Przed atakami DDoS coraz trudnej się uchronić. Nie oznacza to jednak, że nic nie można zrobić lub wyłącznie od razu trzeba inwestować w kosztowne, wielowarstwowe systemy ochrony. Czasem skuteczne bywają najprostsze sposoby, takie, jak np. zapas pasma.

Ostatnie fale ataków DDoS wyleczyły chyba już wszystkich z postawy „jakoś to będzie”. Nie ma co czekać, bo prawdopodobieństwo ataku i zmierzenia się z jego skutkami wzrosło radyklanie.

Wolumen ataków rzędu 8Tb nie jest już czymś wyjątkowym. Dla sieci zdecydowanej większości operatorów jest to prawdziwie zabójcza skala, a do tego nawet najbardziej zaawansowany detektor, potrzebuje chwili na wychwycenie i odfiltrowanie ataku (np. typu reflection wykorzystującego spoofing).

Oczywiście 8Tb ataki nie zdarzają się codziennie, jednak nawet te znacznie mniejsze skutecznie blokują sieć i działanie usług.

Co robić?

Oczywiście pomyśleć o odpowiednio dopasowanej ochronie, a jest z czego wybierać. W naszym przypadku – od zaawansowanych rozwiązań typu DDoS Protection static, DDoS CDN antyspoofing, DDoS Protection flowspec, po tańsze, podstawowe narzędzia ochrony. Jakąkolwiek opcję by nie wybrać, trzeba jednak zacząć od podstaw, czyli od przepustowości sieci.

Zapas przepustowości może być kluczowy w pierwszej fazie ataku. Idealnie nie będzie, ale właśnie przez tę pierwszą minutę nadmiar pasma, może ograniczyć wpływ nagłego wzrostu ruchu na działanie usług i sprawić, że sieć jednak będzie działała, a klienci będą mogli nadal korzystać z usług.

Dlatego też, żeby przyjąć i poradzić sobie z atakiem DDoS na poziomie własnej sieci, własnego firewalla, Wanguarda czy innego rozwiązania, dobrze zacząć od zwiększenia pasma na porcie.

W przypadku korzystania z takich usług, jak TPIX, EdgeTPIX lub Content, najlepiej po prostu zamówić VLAN o większym paśmie.

Natomiast dla tranzytu do globalnego Internetu (usługi Internet.optimum lub Internet.world) można skorzystać z opcji – Pasmo x10. Pozwala ona na konfigurację VLAN o przepustowości do dziesięciu razy większej niż zamówiony commitment. W ten sposób można obsłużyć krótkotrwałe skoki ruchu (bursty) oraz niewielkie ataki DDoS.

Aby skorzystać z takiej rezerwy pasma może być potrzebny port o większej przepustowości niż obecnie używany. Możemy zestawić dodatkowy port 10 Gb/s, jeśli dostępne są odpowiednie łącza światłowodowe. Jednak rekomendujemy rozważenie portu 100 Gb/s – nawet jeśli obecnie nie ma potrzeby tak dużej przepustowości, możemy zaoferować ją w cenie porównywalnej z portem 40 Gb/s. Pozwoli to korzystać z pasma do 40 Gb/s dla zamówionych usług, a w przyszłości – po złożeniu zamówienia i rekonfiguracji – zwiększyć wykorzystanie bez fizycznej wymiany połączeń i portów.

Reasumując – dodatkowe pasmo nie zastąpi kompleksowej ochrony DDoS, ale może być jej użytecznym uzupełnieniem, umożliwiając podtrzymanie świadczenia usług klientom podczas ataku DDoS.

Zobacz więcej:

• Opis dostępnych opcji ochrony przed atakami DDoS
• Nagranie webinaru o nowościach w zakresie ochrony sieci przed DDoS