Erkennen und stoppen Sie DDoS-Angriffe in weniger als 2 Sekunden. In Ihrem eigenen Netzwerk.

BGP FlowSpec (RFC 8955, ursprünglich RFC 5575) ist eine BGP-Erweiterung, die granulare Verkehrsfilterregeln über Router hinweg verteilt, ähnlich dem Ausrollen von ACLs per BGP, jedoch mit feiner abgestuften Match-Bedingungen. OcNOS unterstützt Flowspec-Matching nach Source-IP, Destination-IP, Protokoll, Source-/Destination-Port, Paketlänge, TCP-Flags, DSCP und IP-Fragmenttyp. Erkennt FastNetMon einen Angriff, überträgt es Flowspec-Regeln innerhalb von Millisekunden per BGP an OcNOS. OcNOS installiert diese Regeln direkt in der ASIC-Hardware, wo sie passenden Verkehr bei voller Line-Rate verwerfen oder ratenbegrenzen, und das ohne CPU-Overhead.

FastNetMon empfängt sFlow-, NetFlow-v5/v9- oder IPFIX-Telemetrie von OcNOS-Schnittstellen und analysiert den Verkehr kontinuierlich gegen konfigurierbare Schwellenwerte pro Host und pro Subnetz. Überschreitet eine Anomalie den Schwellenwert, etwa ein UDP-Flood von mehr als 5 Gbps auf ein einzelnes Ziel, löst FastNetMon automatisch entweder eine BGP-Flowspec-Regel (für eine gezielte, protokollspezifische Mitigation) oder eine RTBH-Blackhole-Route (für vollständiges Präfix-Blackholing) per BGP an OcNOS aus. Die Schleife von der Erkennung bis zur Mitigation ist automatisiert und schließt typischerweise in unter 2 Sekunden ab.

FastNetMon mit OcNOS erkennt und entschärft die häufigsten DDoS-Angriffstypen: volumetrische Floods (UDP-Amplification, ICMP-Flood, reine Bandbreitensättigung), Protokollangriffe (SYN-Flood, TCP-RST-Flood, Angriffe mit fragmentierten Paketen) und durch Flow-Analyse erkennbare Angriffe auf der Anwendungsebene (DNS-Query-Floods, NTP-Amplification, Memcached-Amplification). BGP Flowspec kann auf Protokoll, Port, TCP-Flags und Fragmenttyp matchen, um eine präzise, chirurgisch genaue Entschärfung zu ermöglichen. Bei volumetrischen Angriffen, bei denen Geschwindigkeit wichtiger ist als Präzision, verwirft RTBH-Blackholing am Netzwerkrand den gesamten Traffic zum betroffenen Präfix.

Ja. OcNOS bietet drei unabhängige DDoS-Mitigationsmechanismen, die ohne FastNetMon funktionieren: statische Hardware-ACLs (ASIC-beschleunigt, ohne CPU-Overhead) zur dauerhaften Sperrung bekannter Angreifer, manuelles RTBH-Blackholing per BGP für vom Betreiber ausgelöstes Präfix-Blackholing sowie den Empfang von BGP-Flowspec-Regeln von jedem standardkonformen BGP-Speaker. Betreiber mit vorhandenen Erkennungsplattformen wie Arbor/Netscout, A10 Networks, Cloudflare Magic Transit oder Kentik können OcNOS als Enforcement-Plane einsetzen und Flowspec- oder RTBH-Befehle von ihrem bestehenden Erkennungssystem entgegennehmen.

RTBH-Blackholing (Remotely Triggered Black Hole) funktioniert, indem das betroffene Ziel-Präfix per BGP mit einem Next-Hop angekündigt wird, der auf ein Discard-Interface zeigt. Alle Upstream-Router, die die RTBH-Ankündigung empfangen, verwerfen den gesamten für dieses Präfix bestimmten Traffic an ihrem Rand und stoppen so den Angriffs-Traffic, bevor er in Ihr Netzwerk gelangt. RTBH ist die richtige Wahl für hochvolumige, volumetrische Angriffe, bei denen das Stoppen des gesamten Traffics zu einem Ziel (einschließlich legitimen Traffics) akzeptabel ist, um den Rest des Netzwerks zu schützen. BGP Flowspec ist vorzuziehen, wenn Sie eine chirurgisch genaue Entschärfung benötigen: zum Beispiel das Blockieren ausschließlich von UDP-Port 53 zu einem Ziel, während TCP-Traffic durchgelassen wird. In der Praxis beginnen Betreiber oft mit RTBH wegen der Geschwindigkeit und wechseln zu Flowspec für Präzision, sobald der Angriff charakterisiert ist.

Die netzinterne Entschärfung ergänzt oder ersetzt je nach Angriffstyp und -umfang teilweise Scrubbing-Center. Bei volumetrischen Angriffen, die auf Ihre eigenen Präfixe zielen, bietet OcNOS mit FastNetMon eine schnellere Reaktion (unter 2 Sekunden) zu geringeren Kosten als das Routen des Traffics durch ein Scrubbing-Center, da die Filterung inline am Netzwerkrand in Hardware-ASICs erfolgt. Bei sehr großen Angriffen, die Upstream-Links sättigen, bevor sie Ihre Router erreichen, ist Upstream-RTBH mit Ihren Transit-Providern in Kombination mit netzinternem Flowspec der effektivste Ansatz. Managed-DDoS-Service-Provider können OcNOS zudem als kundenspezifische Enforcement-Plane für kundenspezifische Flowspec-Regeln und Schwellenwerte einsetzen.