Home/Soluzioni/Protezione DDoS
OcNOS-SP · FastNetMon · BGP Flowspec · RTBH

Rileva e blocca gli attacchi DDoS all'interno della tua rete

La protezione DDoS in-network rileva e mitiga gli attacchi all'edge della rete sul router stesso, invece di deviare il traffico verso un centro di scrubbing off-path. IP Infusion la fornisce come un unico sistema: switch e router aperti che eseguono OcNOS con BGP FlowSpec e RTBH, supportati sotto un unico contratto. La telemetria sFlow alimenta un motore di rilevamento FastNetMon, che invia regole FlowSpec o RTBH al router per il filtraggio a velocità di linea nell'ASIC.

Prenota una demo DDoS Visualizza hardware
Architettura & Deployment

Dal rilevamento alla mitigazione in pochi secondi.

L'architecture brief e l'app note di deployment: il quadro di alto livello più la configurazione passo-passo per BGP Flowspec e RTBH su OcNOS con FastNetMon.

Solution brief

Difesa DDoS automatizzata a costi contenuti: OcNOS + FastNetMon

BGP Flowspec e RTBH su OcNOS con integrazione FastNetMon: dalla rilevazione alla mitigazione in pochi secondi, dimensionato per reti regionali ed enterprise.

Scarica il brief
Nota applicativa

Mitigazione automatizzata del DDoS: guida al deployment

Configurazione passo passo: policy BGP Flowspec, attivazione RTBH, integrazione di FastNetMon con OcNOS, il riferimento pronto all'implementazione.

Ottieni la nota applicativa
Perché la mitigazione DDoS in-network?

Filtra il traffico di attacco in hardware all'edge, senza deviazione del traffico.

Il router che esegue OcNOS scarta il traffico di attacco sul box che già trasporta il cliente, così ogni pacchetto resta sul suo percorso normale e il traffico pulito non lascia mai il piano di inoltro. Non c'è un centro di scrubbing off-path da attraversare, nessuna deviazione per-pacchetto, e nessuna capacità di scrubbing separata da acquistare e dimensionare.

Il router che esegue OcNOS con FastNetMon colloca rilevamento e mitigazione direttamente all'edge della rete: La telemetria sFlow viene trasmessa in continuo dal router a FastNetMon; quando viene rilevato un attacco, FastNetMon reinvia al router regole BGP Flowspec; il router installa le regole nell'hardware ASIC a velocità di linea. L'intero ciclo si completa in pochi secondi e il traffico pulito transita senza latenza aggiuntiva.

Tipi di attacco rilevati e mitigati:

Amplificazione UDP SYN Flood TCP RST Flood ICMP Flood DNS query flood Amplificazione NTP Riflessione Memcached Saturazione volumetrica della banda Attacco con pacchetti frammentati

FastNetMon: il motore di rilevamento che innesca la tua mitigazione

FastNetMon Advanced osserva l'sFlow che il router esporta e, nel momento in cui il traffico supera una soglia per-host o per-subnet che imposta, innesca automaticamente la mitigazione. È software di livello produzione già in funzione presso centinaia di ISP e hosting provider in tutto il mondo, così il motore di rilevamento presente nella pagina è lo stesso di cui gli operatori si fidano in produzione.

BGP FlowSpec: filtraggio chirurgico, inviato come route BGP

Quando devi bloccare un attacco senza toccare tutto il resto, il router effettua la corrispondenza su IP sorgente e destinazione, protocollo, porta, lunghezza del pacchetto, flag TCP, DSCP e tipo di frammento. La regola arriva su BGP e atterra nell'ASIC in millisecondi, così scarta, limita la velocità o reindirizza il traffico corrispondente a velocità di linea con zero overhead CPU. FlowSpec segue RFC 8955.

RTBH: ferma un flood volumetrico prima che ti raggiunga

Per un grande attacco volumetrico, il router effettua il blackhole del prefisso preso di mira su BGP, sia su comando dell'operatore sia automaticamente quando FastNetMon vede il traffico verso quel prefisso superare la soglia. La route RTBH si propaga ai suoi peer upstream e ai transit provider, così scartano l'attacco al loro edge prima che entri mai nella sua rete.

sFlow: il flusso di traffico che rende possibile la rilevazione

Il router esporta sFlow da ogni interfaccia edge usando il campionamento accelerato da hardware a una velocità che imposti, così il rilevamento vede il traffico senza caricare la CPU. Lo stesso feed va a FastNetMon per il rilevamento DDoS e, allo stesso tempo, a Kentik, PRTG, Prometheus o qualsiasi collettore sFlow che già esegui per l'analisi del traffico. sFlow segue RFC 3176.

