DDoS-Angriffe im eigenen Netz erkennen und stoppen

BGP FlowSpec (RFC 8955, ursprünglich RFC 5575) ist eine BGP-Erweiterung, die granulare Verkehrsfilterregeln über Router verteilt, ähnlich dem Ausrollen von ACLs per BGP, jedoch mit granulareren Match-Bedingungen. OcNOS matcht auf Quell-IP, Ziel-IP, Protokoll, Quell- und Zielport, Paketlänge, TCP-Flags, DSCP und IP-Fragment-Typ. Wenn FastNetMon einen Angriff erkennt, schiebt es FlowSpec-Regeln in Millisekunden über BGP an OcNOS, und OcNOS installiert sie direkt im ASIC, wo sie den passenden Verkehr mit voller Line-Rate und ohne CPU-Overhead verwerfen oder ratenbegrenzen.

FastNetMon liest den vom Router exportierten sFlow und gleicht ihn kontinuierlich mit den von Ihnen festgelegten Schwellenwerten pro Host und pro Subnetz ab. Überschreitet der Verkehr einen Schwellenwert, etwa ein UDP-Flood von mehr als 5 Gbps zu einem einzelnen Ziel, sendet er automatisch entweder eine BGP-Flowspec-Regel (für eine chirurgische, protokollspezifische Mitigation) oder eine RTBH-Blackhole-Route (für ein vollständiges Präfix-Blackholing) über BGP an OcNOS. Die gesamte Schleife von der Erkennung bis zur Mitigation ist automatisiert und in der Regel innerhalb von Sekunden abgeschlossen.

Die Lösung deckt die Angriffstypen ab, die Betreiber am häufigsten sehen: volumetrische Fluten (UDP-Amplification, ICMP-Flood, reine Bandbreitensättigung), Protokollangriffe (SYN-Flood, TCP-RST-Flood, fragmentierte Paketangriffe) und Angriffe auf der Anwendungsschicht, die eine Flussanalyse erkennen kann (DNS-Query-Floods, NTP-Amplification, Memcached-Amplification). Für präzise Mitigation matcht BGP Flowspec auf Protokoll, Port, TCP-Flags und Fragmenttyp. Für volumetrische Angriffe, bei denen Geschwindigkeit mehr zählt als Präzision, verwirft RTBH-Blackholing den gesamten Verkehr zum Zielpräfix am Edge.

Ja. Der Router mitigiert eigenständig über drei unabhängige Mechanismen: statische Hardware-ACLs (ASIC-beschleunigt, ohne CPU-Overhead), die bekannte Angreifer dauerhaft blockieren, manuelles RTBH-Blackholing über BGP, das Sie pro Präfix auslösen, und den Empfang von BGP-Flowspec-Regeln von jedem standardkonformen BGP-Sprecher. Wenn Sie bereits eine Erkennungsplattform wie Arbor/Netscout, A10 Networks oder Kentik betreiben, wird OcNOS zu Ihrer Durchsetzungsebene und übernimmt Flowspec- oder RTBH-Befehle vom bereits vorhandenen Erkennungssystem.

Greifen Sie zu RTBH (Remotely Triggered Black Hole), wenn ein volumetrischer Angriff groß genug ist, dass das Verwerfen des gesamten Verkehrs zum angegriffenen Ziel, einschließlich legitimen Verkehrs, ein akzeptabler Kompromiss ist, um den Rest des Netzwerks zu schützen. Es funktioniert, indem das angegriffene Präfix über BGP mit einem Next-Hop, der auf ein Discard-Interface zeigt, angekündigt wird, sodass jeder Upstream-Router, der die Ankündigung empfängt, den Verkehr für dieses Präfix an seinem eigenen Edge verwirft, bevor er in Ihr Netzwerk gelangt. Wählen Sie stattdessen BGP Flowspec, wenn Sie eine chirurgische Mitigation benötigen, etwa das Blockieren nur von UDP-Port 53 zu einem Ziel, während TCP durchgelassen wird. In der Praxis beginnen Betreiber oft mit RTBH aus Geschwindigkeitsgründen und wechseln dann zu Flowspec für Präzision, sobald der Angriff charakterisiert ist.

Es hängt vom Angriff ab, und In-Network-Mitigation ergänzt oder ersetzt teilweise ein Scrubbing-Center. Wenn der Angriff Ihre eigenen Präfixe betrifft, reagiert OcNOS mit FastNetMon schneller (unter 2 Sekunden) und kostengünstiger als das Umleiten des Verkehrs durch ein Scrubbing-Center, weil die Filterung inline am Edge in Hardware-ASICs erfolgt. Wenn ein Angriff groß genug ist, um Ihre Upstream-Links zu sättigen, bevor er Ihre Router erreicht, ist der wirksamste Ansatz Upstream-RTBH mit Ihren Transit-Providern kombiniert mit In-Network-Flowspec. Managed-DDoS-Anbieter können OcNOS auch als kundenspezifische Enforcement-Ebene mit Flowspec-Regeln und -Schwellenwerten pro Kunde betreiben.

Jeder Router, auf dem OcNOS-SP läuft, kann die Durchsetzungsebene sein. OcNOS-SP unterstützt BGP Flowspec und RTBH-Blackholing über seine gesamte Serviceprovider-Plattformpalette hinweg und installiert die Regeln im Switch-ASIC, sodass die Filterung mit Line Rate und ohne CPU-Last läuft. Da OcNOS auf validierter offener Hardware mehrerer Anbieter läuft, wählen Sie die Plattform und Portdichte, die zu jedem Edge-Standort passen, statt einer einzigen festen Appliance. Die aktuelle Liste der qualifizierten Plattformen finden Sie in der OcNOS Hardware Compatibility List.