Torna al blog
Un attacco DDoS non bussa alla porta. Si presenta come un muro di traffico, spesso decine di gigabit al secondo, puntato su un singolo indirizzo IP. Il nostro lavoro è fare in modo che quel muro non arrivi mai al tuo server. In questo articolo spieghiamo come lo facciamo, senza giri di parole.
Perché l'abbiamo costruito noi
Molti provider noleggiano la mitigazione da terze parti e ci instradano il traffico solo quando rilevano un attacco. Funziona, ma aggiunge latenza, inserisce un fornitore in più nella gestione dell'incidente e di solito ha un limite per attacco.
Noi abbiamo scelto di gestire la mitigazione in-house, al bordo della nostra rete, in ogni location. È sempre attiva, è inclusa in ogni piano e i nostri ingegneri possono regolarla nel momento stesso in cui cambia il pattern dell'attacco.
Le tre fasi di una mitigazione
1. Rilevamento
I dati di flusso dei router di bordo vengono analizzati in continuo. Ogni prefisso protetto ha una baseline costruita sul suo traffico normale: pacchetti al secondo, mix di protocolli, distribuzione delle sorgenti. Quando il traffico verso un indirizzo si discosta nettamente dalla baseline, l'allarme scatta in pochi secondi.
2. Deviazione
Confermato l'attacco, il prefisso coinvolto viene annunciato al livello di scrubbing via BGP. Traffico pulito e sporco seguono ora lo stesso percorso attraverso i filtri, mentre il resto della rete continua a funzionare normalmente.
3. Scrubbing
I filtri scartano ciò che è chiaramente malevolo (flood di amplificazione, pacchetti malformati, sorgenti spoofate) e limitano ciò che è sospetto. I pacchetti legittimi arrivano al tuo server senza modifiche.
| Tipo di attacco | Dimensione tipica | Come viene gestito |
|---|---|---|
| Amplificazione UDP (DNS, NTP, CLDAP) | 10-200 Gb/s | Scartato al bordo per porta sorgente e firma del payload |
| SYN flood | Milioni di pps | SYN cookie e limiti per sorgente |
| Flood specifici per giochi | Poco volume, molti pps | Filtri che conoscono i protocolli dei motori di gioco più diffusi |
Cosa vedi durante un attacco
Nella maggior parte dei casi, niente. Il servizio resta raggiungibile e i tuoi giocatori o visitatori non si accorgono di nulla. Ricevi una notifica nell'area clienti con ora di inizio, picco di volume e vettore dell'attacco, così hai una traccia anche nei tuoi log.
La mitigazione migliore è quella di cui i tuoi utenti non sentono mai parlare.
Cosa non possiamo filtrare per te
La protezione di rete ferma i flood, non i bug applicativi. Un endpoint di login che si può bombardare con richieste costose, o un WordPress con un plugin non aggiornato, va protetto anche dentro l'applicazione. Per i carichi web consigliamo:
- rate limiting sul reverse proxy (per esempio
limit_reqsu nginx); - cache per tutto ciò che si può mettere in cache;
- software sempre aggiornato.
Domande?
Se fai girare qualcosa di particolare, come un protocollo UDP proprietario o un gioco di nicchia, apri un ticket. Il nostro team di rete può aggiungere un profilo di filtro dedicato, così il tuo traffico viene riconosciuto come legittimo fin dal primo giorno.
