DDoS Defense
O ataque é filtrado antes de chegar ao seu link.
Um ataque DDoS volumétrico satura o circuito antes de qualquer firewall agir. O DDoS Defense desvia e limpa o tráfego na rede da UPX, em dois data centers físicos em São Paulo, e entrega só o tráfego legítimo.
Empresas que confiam na UPX
Controles auditados
O problema
Quando o ataque chega ao seu firewall, já é tarde.
Firewall, appliance anti-DDoS e balanceador ficam atrás do seu link. Se o volume do ataque é maior que o circuito, o link satura antes de qualquer um deles decidir alguma coisa. O tráfego legítimo fica preso na mesma fila.
Por isso a defesa contra ataques volumétricos precisa acontecer em uma rede com mais capacidade que o ataque, antes do seu circuito.
Um ataque de 80 Gbps contra um link de 10
- Volume do ataque
- 80 Gbps
- Capacidade do seu link
- 10 Gbps
O excedente de 70 Gbps não “passa pelo firewall”: ele derruba o link inteiro.
Exemplo ilustrativo
O produto
Um produto, dois pontos de partida.
A mitigação é a mesma: o tráfego é desviado e limpo na rede da UPX, antes do seu link. O que muda é por onde a conversa começa.
- 01Time de rede
Redes e Infraestrutura
Mitigação para os prefixos que você anuncia. Ativação por BGP, Always-On ou Sob Demanda, entrega por GRE ou cross-connect.
Indicado para
Quem anuncia o próprio bloco IP, a partir de um /24
- 02Quem publica na internet
Aplicações e APIs
Mitigação para a infraestrutura que serve seus sites, sistemas e APIs, sem depender de você operar a rede por baixo.
Indicado para
Quem expõe site, portal ou API na internet
Como funciona
Do primeiro pacote anômalo ao tráfego limpo, sem abrir chamado.
A detecção dispara a mitigação. O SOC da UPX acompanha cada campanha, mas não é preciso esperar ninguém aprovar.
Detecção
T+0Desvio de volume ou comportamento em relação ao perfil do IP.
Desvio
Seus prefixos passam a ser anunciados pela UPX via BGP.
Filtragem
Política específica por família de vetor, ajustada ao IP Profile.
Entrega
Tráfego limpo volta pelo handoff escolhido. Sua operação segue.
Relatório
Após o ataqueInício, fim, pico, vetores e volume de cada campanha.
Tráfego do seu prefixo
Plataforma UPX24 hValores ilustrativos- Recebido pela UPX
- Entregue a você
- Capacidade do link · 10 Gbps
Vetores mitigados
Uma política para cada família de ataque.
- L3
Volumétricos
Saturam a banda disponível até o serviço ficar inacessível.
UDP flood · ICMP flood · DNS amplification · NTP / Memcached reflection
- L4
Protocolo
Exploram o funcionamento do protocolo para esgotar recursos de estado.
SYN flood · ACK flood · RST / FIN · IP fragmentation
- L3 + L4
Campanhas multivetor
Combinam vetores e trocam de técnica durante o ataque. Cada mudança recebe a política da nova família.
Ataques coordenados · Mudança dinâmica de vetor · Carpet bombing
Onde e como conecta
Filtragem física em São Paulo, entregue do jeito que sua rede já funciona.
Sem hardware no seu ambiente e sem redesenho de rede. A ativação é por anúncio BGP; o que muda é como o tráfego limpo volta para você.
Volumes ilustrativos · filtragem por vetor em L3 / L4
Equinix SP2
São Paulo. Mitigação física e handoff por cross-connect no mesmo data center.
Ascenty SP3
São Paulo. Mitigação física e handoff por cross-connect no mesmo data center.
Também disponível em
- Ascenty Fabric
- Megaport
Formas de entrega
| Handoff | Indicado quando | Requisito |
|---|---|---|
| Túnel GRE | Sua infra está fora dos data centers da UPX | Sobre qualquer trânsito |
| Cross-connect | Você já está em SP2 ou SP3 | Presença no data center |
| Fabric | Você usa interconexão virtual | Ascenty Fabric ou Megaport |
Prefixo /24 anunciado por BGP, sem hardware adicional. Sem blackhole do prefixo: o tráfego filtrado volta para você pelo handoff escolhido.
Modo de operação
A principal decisão: o tráfego passa sempre pela UPX, ou só quando é atacado?
Always-On
sem acionamentoSeus prefixos ficam sempre anunciados pela UPX. Todo o tráfego já passa pela filtragem.
- Tempo até mitigar
- Imediato
Indicado para
Operação transacional que não pode parar nem por segundosSob Demanda
O tráfego segue sua rota normal. O desvio via BGP acontece quando um ataque é detectado.
- Tempo até mitigar
- Detecção + convergência BGP
- Latência adicional
- Nenhuma fora do ataque
Indicado para
Quem tolera alguns segundos de impacto e quer custo menor
Resultados
O que acontece quando o ataque vem.
Tráfego legítimo preservado durante a mitigação
A UPX filtra o tráfego malicioso em sua rede, permitindo que as conexões legítimas continuem chegando à sua infraestrutura.
Você fala com quem opera a rede
Engenharia direta durante o ataque, inclusive pelo WhatsApp. Sem fila de primeiro nível.
Operação com controles auditados
Controles auditados sobre a operação que protege seu tráfego.
Por segmento
O produto é o mesmo. O que muda é o que para quando ele falta.
A mitigação por anúncio BGP é a mesma para um banco e uma transportadora. Muda a consequência da indisponibilidade, e é ela que define o modo de operação recomendado.
Perguntas
Antes da conversa.
Preciso instalar algum equipamento?
Não. A mitigação acontece na rede da UPX e a ativação é por anúncio BGP dos seus prefixos. Nenhum hardware e nenhum agente no seu ambiente.Qual o tamanho mínimo de bloco?
Um /24 anunciado em BGP, que é a unidade de proteção. Se você não tem ASN próprio ou anuncia através de um upstream, o desenho muda: fale com a engenharia na qualificação para confirmar o que o seu cenário exige.O DDoS Defense protege contra ataques na aplicação?
Ele cobre as camadas de rede e transporte, L3 e L4. Ataques na camada de aplicação, como HTTP flood e abuso de API, não fazem parte deste escopo — são tratados por WAF e bot management, produtos separados que podem ser contratados em conjunto.Como sou cobrado durante um ataque grande?
A banda suja absorvida pela rede da UPX não é tarifada nem limitada por contrato. A fatura não muda com o tamanho da campanha: a cobrança é pela quantidade de blocos /24 sob proteção e pela banda limpa comprometida, que é o tráfego legítimo entregue depois da filtragem.Quanto tempo leva para implantar?
A ativação inclui a sessão BGP, o anúncio dos prefixos e um teste de desvio controlado antes do go-live. O prazo depende do handoff: o túnel GRE não exige circuito novo, enquanto o cross-connect segue o prazo do data center. Peça o prazo do seu cenário à engenharia na qualificação.
Fale com a engenharia.
Conte o que precisa proteger. A engenharia da UPX devolve o desenho de conexão e a proposta.
Está sofrendo um ataque DDoS?
Se sua operação está sob ataque, fale diretamente com nossa equipe para solicitar atendimento emergencial.
Solicitar atendimento emergencial