Zero pacotes de ataque chegam ao seu servidor.
Sites, DNS, e-mail, acesso remoto, jogos ou a sua rede inteira. Filtramos em uma rede anycast com nós na Argentina, no Chile, no Brasil, em Miami e em Dallas, com um perfil para cada serviço: o ataque é descartado perto de onde nasce e até você chega só o tráfego legítimo.
Um serviço da inetHost · rede própria AS266777
Argentina, Chile, Brasil, Miami e Dallas, todos anunciando os seus IPs ao mesmo tempo.
Medimos cada IP na borda da rede, segundo a segundo.
Os filtros rodam em XDP, antes de o pacote tocar o sistema.
Anunciamos e desviamos com o nosso ASN, sem depender de terceiros.
Cada serviço tem o seu filtro.
Um ataque a um site não se barra do mesmo jeito que um ataque a um DNS ou a um SSH. Cada porta que protegemos recebe o perfil do que roda nela: ele sabe como aquele protocolo se comunica e deixa passar só o que se comunica assim.
Sites e APIs
Páginas, lojas, painéis e APIs. Embaixo, na placa, barramos o volumétrico; em cima, olhamos requisição por requisição, que é onde um ataque a um site causa dano de verdade.
Passa
- Navegadores e clientes que completam a conexão
- A sua CDN na frente: se você usa Cloudflare, os ranges dela passam
- Downloads e uploads grandes, sem cortes
É descartado
- Floods de SYN e conexões semiabertas
- Floods de requisições válidas: limite de requisições por segundo por origem
- Slowloris e conexões que nunca terminam
- Métodos estranhos e bots
Em HTTPS, para olhar cada requisição, terminamos o TLS no nó com o seu certificado. Sem certificado, filtramos por conexão e o conteúdo passa criptografado.
DNS
O seu servidor autoritativo ou os seus resolvers. Cada pacote é conferido contra o formato do DNS: o que não for uma consulta bem formada não chega.
Passa
- Consultas bem formadas, com uma única pergunta
- Resolvers reais mesmo durante o ataque: pedimos que repitam por TCP, e quem repete passa
- Os seus secundários e resolvers conhecidos, em lista
É descartado
- Respostas que ninguém pediu (a reflexão contra você)
- Consultas ANY e pacotes malformados
- Nomes malformados
- Mais de 1.000 consultas por segundo de uma mesma origem
Acesso remoto
Para administrar os seus servidores sem deixar a porta aberta para qualquer um. Para chegar nela, é preciso falar o protocolo desde o primeiro pacote.
Passa
- Clientes que falam SSH ou RDP de verdade
- A sua sessão, mesmo durante o ataque: uma vez dentro, flui
- Os seus IPs fixos, na lista branca
É descartado
- TCP com lixo: sem a assinatura do protocolo, não chega à porta
- Mais de 10 conexões novas por segundo de uma origem no SSH, mais de 4 no RDP
- Todo o resto do mundo, se você fechar a porta e deixar só a sua lista
E-mail e TCP próprio
E-mail, bancos de dados, APIs próprias e qualquer serviço TCP sem perfil específico. Limitamos a abertura de conexões, não os pacotes: o que acontece dentro de uma conexão flui.
Passa
- Conexões completas, com tráfego livre dentro delas
- Transferências grandes sem cortes
- Clientes que tentam de novo, mesmo durante o ataque
É descartado
- SYN falsificado: respondemos por você e só passa quem completa a conexão
- Mais de 20 conexões novas por segundo de uma mesma origem
- Com rastreamento de conexões: todo ACK, RST ou FIN que não pertence a uma conexão aberta
UDP próprio
Telefonia, VPN, streaming e os protocolos da sua aplicação. Começa com um teto por origem; se você nos contar como é o seu protocolo, filtramos também pelo formato dele.
Passa
- O tráfego dos seus usuários, com teto por origem
- Os pacotes com o formato do seu protocolo: o tamanho e os primeiros bytes que você nos indicar
É descartado
- UDP vazio e reflexão de DNS, NTP, memcached e afins
- Mais de 5.000 pacotes por segundo de uma mesma origem
- O que não tiver o tamanho ou a assinatura do seu protocolo, quando ela estiver cadastrada
Jogos
Perfis por jogo que validam a entrada do jogador, não só o volume. Um flood com o formato do jogo não basta: é preciso completar a entrada.
Passa
- Jogadores que completam a entrada no servidor
- Quem já está jogando, mesmo com o ataque em andamento
- As consultas da lista de servidores, com limite
É descartado
- O que não é do jogo na porta do jogo
- Entradas falsas que não completam o handshake
- Floods de consultas de status
Assinantes de um provedor
Para redes com assinantes: o ataque a um não deixa os outros sem internet, e para o atacado fechamos só o que está sendo atacado.
