A resiliência tem várias camadas
Entenda o envelope de mitigação planejado e as camadas que sua aplicação ainda precisa.
Conteúdo revisado · Português (BR)
- Faixa de capacidade do catálogo
- 10–400 Gbps
- Camadas a distinguir
- L3 / L4 / L7
- Alvo de detecção preparado
- Abaixo de 60 segundos
Especificações de mitigação por plano preparadas.
Requer um provedor de mitigação ativo e medição.
Mantenha estes em vista.
- Um envelope de mitigação de 400 Gbps não é uma porta de servidor de 400 Gbps.
- Filtragem de rede e proteção de aplicações cobrem problemas diferentes.
- A capacidade e o tempo são especificações preparadas, sem mitigação ao vivo anexada.
A capacidade pertence a um plano exato
O catálogo preparado especifica capacidades de mitigação de 10 a 400 Gbps. Compare o número no plano selecionado em vez de presumir que todo produto inclui o maior envelope. A capacidade de mitigação, a velocidade da porta do servidor e a franquia de transferência mensal descrevem limites diferentes.
Da detecção à filtragem de tráfego
O design de rede proposto detecta um ataque, desvia o tráfego por meio de filtragem e retorna o tráfego permitido à origem. Sua meta planejada de detecção e ativação é inferior a 60 segundos. Uma configuração de lançamento deve verificar o serviço upstream, o método de roteamento, a cobertura de ataques e o comportamento além da capacidade incluída antes que isso se torne um compromisso operacional.
O que um escudo de rede não resolve
A filtragem L3/L4 aborda padrões de tráfego de rede e de transporte. Uma solicitação de busca cara, um flood de login ou um exploit de aplicação ainda podem exigir controles L7: cache, limites de requisições, autenticação, um WAF quando apropriado e ajuste da aplicação. Criptografe o tráfego de origem e restrinja o acesso direto ao usar um proxy.
Torne a resposta observável
Registre o primeiro sintoma, o escopo, as taxas de solicitação, os contadores de rede e a linha do tempo dos tickets. Mantenha um status independente e uma rota de recuperação. Decida com antecedência quem pode alterar a filtragem ou bloquear um caminho ruidoso; regras de emergência excessivamente amplas também podem interromper usuários legítimos.
- Pergunte quais tipos de ataque e destinos são cobertos.
- Pergunte se ataques grandes acionam uma rota nula, cobranças extras ou revisão manual.
- Teste alertas e recuperação após a remoção da filtragem.
Reconhecer o padrão de tráfego
Reflexão e amplificação UDP podem abusar de serviços DNS, NTP, SSDP ou memcached expostos. Inundações SYN pressionam o tratamento de conexões, enquanto solicitações de aplicação caras e repetidas podem esgotar CPU ou um banco de dados a uma taxa de bits muito menor. Identifique o padrão antes de escolher uma resposta; um firewall local não consegue recuperar largura de banda já saturada a montante.
- Restrinja os serviços expostos para que o servidor não se torne um refletor.
- Anycast pode distribuir a entrada entre vários sites, mas o roteamento BGP não garante o site geograficamente mais próximo nem replica o estado da aplicação.
- Estes são conceitos de design de rede; nenhuma rede anycast OmbraHost ou caminho de scrubbing conectado é afirmado.
Perguntas, respondidas.
Todo produto é protegido a 400 Gbps?
Não. O catálogo lista o valor de mitigação em cada plano. Use esse número exato junto com sua porta e franquia de transferência.
Isso inclui um WAF gerenciado?
A especificação local não estabelece um WAF gerenciado conectado. A filtragem e o ajuste de aplicação devem ser explicitamente incluídos em um futuro contrato ao vivo.
Todo o tráfego legítimo permanecerá intacto?
A filtragem precisa de limites e pode produzir falsos positivos. Um operador ativo deve explicar a escalada, as exclusões e como as regras são ajustadas durante um incidente.
A mitigação está sempre ativa?
O design preparado prevê detecção e filtragem automáticas de rede, com meta abaixo de 60 segundos. Nenhum serviço ativo de mitigação upstream está conectado a este aplicativo.
O que acontece acima do envelope de mitigação de um plano?
Um contrato ativo deve declarar escalonamento, revisão manual, possível null routing e qualquer cobrança extra de capacidade. O catálogo não inventa um resultado operacional para um ataque que não pode medir.
A filtragem é baseada apenas no país?
O bloqueio geográfico é um controle diferente e pode excluir usuários legítimos. Um design upstream precisa explicar seus sinais de ataque e regras de filtragem; nenhuma alegação de depuração apenas de OmbraHost GeoIP é feita.
Quanta latência a filtragem adiciona?
Não há um caminho de filtragem OmbraHost medido. Teste a rota real antes e durante um exercício acordado; uma alegação fixa de milissegundos não testada não descreveria sua aplicação.
A filtragem pode ser desativada para um teste?
Um operador de produção deve revisar o escopo e os riscos antes de qualquer mudança. O site não possui um interruptor de filtragem ao vivo.