Атаки сетевого уровня не одной формы — они меняют векторы, масштабируют объём, длятся часами.
Классическое DDoS-смягчение попадает в одну из двух проблем. Первая: cloud scrubbing-сервисы маршрутизируют трафик в другую сеть. Это добавляет задержку и открывает ваши данные третьей стороне во время анализа атаки. В расчётах затрат за атакующий трафик тоже часто выставляется счёт.
Вторая: специализированные on-prem DDoS-аппараты требуют настройки экспертом по DDoS для правильного ответа. Пороги задаются вручную; по мере изменения топологии пороги устаревают; операционная команда вынуждена постоянно их обновлять.
На стороне злоумышленника векторы постоянно меняются. SYN flood начинается, в течение минут эволюционирует до UDP flood, затем приходит DNS amplification. Оркестрованные кампании с использованием IoT-ботнетов комбинируют разные векторы в течение часов. Одновекторные защиты устаревают с каждой новой кампанией.
Дополнение TR7 L4 DDoS решает все три вместе: фильтрация пакетов на уровне пакетов обрабатывает все распространённые векторы в одном движке, адаптивный базовый уровень избавляет оператора от ручной настройки, и смягчение остаётся на вашем собственном оборудовании.
Наш подход
Дополнение L4 DDoS работает на четырёх принципах: производительность на уровне пакетов, многовекторный охват, адаптивное обучение базовому уровню и гранулярность route table.
Фильтрация пакетов на уровне пакетов
Обнаружение и фильтрация применяются на уровне пакетов — до уровня приложений. Высокообъёмные flood сбрасываются до достижения потоков приложений; потребление ресурсов остаётся минимальным.
Многовекторный единый движок
SYN/UDP/ICMP/ACK flood, фрагментные атаки, DNS/NTP/SSDP/Memcached amplification — все распознаются в том же движке фильтрации. Смена векторов в середине кампании не прерывает смягчение.
Адаптивный базовый уровень + подтверждение оператора
Система наблюдает за нормальным профилем вашего трафика, периодически генерирует базовый уровень и спрашивает оператора «следует ли мне считать выше этого уровня атакой?». Оператор одобряет; базовый уровень активируется и настраивает себя со временем.
Гранулярность на уровне route table
Охват смягчения масштабируется на route table. Один и тот же ADC может размещать разные профили L4-защиты для разных сегментов; небольшие развёртывания используют одну route table, мультиклиентские или мультисегментные предприятия — 25+.
Охватываемые векторы атак
Дополнение TR7 L4 DDoS обрабатывает наиболее распространённые векторы сетевого уровня современных кампаний атак в едином движке.
SYN flood — фильтруется до заполнения таблицы TCP-handshake
Злоумышленник использует сотни тысяч полуоткрытых TCP-соединений для насыщения пула соединений сервера. Классические системы вынуждены отклонять легитимные запросы после заполнения пула. TR7 L4 DDoS оценивает SYN-пакеты против базового уровня; при обнаружении аномального разнообразия источников или соотношения SYN/ACK применяются SYN cookies и агрессивное управление TIME_WAIT. Легитимные соединения не затрагиваются.
Два порога на каждую защиту — SYN-флуд встречает подъём, а не стену
У каждой защиты L4 есть мягкий предел и жёсткий потолок. Переход мягкого включает соразмерный ответ — SYN cookies, агрессивная обработка TIME_WAIT, ограничение скорости соединений, — и только жёсткий потолок отбрасывает пакеты. Режим наблюдения показывает оба отдельно относительно вашего собственного базового уровня, поэтому цифры берутся из того, что эта сеть делает на пике, а не из угаданного значения по умолчанию. С одним порогом выбор всегда один: пропустить флуд или уронить вместе с ним собственных клиентов.
UDP flood — валидация источника-назначения и rate-limit
Бесподключительная природа UDP даёт злоумышленнику лёгкий доступ для flood. TR7 выявляет UDP flood через валидацию исходных адресов, распределение размеров пакетов и профили плотности по портам. Неожиданный высокообъёмный трафик из необычных источников оценивается против базового уровня; после распознавания атаки применяется протокол-специфичный throttle.
ICMP flood — протокол-специфичный throttle
Ping flood и ICMP echo amplification — классические объёмные векторы. TR7 сравнивает ICMP-трафик с базовым уровнем; протокол-совместимый, но аномально объёмный трафик сбрасывается через per-source rate-limit. Тестовый трафик сетевых инженеров не затрагивается.
ACK flood и атаки TCP state-exhaustion
Злоумышленник отправляет случайные ACK-пакеты; сервер вынужден выполнять state-lookup и потребляет CPU. TR7 выявляет ACK flood через профили интенсивности запросов таблицы состояний; пакеты атаки отклоняются на уровне пакетов.
Фрагментные атаки — фильтрация до сборки
Фрагментированные пакеты исчерпывают пул сборки на целевом сервере. TR7 инспектирует фрагментный трафик до сборки; паттерны отсутствующих или перекрывающихся фрагментов сбрасываются при обнаружении.
DNS amplification — обнаружение отражателей и валидация источника
Злоумышленник использует неправильно сконфигурированные DNS-резолверы для превращения маленьких запросов в большие ответы. TR7 сравнивает DNS-трафик ответов с историей запросов; несовпадающие пары запрос-ответ распознаются как атаки отражения и сбрасываются.
NTP, SSDP, Memcached, SNMP amplification
Помимо DNS, классические векторы amplification: NTP monlist, SSDP discovery, Memcached UDP, SNMP getbulk. Для каждого определён протокол-специфичный профиль трафика; неожиданные высокоамплифицирующие ответы фильтруются до достижения источника.