ACL hardware: blocca una volta gli attori noti dannosi, per sempre

Per il traffico che sa già essere ostile, il router installa nell'ASIC un ACL che lo scarta permanentemente per IP, subnet, protocollo o porta, e limita la velocità per interfaccia, per VLAN o per prefisso. Lo configura una volta e da quel momento l'hardware lo applica, senza overhead di routing o elaborazione.

FastNetMon → OcNOS · risposta automatizzata (esempio) AVVISO
1. FastNetMon rileva l'anomalia tramite sFlow
AVVISO UDP flood → 203.0.113.50
14 Gbps. soglia di 5 Gbps superata
2. FastNetMon invia BGP Flowspec a OcNOS
POST /api/flowspec/rule
match: dst 203.0.113.50/32 proto UDP
action: rate-limit 100Mbps
→ regola installata nell'ASIC
3. OcNOS applica a line rate in hardware
Regole Flowspec attive 14
Traffico di attacco dropped
Oltre soglia con rate limiting
✓ traffico legittimo transita normalmente

FastNetMon: il motore di rilevamento

FastNetMon Advanced è un motore dedicato di rilevamento DDoS usato da centinaia di ISP a livello globale. Si integra nativamente con OcNOS tramite BGP Flowspec e RTBH. Consuma telemetria sFlow con soglie configurabili per-host, per-subnet e per-protocollo.

Scopri FastNetMon →
Seconds
Loop rilevamento-mitigazione: dall'anomalia sFlow alla regola Flowspec in hardware
0ms
Nessuna latenza aggiunta per il traffico legittimo: il filtraggio avviene in-line nell'ASIC, non in uno scrubber off-path
0%
Overhead di CPU per l'applicazione di ACL hardware e Flowspec: accelerati da ASIC
600+Deployment operatore
60+Paesi
26Anni nel networking
Architettura di riferimento

Rilevamento e mitigazione DDoS in-network: topologia completa

Ecco dove si colloca ogni livello di protezione in una rete attiva. Il traffico di attacco proveniente da internet arriva agli OcNOS edge router, che trasmettono in streaming sFlow a FastNetMon per tutto il tempo. Nel momento in cui FastNetMon vede un'anomalia invia BGP FlowSpec o RTBH all'edge, e il router installa la regola nell'ASIC in millisecondi. Anche i suoi peer upstream possono ricevere l'annuncio RTBH, così scartano l'attacco prima che la raggiunga.

Protezione DDoS in-network con OcNOS e FastNetMon: il traffico di attacco da una botnet distribuita transita per un peer di transito upstream verso due router edge OcNOS-SP, che trasmettono sFlow a un motore di rilevamento FastNetMon. Al rilevamento, FastNetMon invia BGP FlowSpec o RTBH via BGP e l'ASIC edge scarta l'attacco a velocità di linea, mentre il traffico legittimo prosegue verso i server protetti.
Protezione DDoS in-network: i router edge OcNOS-SP trasmettono sFlow a FastNetMon, che rinvia BGP FlowSpec o RTBH via BGP così l'ASIC scarta l'attacco a velocità di linea mentre il traffico legittimo continua a fluire.
Traffico di attacco
Traffico pulito
telemetria sFlow
BGP Flowspec / RTBH (piano di controllo)
↳ passate il puntatore su un nodo per dettagli su piattaforma, ASIC, BGP e policy
Come funziona

Dal rilevamento dell'attacco al traffico bloccato in quattro passaggi

Il ciclo di rilevamento-mitigazione funziona automaticamente. Una volta configurata, la rete ferma un attacco senza intervento dell'operatore.

1

Raccolta

OcNOS esporta telemetria sFlow da tutte le interfacce edge verso FastNetMon. Campionamento di pacchetti accelerato da hardware: nessun overhead CPU, nessun impatto sulle prestazioni di inoltro.

2

Rileva

FastNetMon analizza i dati di flusso rispetto a soglie per host e per subnet. Identifica flood volumetrici, SYN storm, amplificazione UDP, DNS flood e attacchi di reflection NTP, tipicamente in meno di 1 secondo.

