимість трафіку та інцидентів у панелі клієнта разом зі звітами SLA.
Персональний технічний менеджер
Ви спілкуєтеся з інженером, який знає вашу мережу. Без гарячої лінії і без пояснень усього з самого початку при кожному зверненні.
Що ми захищаємо
Усе, від чого залежить інтернет ваших абонентів
Атака на оператора рідко спрямована на один сервер. Вона б’є по каналах, цілих пулах адрес і пристроях, через які проходить трафік абонентів. SkyGuard захищає кожен із цих елементів.
Транзитні канали
Трафік атаки приймає мережа SkyPass, перш ніж він дійде до ваших каналів. Вам не потрібно розширювати смугу із запасом на випадок атаки.
Цілі префікси та абонентські пули
Ми захищаємо весь адресний простір, що анонсується через нашу мережу, зокрема коли атака розподіляється на багато адрес одночасно (carpet bombing).
NAT-шлюзи (CGNAT) і BRAS
Пристрої, через які проходить кожен абонент. Ми маємо технологію, спроєктовану спеціально для того, щоб атаки, зокрема TCP-ACK, їх не перевантажували.
DNS і сервіси для абонентів
DNS-резолвери та інші сервіси, якими користуються ваші клієнти, зокрема коли атака спрямована на порт 53.
Онлайн-ігри та VPN
Трафік реального часу, VPN і асиметрія маршрутів працюють під час фільтрації. Профілі ми підлаштовуємо під трафік вашої мережі.
Безперервність сервісів
Без blackholing: ми відкидаємо лише шкідливий трафік, а абоненти залишаються онлайн, зокрема під час багатогодинних атак.
NAT-шлюзи та BRAS
Атака TCP-ACK не перевантажить ваші NAT-шлюзи
NAT-шлюзи (CGNAT) і BRAS обробляють трафік усіх абонентів одночасно. Потік пакетів TCP-ACK здатен перевантажити їх ще до того, як заповниться канал, і тоді інтернет втрачають усі клієнти водночас. Тому ми маємо технологію, спроєктовану спеціально під ці пристрої та під атаки TCP-ACK.
Stateful-фільтрація перед NAT-шлюзом
Наш stateful firewall відстежує стан TCP-з’єднань. Пакети ACK, які не належать до жодної встановленої сесії, ми відкидаємо під час очищення, перш ніж вони потраплять до ваших пристроїв.
Таблиці NAT і процесор у нормі
NAT-шлюз і BRAS отримують лише той трафік, який мають обробити, тож атака не забиває таблиці сесій і процесор.
Трафік абонентів проходить
Відповіді на з’єднання, встановлені абонентами, доходять без перешкод. Ми фільтруємо атаку, а не клієнтів.
Окремі політики для пулів CGNAT
Пули адрес за NAT-шлюзами можуть мати власні профілі фільтрації, незалежні від інших префіксів.
З SkyGuard пакети ACK без встановленої сесії відкидаються під час очищення. NAT-шлюз отримує лише трафік абонентів і працює нормально.
Від чого ми захищаємо
Атаки, з якими стикаються оператори
Ми фільтруємо атаки від мережевого рівня до рівня застосунків (L3/L4/L7) у центрах очищення у Варшаві та Вроцлаві.
Волюметричні атаки
Потік трафіку UDP, ICMP і фрагментів IP, що має забити канали. Найбільша відбита атака на нашу інфраструктуру сягала 9 Tbps.
Ампліфікація та відбиття
Посилені відповіді, відбиті від відкритих сервісів в інтернеті, наприклад DNS чи NTP.
SYN, ACK та інші TCP-флуди
Потік пакетів TCP, зокрема SYN і ACK flood, який відфільтровує stateful firewall.
Carpet bombing
Атака, розподілена на всю підмережу так, щоб жодна окрема адреса не виглядала підозріло.
Атаки на застосунки (L7)
Трафік, що імітує справжніх користувачів і спрямований на сервіси та застосунки.
Багатовекторні та багатогодинні атаки
Кілька технік одночасно й атаки, що тривають годинами, зокрема в терабітному масштабі.
DDoS з вимогою викупу (RDDoS)
Шантаж «заплатіть, або ми атакуватимемо». Із захистом SkyGuard вам не потрібно платити.
Атаки на DNS
Потік запитів і спроби на порт 53, спрямовані на резолвери оператора.
З практики
Оператор під атакою з вимогою викупу. Сплачений викуп: 0 PLN
Мережа оператора оптоволоконного інтернету перестала працювати в п’ятницю по обіді, а шантажист зажадав викуп. На третій день трафік оператора вже йшов через SkyGuard, а впродовж наступних тижнів щоденні атаки закінчувалися в нашому центрі очищення.
5,5 Tbps
Пік атаки
Атаки тривали багато годин без перерви.
50 днів
Щоденних атак
Атака щодня, доки шантажист не відступився.
3-й день
Мережа знову працює
Трафік через SkyGuard без попереднього договору і каналу.
0 PLN
Сплаченого викупу
Оператор жодного разу не відповів шантажистові.
Старт без договору і без каналу
Префікси оператора ми анонсували з AS202520, а тунель GRE підняв мережу у вихідні, без фізичного монтажу. Через кілька днів його замінив VLAN на L2.
Без blackholing абонентів
Атака закінчувалася в центрах очищення у Варшаві та Вроцлаві, а клієнти оператора залишалися онлайн.
Налаштування під трафік оператора
Онлайн-ігри, VPN і асиметрія маршрутів працюють після спільного налаштування з оператором.
Наша мережа в Польщі
Два PoP, з’єднані резервованими трасами
Головна точка присутності розташована у Варшаві, а сателітна у Вроцлаві. Їх з’єднують три незалежні траси, тож збій одного каналу не зупиняє трафік.
- Варшава, наш головний PoP
- Вроцлав, сателітний PoP
- Резервовані з’єднання між PoP
- Міста з транзитом від партнерів
Транзит через партнерських операторів
Натисніть місто на мапі або виберіть його зі списку, щоб побачити подробиці.
Як відбувається впровадження
Лише три прості етапи відділяють вас від повного захисту мережі.
- 01
Аналіз мережі
Ми вивчаємо вашу топологію, префікси та вимоги. Разом визначаємо архітектуру захисту і спосіб підключення.
- 02
Тести та налаштування
Налаштовуємо BGP-сесії та тунелі, а потім тестуємо перемикання трафіку без впливу на продакшн.
- 03
Продакшн і постійний нагляд
Запускаємо захист і моніторимо трафік 24/7. Реагуємо на інциденти та допомагаємо з подальшою оптимізацією.
Контакти
Поговорімо про захист вашої мережі
Розкажіть нам про свою топологію та вимоги. Ми підготуємо пропозицію захисту, адаптовану до масштабу вашої мережі.
Після надсилання форми ми зв’яжемося з вами з уточнювальними запитаннями або з пропозицією наступного кроку: розмови, тестів чи комерційної пропозиції.
Ми спілкуємося лише англійською та польською. Будь ласка, пишіть нам однією з цих мов.