Passa
- Navegação, vídeo e jogos dos assinantes, como sempre
- As respostas ao que o assinante pediu
- Com CGNAT: um ataque a um IP compartilhado não derruba todos que o usam
É descartado
- O IP:porta atacado, enquanto o ataque durar, e nada mais
- Reflexão e amplificação contra o bloco
O seu serviço não está na lista? Ele entra com o perfil genérico de TCP ou UDP e, olhando o tráfego real, adicionamos a assinatura do seu protocolo. Além disso, detectamos sozinhos o que roda em cada porta e sugerimos o perfil.
Bloqueio por país
Você libera a entrada só dos países ou regiões que interessam.
Listas branca e negra
Por IP, por rede e por porta. Os seus IPs passam sempre.
Regras por porta
Até a porta exata: aberta, com perfil ou fechada.
Limite por conexão
Nenhuma origem leva tudo: quem passa do limite fica de fora.
Controle de ICMP
Ping permitido, limitado ou bloqueado, por IP.
API
Regras, listas e ataques, direto do seu sistema.
O ataque é barrado perto de onde nasce.
A nossa rede é anycast: os cinco nós anunciam os seus IPs protegidos ao mesmo tempo, e a internet leva cada pacote ao nó mais próximo da origem. Um ataque que sai dos Estados Unidos é descartado em Miami ou Dallas; um que sai do Brasil, no Brasil. Nenhum viaja até o seu servidor e nenhum nó carrega tudo sozinho: o ataque é mitigado de forma distribuída. Teste o mesmo ataque sem anycast.
Argentina
Um filtro em cada POP. O ataque é barrado no ponto por onde entra no país.
Presença · cross-connect ou IXChile
Barra o que nasce do outro lado da Cordilheira e no Pacífico Sul, antes que atravesse.
Presença · cross-connect ou IXBrasil
O ataque que sai do Brasil é descartado no Brasil e não viaja até o seu servidor.
Presença · cross-connect ou IXMiami
Recebe o que chega da costa leste da América do Norte e da Europa, antes que desça para o sul.
Presença · cross-connect ou IXDallas
Cobre o centro e o oeste dos Estados Unidos e o que entra da Ásia pelo Pacífico.
Presença · cross-connect ou IXEstamos dentro de cada POP.
Em cada um desses pontos temos presença física. Se a sua rede também está lá, você se conecta direto com a gente, sem passar pela internet, e o que entra por esse ponto é filtrado ali mesmo.
Detectar, desviar, filtrar, entregar.
Do início do ataque até o momento em que só o tráfego legítimo chega ao seu servidor. Com a proteção sempre ativa, o tráfego já passa pelo filtro e o desvio não é necessário.
Vemos o ataque na borda
Medimos o tráfego de cada IP segundo a segundo e comparamos com o padrão normal daquele IP.
em segundosAnunciamos o IP a partir dos 5 nós
O IP ou o prefixo atacado passa para a rede anycast via BGP: o ataque é distribuído entre todos.
automáticoCamadas de filtros na placa
Assinaturas de ataque, o perfil de cada serviço e limites por origem, em XDP.
microssegundosChega até você o legítimo
Devolvemos o tráfego limpo pela nossa rede ou por um túnel GRE até o seu equipamento.
sempreO que nunca é legítimo
Fragmentos soltos, portas zero, pacotes malformados e origens impossíveis.
Reflexão e amplificação
Respostas de DNS, NTP, memcached e afins que ninguém pediu.
O perfil do seu serviço
O filtro sabe como se comunica o que roda em cada porta, seja um site, um DNS, um SSH ou um jogo: o que não se comunica assim não passa.
Limites por origem e por conexão
Nenhuma origem pode levar tudo: quem passa do limite fica de fora; os demais seguem.
De um único IP até a sua rede inteira.
O mesmo filtro em todos os casos: na nossa rede ou em um appliance no seu próprio datacenter. O que muda é o que entra pelo PacketZero e como devolvemos o tráfego limpo. Conte o que você tem e enviamos um orçamento.
IP protegido
O seu servidor com IPs nossos, que já entram pela rede anycast. Não há nada para configurar do seu lado.
- Um perfil por porta
- Regras e listas pelo painel
- Sempre no filtro
Túnel GRE + BGP
Anunciamos o seu prefixo a partir dos cinco nós e devolvemos o tráfego limpo por um túnel GRE, onde quer que você esteja.
- O seu /24 ou maior, com o seu ASN ou o nosso
- Um túnel por roteador de borda
- Desvio automático ou permanente
Cross-connect ou IX
Se a sua rede está em algum dos nossos POPs, você se conecta por cross-connect ou pelo IX e entregamos o tráfego limpo ali mesmo, sem túnel pela internet.
- CABASE, Cirion, Telxius, PIT Chile, PIT Peru, Equinix São Paulo, IX.br, FL-IX, DE-CIX Dallas e DFW-IX
- O que entra por ali também é filtrado
- Para provedores: modo assinantes, compatível com CGNAT
Revenda
Proteja a sua infraestrutura e a de cada cliente seu, com acesso próprio para cada um.
