La resiliencia tiene varias capas
Comprenda la envolvente de mitigación planificada y las capas que su aplicación aún necesita.
Contenido revisado · Español
- Rango de capacidad del catálogo
- 10–400 Gbps
- Capas que distinguir
- L3 / L4 / L7
- Objetivo de detección preparado
- Menos de 60 segundos
Especificaciones de mitigación por plan preparadas.
Requiere un proveedor de mitigación activo y medición.
Mantén esto a la vista.
- Un envelope de mitigación de 400 Gbps no es un puerto de servidor de 400 Gbps.
- El filtrado de red y la protección de aplicaciones cubren problemas diferentes.
- La capacidad y los tiempos son especificaciones preparadas, sin ninguna mitigación en vivo asociada.
La capacidad pertenece a un plan exacto
El catálogo preparado especifica capacidades de mitigación de 10 a 400 Gbps. Compare la cifra del plan seleccionado en lugar de asumir que todos los productos incluyen el mayor margen. La capacidad de mitigación, la velocidad del puerto del servidor y la asignación de transferencia mensual describen límites diferentes.
Desde la detección hasta el filtrado de tráfico
El diseño de red propuesto detecta un ataque, desvía el tráfico a través de filtrado y devuelve el tráfico permitido al origen. Su objetivo planificado de detección y activación es inferior a 60 segundos. Una configuración de lanzamiento debe verificar el servicio ascendente, el método de enrutamiento, la cobertura de ataques y el comportamiento más allá de la capacidad incluida antes de que eso se convierta en un compromiso operativo.
Qué no resuelve un escudo de red
El filtrado L3/L4 aborda patrones de tráfico de red y transporte. Una solicitud de búsqueda costosa, una avalancha de inicios de sesión o un exploit de aplicación aún pueden requerir controles L7: almacenamiento en caché, límites de solicitudes, autenticación, un WAF cuando corresponda y ajuste de la aplicación. Cifra el tráfico de origen y restringe el acceso directo cuando uses un proxy.
Haz que la respuesta sea observable
Registra el primer síntoma, el alcance, las tasas de solicitudes, los contadores de red y la cronología de tickets. Mantén un estado independiente y una ruta de recuperación. Decide de antemano quién puede cambiar el filtrado o bloquear una ruta ruidosa; las reglas de emergencia demasiado amplias también pueden interrumpir a usuarios legítimos.
- Pregunta qué tipos de ataque y destinos están cubiertos.
- Pregunta si los ataques grandes provocan una ruta nula, cargos adicionales o revisión manual.
- Prueba las alertas y la recuperación después de eliminar el filtrado.
Reconocer el patrón de tráfico
La reflexión y amplificación UDP pueden abusar de servicios DNS, NTP, SSDP o memcached expuestos. Las inundaciones SYN presionan el manejo de conexiones, mientras que las solicitudes repetidas y costosas de aplicaciones pueden agotar CPU o una base de datos a una velocidad de bits mucho menor. Identifique el patrón antes de elegir una respuesta; un firewall local no puede recuperar el ancho de banda ya saturado en sentido ascendente.
- Restringe los servicios expuestos para que el servidor no se convierta en un reflector.
- Anycast puede distribuir la entrada entre varios sitios, pero el enrutamiento BGP no garantiza el sitio geográficamente más cercano ni replica el estado de la aplicación.
- Estos son conceptos de diseño de red; no se afirma ninguna red anycast OmbraHost ni una ruta de depuración conectada.
Preguntas, respondidas.
¿Está cada producto protegido a 400 Gbps?
No. El catálogo indica el valor de mitigación en cada plan. Use esa cifra exacta junto con su puerto y asignación de transferencia.
¿Esto incluye un WAF gestionado?
La especificación local no establece un WAF gestionado conectado. El filtrado y la optimización de aplicaciones deben incluirse explícitamente en un futuro contrato en vivo.
¿Todo el tráfico legítimo permanecerá intacto?
El filtrado necesita umbrales y puede producir falsos positivos. Un operador en vivo debe explicar la escalación, las exclusiones y cómo se ajustan las reglas durante un incidente.
¿Está siempre activa la mitigación?
El diseño preparado exige detección y filtrado automáticos de la red, con un objetivo inferior a 60 segundos. No hay ningún servicio activo de mitigación en el origen conectado a esta aplicación.
¿Qué ocurre por encima de la envolvente de mitigación de un plan?
Un contrato vigente debe indicar la escalación, la revisión manual, el posible enrutamiento nulo y cualquier cargo por capacidad adicional. El catálogo no inventa un resultado operativo para un ataque que no puede medir.
¿El filtrado se basa solo en el país?
El bloqueo geográfico es un control diferente y puede excluir a usuarios legítimos. Un diseño upstream necesita explicar sus señales de ataque y reglas de filtrado; no se hace ninguna afirmación de depuración OmbraHost solo con GeoIP.
¿Cuánta latencia añade el filtrado?
No hay una ruta de filtrado OmbraHost medida. Pruebe la ruta real antes y durante un ejercicio acordado; una afirmación fija de milisegundos no probada no describiría su aplicación.
¿Se puede desactivar el filtrado para una prueba?
Un operador de producción debe revisar el alcance y los riesgos antes de cualquier cambio. El sitio web no tiene un interruptor de filtrado en vivo.