3

Segnale

FastNetMon distribuisce automaticamente regole BGP Flowspec (per mitigazione chirurgica) o rotte blackhole RTBH (per attacchi volumetrici) a OcNOS tramite BGP. Completamente automatizzato: nessun intervento dell'operatore richiesto durante l'attacco.

4

Mitigare

OcNOS installa regole Flowspec o route RTBH direttamente nell'hardware ASIC. Il traffico di attacco viene scartato o rate-limitato a piena line rate. Il traffico legittimo prosegue senza impatto. Le regole vengono rimosse automaticamente al cessare dell'attacco.

Scegliere il segnale: FlowSpec o RTBH

Il passo 3 invia una delle due mitigazioni. FlowSpec è chirurgico, RTBH è rapido e grezzo. Gli operatori spesso partono da RTBH per velocità, poi passano a FlowSpec una volta caratterizzato l'attacco.

BGP FlowSpec e blackholing RTBH a confronto: quando usare ciascuno.
Cosa stai valutando BGP FlowSpecchirurgico, preciso Blackholing RTBHgrezzo, rapido
Granularità del matchProtocollo, IP e porta di origine e destinazione, flag TCP, lunghezza del pacchetto, tipo di frammentoL'intero prefisso di destinazione, senza match più fine
Impatto collateraleMinimo: il traffico legittimo verso la destinazione continua a fluireAlto: anche il traffico legittimo verso il prefisso viene scartato
Ideale controAttacchi di protocollo e di livello applicativo che richiedono precisioneGrandi flood volumetrici dove la velocità conta più della precisione
Dove viene applicatoNel tuo ASIC edge, a velocità di lineaSu ogni router upstream che riceve la rotta BGP
Approccio tipicoPassa a questo una volta caratterizzato l'attaccoParti da qui per velocità, poi affina
Casi d'uso

Dove si colloca la protezione DDoS in-network

Gli stessi edge router e switch trasportano la protezione DDoS che tu esegua un piccolo ISP regionale o un grande data center, perché il rilevamento e la mitigazione viaggiano sul box che è già all'edge.

Protezione edge ISP e SP

Protegga gli edge di peering e i link di transit dai DDoS volumetrici che saturerebbero la banda verso i clienti. La rilevazione sFlow sul router di peering con mitigazione automatica BGP Flowspec ferma i flood prima che raggiungano i clienti downstream. Il coordinamento RTBH upstream con i provider di transit blocca gli attacchi prima che entrino nella sua rete.

Perimetro del data center

Filtraggio DDoS in-line al confine del DC: protegge l'infrastruttura ospitata e i workload cloud. Le ACL statiche in hardware bloccano permanentemente gli attori malevoli noti. Le regole Flowspec dinamiche si adattano in tempo reale a nuove firme di attacco. L'assenza di deviazione del traffico verso uno scrubbing center significa zero impatto di latenza sul traffico legittimo.

Servizio gestito di protezione DDoS

Gli operatori possono offrire la protezione DDoS per cliente come servizio gestito, fatturando per prefisso protetto. FastNetMon supporta profili di soglia per cliente. OcNOS applica regole Flowspec per cliente. Nessuna infrastruttura di scrubbing condivisa: la protezione di ciascun cliente è dedicata e in-network.

