Устойчивость имеет несколько уровней
Понимайте планируемый контур фильтрации и уровни, которые всё ещё нужны вашему приложению.
Контент пересмотрен · Русский
- Диапазон ёмкости каталога
- 10–400 Gbps
- Слои, которые нужно различать
- L3 / L4 / L7
- Подготовленная цель обнаружения
- Менее 60 секунд
Подготовленные спецификации защиты по тарифам.
Требуется действующий провайдер защиты от атак и измерения.
Держите это в поле зрения.
- Конверт защиты от атак 400 Gbps — это не серверный порт 400 Gbps.
- Сетевая фильтрация и защита приложений решают разные задачи.
- Ёмкость и сроки — это подготовленные спецификации, без привязанных живых мер по устранению последствий.
Ёмкость относится к конкретному тарифу
Подготовленный каталог указывает ёмкости фильтрации от 10 до 400 Gbps. Сравнивайте значение в выбранном тарифе, а не предполагайте, что каждый продукт включает наибольший объём. Ёмкость фильтрации, скорость порта сервера и месячный лимит передачи описывают разные ограничения.
От обнаружения до фильтрации трафика
Предлагаемая сетевая архитектура обнаруживает атаку, перенаправляет трафик через фильтрацию и возвращает разрешённый трафик к источнику. Планируемая цель по обнаружению и активации — менее 60 секунд. Конфигурация запуска должна проверить вышестоящую услугу, метод маршрутизации, охват атак и поведение за пределами включённой ёмкости, прежде чем это станет операционным обязательством.
Что не решает сетевой щит
L3/L4 фильтруют сетевые и транспортные шаблоны трафика. Дорогой поисковый запрос, всплеск входов или эксплуатация приложения всё ещё могут потребовать контроля L7: кэширование, ограничения запросов, аутентификация, WAF где уместно и настройка приложения. Шифруйте трафик origin и ограничивайте прямой доступ при использовании прокси.
Сделайте отклик наблюдаемым
Зафиксируйте первый симптом, масштаб, частоту запросов, сетевые счётчики и хронологию обращений. Ведите независимый статус и путь восстановления. Заранее решите, кто может изменять фильтрацию или блокировать шумный путь; чрезмерно широкие аварийные правила могут также прервать работу законных пользователей.
- Спросите, какие типы атак и назначения покрываются.
- Спросите, вызывают ли крупные атаки null-маршрут, дополнительные расходы или ручную проверку.
- Проверьте оповещения и восстановление после снятия фильтрации.
Распознайте шаблон трафика
UDP-отражение и усиление могут злоупотреблять открытыми службами DNS, NTP, SSDP или memcached. SYN-флуды нагружают обработку соединений, а повторяющиеся дорогостоящие запросы приложений могут исчерпать CPU или базу данных при гораздо меньшей скорости передачи данных. Определите шаблон, прежде чем выбирать ответ; локальный брандмауэр не может восстановить пропускную способность, уже насыщенную выше по потоку.
- Ограничьте открытые сервисы, чтобы сервер не стал отражателем.
- Anycast может распределять входящий трафик между несколькими площадками, но маршрутизация BGP не гарантирует географически ближайшую площадку и не реплицирует состояние приложения.
- Это концепции проектирования сети; никакая сеть anycast OmbraHost или подключённый путь очистки не утверждается.
Вопросы и ответы.
Защищён ли каждый продукт при 400 Gbps?
Нет. В каталоге указано значение защиты от атак для каждого плана. Используйте именно эту цифру вместе с его портом и лимитом трафика.
Включает ли это управляемый WAF?
Локальная спецификация не устанавливает подключенный управляемый WAF. Фильтрация приложений и настройка должны быть явно включены в будущий живой контракт.
Останется ли весь легитимный трафик нетронутым?
Фильтрация требует пороговых значений и может давать ложные срабатывания. Живой оператор должен объяснить эскалацию, исключения и то, как правила корректируются во время инцидента.
Всегда ли активна митигация?
Подготовленный проект предусматривает автоматическое обнаружение и фильтрацию сетевого трафика с целевым показателем менее 60 секунд. Активная внешняя служба защиты к этому приложению не подключена.
Что происходит при превышении конверта смягчения тарифа?
Действующий договор должен указывать эскалацию, ручную проверку, возможную нулевую маршрутизацию и любую дополнительную плату за ёмкость. Каталог не выдумывает операционный результат для атаки, которую он не может измерить.
Основана ли фильтрация только на стране?
Географическая блокировка — это отдельный механизм контроля, и она может исключать легитимных пользователей. Проект вышестоящего уровня должен объяснять свои сигналы атак и правила фильтрации; никаких заявлений об очистке только на основе OmbraHost GeoIP не делается.
Какую задержку добавляет фильтрация?
Нет измеренного пути фильтрации OmbraHost. Проверьте фактический маршрут до и во время согласованного учения; фиксированное непроверенное заявление о миллисекундах не опишет ваше приложение.
Можно ли отключить фильтрацию для теста?
Оператор продакшена должен изучить область и риски перед любым изменением. На сайте нет работающего переключателя фильтрации.