Управление многовекторными кампаниями
Современные кампании атак меняют векторы в середине кампании. TR7 непрерывно наблюдает за активной смесью векторов; политика смягчения адаптируется автоматически. Вмешательство оператора не требуется.
Адаптивный базовый уровень — дебаты о ручных порогах заканчиваются
Профиль трафика изучается по почасовым, ежедневным и еженедельным циклам. Оператор сначала просматривает базовый уровень, одобряет; после этого базовый уровень настраивает себя самостоятельно. По мере роста трафика пороги расширяются; по мере уменьшения — сужаются.
Охват на route table
Смягчение определяется на route table. Один и тот же ADC защищает разные клиентские сегменты, группы приложений или сетевые топологии с отдельными профилями L4-защиты. Уровни ёмкости — 1, 2, 5, 10, 25 route table; корпоративный вариант — Unlimited.
Операционная глубина
Дополнение L4 DDoS — не просто технический фильтр; обучение базовому уровню, поток оператора, гранулярное масштабирование и аудиторские записи вместе образуют полную операционную модель.
Цикл обучения базовому уровню
Профиль трафика наблюдается по почасовым, ежедневным и еженедельным шкалам. Система представляет оператору «следует ли мне считать выше этого уровня атакой?»; оператор просматривает, одобряет или изменяет. После активации, если профиль трафика эволюционирует, система предлагает новую рекомендацию базового уровня.
Поток подтверждения оператора
Новые базовые уровни или изменения политики проходят подтверждение оператора перед активацией. Цепочка подтверждений настраивается; для высокоимпактных изменений может требоваться двойное подтверждение.
Охват смягчения на уровне route table
Правила смягчения определяются на уровне route table. Если один ADC обслуживает несколько сегментов, каждый получает собственный независимый базовый уровень и профиль смягчения.
Набор действий смягчения
По обнаруженному вектору атаки действие выбирается автоматически: drop, rate-limit, source-blacklist, протокол-специфичный throttle. Операторы могут настраивать через политику.
Заблокированный DDoS-трафик не учитывается в полосе пропускания
Объёмный трафик атаки не появляется в вашем счёте. Классические вендоры учитывают заблокированный трафик атаки в счётчике полосы пропускания; TR7 исключает его с самого начала.
SIEM и аудиторский след
Каждый обнаруженный вектор атаки, применённое действие смягчения, география источника и длительность записываются в аудиторский след и передаются в SIEM. Полная цепочка доказательств для криминалистического расследования и отчётности по соответствию.
Все 31 защита поимённо
Почти каждая защита независимо переводится в режим «выключено», «наблюдение», «блокировка» или «карантин»; немногие, которые являются политическими переключателями, а не порогами, просто включаются или выключаются. Набор: SYN flood (скорость новых TCP, первый пакет вне состояния, подозрительный MSS) · фрагментные атаки teardrop · всего соединений с источника · новые TCP-соединения с источника · UDP flood · NTP flood с источника · DNS flood с источника · UDP нулевой длины · широковещательный UDP (fraggle) · лимит пакетов ICMP (smurf) · разрешение/запрет ICMP · ping of death · лимит TCP reset · некорректные пакеты · ложные флаги TCP · null-сканирование · сканирование Christmas tree · сканирование портов · TCP ACK размером 40 · суффикс WAREZ .0/.255 · SMB nuke · Pepsi UDP 7/19 · Camfrog · зомби-TCP · блокировка по чёрному списку IP-репутации · атака Land · и лимиты соединений с источника на доступ к самому устройству по SSH, HTTP и HTTPS.
Когда применять
Объёмный SYN flood — с учётом дневного/ночного цикла
Трафик банковской инфраструктуры высокий днём, низкий ночью. Злоумышленник запускает SYN flood ночью; статический порог, установленный для дневного времени, слишком высок для ночи, а установленный для ночи — блокирует легитимный трафик. Адаптивный базовый уровень TR7 знает ночной профиль; атака обнаруживается в момент пересечения линии нормального-ночного.
DNS amplification — трансграничный ботнет
Злоумышленник использует 10 000+ открытых DNS-резолверов по всему миру для насыщения WAN-канала организации. Трафик выглядит как «нормальные» DNS-ответы. Обнаружение отражателей TR7 выявляет трафик без предшествующего запроса; атака останавливается на границе сети организации, а не в вышестоящих узлах.
Многовекторная кампания IoT-ботнета
Злоумышленник ведёт многочасовую кампанию с IoT-ботнетом: начинает с SYN flood, переключается на UDP flood, затем добавляет DNS amplification. Классическая одновекторная защита требует повторной настройки при каждой смене. TR7 непрерывно наблюдает за смесью векторов; политика смягчения адаптируется автоматически.
MSP мультиклиентская сегментация
MSP хочет L4-защиту для 25 разных клиентов на одном ADC. Профиль трафика каждого клиента разный; базовый уровень одного клиента может выглядеть как атака другого. TR7 запускает независимые профили базового уровня и смягчения на клиента на уровне route table.
Часто задаваемые вопросы
Сколько времени занимает обучение базовому уровню?
Доступна ли L4 DDoS-защита без дополнения?
Чем отличается от cloud scrubbing-сервиса?
Должен ли наш оператор быть экспертом по DDoS?
Как сообщается о заблокированном DDoS-трафике?
Убедитесь в адаптивной L4-защите
Посмотрим на поток обучения базовому уровню, подтверждение оператора и многовекторное смягчение в вашей среде — запланируем сессию развёртывания на пилотной route table.