Защита сетевой инфраструктуры от DDoS-атак без простоя критически важных сервисов
Масштабные DDoS-атаки могут перегрузить каналы связи, сетевое оборудование и системы безопасности, сделав критически важные сервисы недоступными для легитимных пользователей. Многоуровневая архитектура защиты позволяет своевременно выявлять аномальный трафик, локализовать атаку и автоматически очищать трафик без нарушения работы бизнес-сервисов.
Ключевые возможности
- Обнаружение и классификация DDoS-атак в реальном времени
- Защита сетевой инфраструктуры и систем безопасности от перегрузки
- Локальная и облачная очистка трафика в зависимости от масштаба атаки
- Непрерывная доступность критически важных сетевых и цифровых сервисов
Почему Firewall и NGFW могут стать слабым звеном во время DDoS-атаки
Корпоративная сеть может быть хорошо защищена межсетевыми экранами и IPS, но во время масштабной DDoS-атаки именно эти устройства могут стать точкой отказа. Stateful-устройства расходуют ресурсы на обработку огромного количества фиктивных соединений, из-за чего их производительность снижается или они перестают обрабатывать легитимный трафик.
Что происходит с бизнесом
Финансовые потери
недоступность e-commerce, банковских и других цифровых сервисов означает потерю транзакций.
Перегрузка инфраструктуры
атака может перегрузить каналы связи и нарушить работу VPN, удалённых сотрудников и облачных ресурсов.
Репутационные риски
клиенты и партнёры не могут получить доступ к сервисам именно в тот момент, когда они больше всего нужны.
Не каждой компании нужна сложная локальная система очистки трафика
В некоторых сценариях отдельное DDoS-решение может быть избыточным.
Специализированная защита может не быть приоритетом, если:
Вся инфраструктура работает в SaaS/PaaS.
Доступность каналов и защита платформы находятся в зоне ответственности облачного провайдера.
У компании нет публичных сервисов.
Если бизнес не зависит от доступности внешних IP-адресов, риск масштабной DDoS-атаки может быть минимальным.
Все веб-ресурсы уже защищены CDN.
Если CDN-провайдер обеспечивает интегрированную DDoS-защиту всех критически важных ресурсов и в сети нет других точек входа, отдельная локальная система может быть нецелесообразной.
Как работает многоуровневая защита от DDoS
От обнаружения аномалии до автоматической очистки трафика
Шаг 1. Непрерывный мониторинг
Система анализирует NetFlow/IPFIX и данные пакетного анализа, формируя профиль нормального поведения сетевого трафика. Отклонения от этого профиля позволяют выявить начало атаки.
Шаг 2. Идентификация атаки
Глобальная аналитика ATLAS помогает отделять легитимный трафик от трафика ботнетов, spoofing-трафика и аномального поведения протоколов.
Шаг 3. Фильтрация
Вредоносный трафик направляется на узлы очистки, где применяются контрмеры. До целевых серверов доходит только очищенный трафик.
Шаг 4. Cloud Signaling
Если мощность атаки превышает возможности локального канала, защита масштабируется на уровень провайдера или облачного центра очистки.
Ключевые технологии защиты
Stateless-фильтрация
Обработка больших объёмов пакетов без необходимости отслеживать состояние каждой сессии. Это позволяет избежать проблем, характерных для Stateful-устройств во время Flood-атак.
Deep Packet Inspection
Глубокий анализ трафика для выявления сложных атак, включая L7-атаки, HTTP Flood и Slowloris.
Threat Intelligence
Использование информации о ботнетах и вредоносной активности для блокировки опасного трафика на основе репутации IP-адресов.
Гибридное управление
Координация локальной защиты на периметре и облачной очистки в рамках единой архитектуры.
Критические ошибки при построении DDoS-защиты
Ошибка № 1. Полностью полагаться на защиту ISP
Провайдер в первую очередь защищает собственную сеть от перегрузки. В случае атаки он может применить Blackholing - заблокировать весь трафик на IP-адрес.
Использовать селективную фильтрацию и собственные или специализированные сервисы очистки трафика.
Ошибка № 2. Защищаться от DDoS только с помощью NGFW
NGFW предназначен для контроля доступа и инспекции трафика, но его таблицы NAT и состояний соединений могут быстро переполниться во время атаки.
Размещать специализированное решение Arbor Edge Defense перед межсетевым экраном, чтобы защитить его от перегрузки.
Ошибка № 3. Игнорировать L7-атаки
Не все атаки измеряются десятками гигабит. Небольшая по объёму, но целенаправленная атака на уровне HTTP, DNS или приложения может быть не менее опасной.
Использовать поведенческий анализ и глубокую инспекцию прикладных протоколов.
Какая архитектура NETSCOUT Arbor подходит для вашего сценария
Arbor Edge Defense (AED)
Для когокомпании Enterprise-сегмента и государственные организации.
Основная задачазащита периметра и первая линия обороны.
Архитектураразвёртывание Inline для непосредственной очистки входящего трафика.
Дополнительная возможностьблокировка исходящей активности ботнетов и C&C-трафика.
Arbor Sightline + TMS
Для когооператоры связи, сервис-провайдеры и крупные дата-центры.
Основная задачамониторинг сети и построение сервиса Managed DDoS Protection.
Архитектурафильтрация Out-of-path и защита магистральных каналов.
Ключевое преимуществомасштабирование и анализ NetFlow со всей сети.
Практика NWU: сценарии применения
Финансовая организация
Проблемаатаки мощностью до 10 Гбит/с приводили к отказам VPN-шлюзов и проблемам с доступом клиентов к мобильным сервисам.
РешениеArbor Edge Defense на входе в ЦОД + Cloud Signaling в сторону провайдера.
Результатсохранение доступности сервисов и автоматическое переключение на облачную очистку при превышении порога пропускной способности.
Региональный сервис-провайдер
Задачазащитить собственную магистраль и одновременно запустить Managed DDoS Protection для корпоративных клиентов.
РешениеSightline для мониторинга + TMS для адресной очистки трафика.
Результатновое направление услуг для корпоративных клиентов и снижение влияния паразитного трафика на сеть.
Бизнес-эффект
Безопасность
Снижение риска простоев и защита инфраструктуры от многоуровневых DDoS-атак.
Операционная эффективность
Автоматизация обнаружения и реагирования сокращает MTTD/MTTR и уменьшает необходимость вручную создавать ACL во время атаки.
Финансовые риски
Сохранение доступности критически важных сервисов и минимизация потерь из-за простоев.
Соответствие требованиям
Поддержка требований к непрерывности работы и доступности критической инфраструктуры.
Определите оптимальную стратегию DDoS-защиты вместе с NWU
Для заказчика
Оцените архитектуру своей сети, потенциальные точки атаки и необходимый уровень защиты. NWU поможет определить оптимальную модель - от локальной защиты до гибридной архитектуры с облачной очисткой.
Подобрать решение и интегратораДля партнёра / интегратора
Получите доступ к технической экспертизе NWU, демонстрационному оборудованию, обучению и поддержке при реализации масштабных проектов в области сетевой безопасности.
Стать партнёром NWU