Domande frequenti

Protezione DDoS con OcNOS: FAQ

Cos'è BGP Flowspec e come lo utilizza OcNOS per la mitigazione DDoS?
BGP FlowSpec (RFC 8955, originariamente RFC 5575) è un'estensione BGP che distribuisce regole granulari di filtraggio del traffico sui router, simile all'invio di ACL tramite BGP ma con condizioni di corrispondenza più granulari. OcNOS effettua la corrispondenza su IP sorgente, IP destinazione, protocollo, porta sorgente e destinazione, lunghezza del pacchetto, flag TCP, DSCP e tipo di frammento IP. Quando FastNetMon rileva un attacco invia regole FlowSpec a OcNOS su BGP in millisecondi, e OcNOS le installa direttamente nell'ASIC, dove scartano o limitano la velocità del traffico corrispondente a piena velocità di linea con zero overhead CPU.
Come si integra FastNetMon con OcNOS e quanto è rapida la risposta?
FastNetMon legge l'sFlow esportato dal router e lo confronta di continuo con le soglie per host e per subnet da voi impostate. Quando il traffico supera una soglia, ad esempio un flood UDP superiore a 5 Gbps verso una singola destinazione, invia automaticamente una regola BGP Flowspec (per una mitigazione chirurgica e specifica per protocollo) oppure una route di blackhole RTBH (per il blackholing completo di un prefisso) tramite BGP verso OcNOS. L'intero ciclo dalla rilevazione alla mitigazione è automatizzato e in genere si completa in pochi secondi.
Quali tipi di attacchi DDoS rileva e mitiga questa soluzione?
La soluzione copre i tipi di attacco che gli operatori vedono più spesso: flood volumetrici (amplificazione UDP, ICMP flood, saturazione grezza della banda), attacchi di protocollo (SYN flood, TCP RST flood, attacchi con pacchetti frammentati) e attacchi a livello applicativo che l'analisi dei flussi può rilevare (flood di query DNS, amplificazione NTP, amplificazione Memcached). Per la mitigazione precisa, BGP Flowspec effettua la corrispondenza su protocollo, porta, flag TCP e tipo di frammento. Per gli attacchi volumetrici dove la velocità conta più della precisione, il blackholing RTBH scarta tutto il traffico verso il prefisso preso di mira all'edge.
OcNOS può effettuare mitigazione DDoS senza FastNetMon?
Sì. Il router esegue la mitigazione in autonomia mediante tre meccanismi indipendenti: ACL hardware statiche (accelerate dall'ASIC, senza overhead sulla CPU) che bloccano in modo permanente i malintenzionati noti, il blackholing RTBH manuale tramite BGP che voi attivate per prefisso e la ricezione di regole BGP Flowspec da qualsiasi speaker BGP standard. Se disponete già di una piattaforma di rilevamento come Arbor/Netscout, A10 Networks o Kentik, OcNOS diventa il vostro piano di applicazione, ricevendo i comandi Flowspec o RTBH dal sistema di rilevamento che avete già.
Cos'è il blackholing RTBH e quando conviene usarlo al posto di Flowspec?
Ricorri a RTBH (Remotely Triggered Black Hole) quando un attacco volumetrico è abbastanza grande che scartare tutto il traffico verso la destinazione presa di mira, traffico legittimo incluso, è un compromesso accettabile per proteggere il resto della rete. Funziona annunciando il prefisso preso di mira su BGP con un next-hop che punta a un'interfaccia di scarto, così ogni router upstream che riceve l'annuncio scarta il traffico per quel prefisso al proprio edge, prima che entri nella tua rete. Scegli invece BGP Flowspec quando hai bisogno di mitigazione chirurgica, ad esempio bloccando solo la porta UDP 53 verso una destinazione lasciando passare il TCP. In pratica gli operatori spesso iniziano con RTBH per la velocità, poi passano a Flowspec per la precisione una volta caratterizzato l'attacco.
La mitigazione DDoS in-network con OcNOS sostituisce uno scrubbing center?
Dipende dall'attacco, e la mitigazione in-network integra o sostituisce parzialmente un centro di scrubbing. Quando l'attacco prende di mira i suoi prefissi, OcNOS con FastNetMon risponde più velocemente (sotto i 2 secondi) e a costo inferiore rispetto all'instradamento del traffico attraverso un centro di scrubbing, perché il filtraggio avviene in linea all'edge in ASIC hardware. Quando un attacco è abbastanza grande da saturare i suoi collegamenti upstream prima di raggiungere i suoi router, l'approccio più efficace è l'RTBH upstream con i suoi transit provider combinato con Flowspec in-network. I provider DDoS gestiti possono anche eseguire OcNOS come piano di enforcement per cliente, con regole e soglie Flowspec per cliente.
Quali router possono applicare la mitigazione FastNetMon BGP Flowspec e RTBH?
Qualsiasi router che esegue OcNOS-SP può essere il piano di applicazione. OcNOS-SP supporta BGP Flowspec e il blackholing RTBH sull'intera gamma di piattaforme per service provider e installa le regole nell'ASIC dello switch, così il filtraggio avviene a velocità di linea, senza carico sulla CPU. Poiché OcNOS funziona su hardware aperto validato di più fornitori, si sceglie la piattaforma e la densità di porte adatte a ogni sito edge anziché un unico apparato fisso. L'elenco attuale delle piattaforme qualificate è nella OcNOS Hardware Compatibility List.
Proteggiti

Proteggete la vostra rete su hardware aperto.

Esamineremo insieme la tua topologia, il tuo modello di minaccia e la configurazione Flowspec e RTBH più adatta al tuo ambiente.

Prenota una demo DDoS Scarica VM OcNOS