Detecte y detenga ataques DDoS en menos de 2 segundos, en su propia red.

BGP FlowSpec (RFC 8955, originalmente RFC 5575) es una extensión de BGP que distribuye reglas granulares de filtrado de tráfico entre los enrutadores, de forma similar a enviar ACLs mediante BGP, pero con condiciones de coincidencia más granulares. OcNOS admite la coincidencia de FlowSpec por IP de origen, IP de destino, protocolo, puerto de origen/destino, longitud del paquete, banderas TCP, DSCP y tipo de fragmento IP. Cuando FastNetMon detecta un ataque, envía reglas de FlowSpec a OcNOS mediante BGP en milisegundos. OcNOS instala estas reglas directamente en el hardware del ASIC, donde descartan o limitan la tasa del tráfico coincidente a plena velocidad de línea, sin sobrecarga de CPU.

FastNetMon recibe telemetría sFlow, NetFlow v5/v9 o IPFIX desde las interfaces de OcNOS y analiza continuamente el tráfico frente a umbrales configurables por host y por subred. Cuando una anomalía supera el umbral, por ejemplo una inundación UDP que supera los 5 Gbps hacia un único destino, FastNetMon activa automáticamente una regla de BGP FlowSpec (para una mitigación quirúrgica y específica de protocolo) o una ruta de blackhole RTBH (para el blackholing completo de prefijos) mediante BGP hacia OcNOS. El ciclo de detección a mitigación está automatizado y normalmente se completa en menos de 2 segundos.

FastNetMon con OcNOS detecta y mitiga los tipos de ataque DDoS más comunes: inundaciones volumétricas (amplificación UDP, inundación ICMP, saturación de ancho de banda en bruto), ataques de protocolo (SYN flood, inundación TCP RST, ataques de paquetes fragmentados) y ataques de capa de aplicación detectables mediante análisis de flujo (inundaciones de consultas DNS, amplificación NTP, amplificación Memcached). BGP Flowspec puede coincidir según el protocolo, el puerto, las banderas TCP y el tipo de fragmento para una mitigación quirúrgica y precisa. Para ataques volumétricos en los que la precisión importa menos que la velocidad, el blackholing RTBH descarta todo el tráfico hacia el prefijo objetivo en el borde de la red.

Sí. OcNOS proporciona tres mecanismos independientes de mitigación de DDoS que funcionan sin FastNetMon: ACLs estáticas de hardware (aceleradas por ASIC, sin sobrecarga de CPU) para el bloqueo permanente de actores maliciosos conocidos; blackholing RTBH manual mediante BGP para el blackholing de prefijos activado por el operador; y la recepción de reglas de BGP FlowSpec desde cualquier emisor BGP estándar. Los operadores con plataformas de detección existentes, como Arbor/Netscout, A10 Networks, Cloudflare Magic Transit o Kentik, pueden usar OcNOS como plano de aplicación, recibiendo comandos FlowSpec o RTBH desde su sistema de detección existente.

El blackholing RTBH (Remotely Triggered Black Hole) funciona anunciando el prefijo de destino objetivo a través de BGP con un siguiente salto que apunta a una interfaz de descarte. Todos los routers ascendentes que reciben el anuncio RTBH descartarán en su borde todo el tráfico destinado a ese prefijo, deteniendo el tráfico de ataque antes de que entre en su red. RTBH es la opción correcta para ataques volumétricos de alto volumen en los que detener todo el tráfico hacia un destino (incluido el tráfico legítimo) es aceptable para proteger el resto de la red. BGP Flowspec es preferible cuando se necesita una mitigación quirúrgica: por ejemplo, bloquear solo el puerto UDP 53 hacia un destino mientras se permite el paso del tráfico TCP. En la práctica, los operadores a menudo comienzan con RTBH por su velocidad y cambian a Flowspec por su precisión una vez que el ataque está caracterizado.

La mitigación dentro de la red complementa o reemplaza parcialmente los centros de depuración según el tipo y la escala del ataque. Para ataques volumétricos dirigidos a sus propios prefijos, OcNOS con FastNetMon proporciona una respuesta más rápida (en menos de 2 segundos) a un costo menor que enrutar el tráfico a través de un centro de depuración, porque el filtrado ocurre en línea en el borde de la red en ASICs de hardware. Para ataques muy grandes que saturan los enlaces ascendentes antes de llegar a sus routers, el RTBH ascendente con sus proveedores de tránsito combinado con Flowspec dentro de la red es el enfoque más eficaz. Los proveedores de servicios gestionados de DDoS también pueden usar OcNOS como el plano de aplicación por cliente para reglas y umbrales Flowspec por cliente.