- Um portal por cliente: os IPs, os ataques e as regras dele
- API para cadastrar a partir do seu sistema
- Módulo para WHMCS
Sempre ativa
O seu tráfego passa pelo filtro o tempo todo. Não há desvio nem segundos de espera: o ataque já encontra o filtro ativo.
Sob demanda
O seu tráfego vai direto e o medimos na borda. Quando começa um ataque, desviamos o IP ou o prefixo para a rede anycast em segundos e, quando termina, ele volta.
O appliance PacketZero, no seu rack.
Instalamos um appliance PacketZero em linha com os seus links, dentro do seu datacenter. Ele roda os mesmos filtros e perfis da rede e mitiga ali mesmo, na sua sala: o tráfego não sai para lugar nenhum para ser limpo.
- 01Mitigação localTodos os ataques são barrados na sua sala, sem desvio e sem acrescentar latência.
- 02Os mesmos perfis e o mesmo painelSites, DNS, SSH, jogos, assinantes: o que roda na rede roda no seu appliance, e você acompanha e ajusta tudo pelo mesmo painel.
- 03Nós operamosMonitoramento, atualizações e ajustes de filtros ficam por conta da nossa equipe.
- 04Com a rede como retaguardaSe um ataque for maior que o seu link, desviamos para a rede anycast e o tráfego chega limpo do mesmo jeito.
Você vê cada ataque, não uma caixa-preta.
- 01O que foiProtocolo, para quais portas, de quais portas e de quais países e redes veio.
- 02Quanto barramosO que chegou, o que descartamos e o que entregamos a você, minuto a minuto.
- 03As suas regras, na horaVocê adiciona uma porta, troca um perfil, bloqueia um país ou coloca um IP na lista branca, e vale nos cinco nós.
- 04Um relatório por ataquePara enviar ao seu cliente ou guardar.
O que nos perguntam antes de contratar.
Aumenta a latência?
A filtragem em si acrescenta microssegundos. O que pode mudar é o caminho, e é para isso que existe o anycast: o tráfego entra pelo nó mais próximo da origem. Para os seus usuários na Argentina, o filtro está na Argentina; para os do Chile ou do Brasil, no próprio país.
Os meus usuários percebem o ataque?
A ideia é que não. O perfil de cada serviço deixa passar quem se comporta como um cliente real, seja um navegador, um resolver, um cliente de e-mail ou um jogador, mesmo com o ataque em andamento. Se algo legítimo for barrado, você vê no painel e nós ajustamos.
Vocês protegem sites com HTTPS?
Sim, de duas formas. Com o seu certificado, terminamos o TLS no nó e olhamos requisição por requisição: floods de requisições, slowloris, bots. Sem certificado, filtramos por conexão e o conteúdo viaja criptografado até você. Se você já tem Cloudflare na frente, liberamos os ranges dela.
E se o meu serviço não estiver na lista de perfis?
Ele entra com o perfil genérico de TCP ou de UDP, com limites por origem e por conexão. Olhando o tráfego real, adicionamos a assinatura do seu protocolo, para que só passe o que tem o formato dele.
Posso ter o PacketZero no meu próprio datacenter?
Sim. Instalamos o appliance PacketZero em linha com os seus links e ele mitiga ali mesmo, com os mesmos perfis e o mesmo painel da rede. Nós operamos e, se um ataque superar o seu link, desviamos para a rede anycast.
Posso revender para os meus clientes?
Sim. Cada cliente seu tem acesso próprio ao portal, onde vê só os IPs, os ataques e as regras dele. Há API para cadastrá-los a partir do seu sistema e um módulo para WHMCS.
O que preciso mudar no meu servidor?
Para um IP nosso, nada. Para o seu próprio prefixo, montamos o anúncio via BGP e a entrega por túnel GRE ou, se você estiver em um dos nossos POPs, por cross-connect ou pelo IX; acompanhamos você na configuração.
E com um ataque muito grande?
Ele é distribuído entre os cinco nós, e cada um barra a sua parte. O mais pesado é barrado na borda da rede antes de chegar aos filtros. No painel você vê quanto chegou e onde foi barrado.
Sempre no filtro ou só quando há ataque?
As duas opções. Sempre ativa: o seu tráfego passa pelo filtro o tempo todo, sem desvio. Sob demanda: detectamos o ataque e desviamos o IP em segundos. Recomendamos de acordo com o seu serviço.
Como contratar?
Você preenche o formulário abaixo com o que quer proteger e enviamos um orçamento. Com a ativação, você recebe acesso ao painel.
Conte o que você quer proteger.
Com esses dados montamos a proposta: o que entra pelo PacketZero, com qual perfil e como devolvemos o tráfego para você. Respondemos por e-mail.