INTEGRITY Dokumentace

← Referenční architektury / reference-architecture / diagrams / network

Ochrana sítí ISP a telekomunikačních operátorů před útoky DDoS

Úvod

Poskytovatelé internetových služeb (ISP) a telekomunikační společnosti (například T-Mobile nebo British Telecom) jsou zranitelní vůči síťovým útokům DDoS, které se často zaměřují na koncového zákazníka, například na firmu nebo vzdáleného pracovníka připojeného k internetu přes širokopásmového poskytovatele internetových služeb. Poskytovatelé služeb tyto zákazníky historicky chránili pomocí vlastních mitigačních systémů provozovaných on-premise. Tento přístup vyžaduje značné investice, aby dokázal účinně čelit neustále se vyvíjejícím útokům, přičemž kapacita je konečná tváří v tvář rostoucí velikosti útoků.

Cloudflare je known svými službami pro zmírňování DDoS útoků, které chrání veřejné weby a API, a stejné technologie lze využít i k ochraně celých sítí. V Cloudflare máme zaznamenal nárůst hyper-volumetrických ↗ a vysoce sofistikovaných útoků, jak ukazuje naše čtvrtletní Přehledy útoků DDoS ↗. Tyto útoky mohou svým objemem přemoci a obejít on-premises systémy pro zmírňování útoků DDoS. Tyto systémy pak vyžadují neustálou údržbu a upgrady, aby udržely krok s většími útoky, což vede k trvalým investicím a kvůli nepředvídatelné velikosti útoků i k neomezeným nákladům.

Cloudflare Magic Transit nabízí cloudové zmírňování síťových útoků DDoS jako službu. Poskytovatelé služeb používají Cloudflare Magic Transit on-demand, ať už jako doplňkové řešení, nebo jako náhradu stávajícího nastavení, a ochránit tak svou síťovou infrastrukturu před touto vyvíjející se hrozbou.

Ochrana sítí poskytovatelů služeb před útoky

Nasazení tohoto řešení sestává ze dvou hlavních kroků. Prvním je nastavení Cloudflare tak, aby monitor ↗ a detekovat útoky DDoS v síti. Jakmile dojde k detekci útoku DDoS, provoz se přesměruje přes Cloudflare, kde probíhá jeho zmírnění.

Obrázek 1: Celkové řešení kontroly uživatelského přístupu k citlivým datům a jejich zjišťování.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

Prvním krokem je získat přehled o útocích probíhajících proti síti poskytovatele služeb. Diagram výše ukazuje:

  1. Cloudflare je informován o sítích, které mají být chráněny. Poskytovatelé služeb identifikují prefixy (např. 203.0.113.0/24), které chtějí chránit, a zahájí jednorázový úkol onboardingu těchto prefixů do služby Cloudflare Magic Transit. Tento krok je nezbytnou podmínkou a neovlivňuje samotný tok síťového provozu. Cloudflare doporučuje onboardovat konkrétnější prefixy, než jaké poskytovatelé služeb inzerují na internetu. V tomto příkladu, pokud je chráněným prefixem onboardovaným do Cloudflare 203.0.113.0/24, lze méně konkrétní prefix 203.0.112.0/23, který zahrnuje prefixy 112.0/24 i 113.0/24, inzerovat vašemu upstream ISP.
  2. Síťová zařízení poskytovatele služeb odesílají veškerá data o toku provozu (Netflow, IPFIX nebo sFlow) do Network Flow (dříve Magic Network Monitoring). Cloudflare tato data o tocích analyzuje, aby odhalil útoky DDoS.
  3. Cloudflare doporučuje, pokud je to možné, připojit se k síti Cloudflare nastavením redundantních Cloudflare Network Interconnect (CNI) v našich Propojovací lokality ↗, díky tomu lze u směrovaného uživatelského provozu dodržet maximální přenosovou jednotku (MTU) 1 500 bajtů. Alternativně se můžete k síti Cloudflare připojit pomocí Tunely Generic Routing Encapsulation (GRE) přes internet.
  4. V mírovém režimu provoz plyne standardně mezi sítí ISP a jejich navazujícími tranzitními a peeringovými sítěmi, aniž by procházel sítí Cloudflare.
Obrázek 1: Celkové řešení kontroly uživatelského přístupu k citlivým datům a jejich zjišťování.

Poznámka: popisky na tomto obrázku mohou odpovídat dřívějšímu názvu produktu.

Výše uvedený diagram ukazuje, jak Cloudflare monitoruje provoz poskytovatele služeb a při detekci možného objemového útoku DDoS automaticky inzeruje z globální sítě Cloudflare do internetu nejkonkrétnější chráněný prefix. Veškerý provoz směřující na tento chráněný prefix je tak přesměrován přes síť Cloudflare, kde dochází ke zmírnění škodlivého provozu.

  1. Jakmile Cloudflare zjistí možný objemový útok DDoS, automaticky vygeneruje upozornění. Poskytovatelé služeb mohou tato upozornění dostávat e-mailem nebo prostřednictvím webhooku. Upozornění navíc může spustit automatické oznamování prefixů ze sítě Cloudflare na internet, podle konfigurace Magic Transit nastavené poskytovatelem služby.
  2. Cloudflare inzeruje chráněný prefix ze všech svých points of presence. Protože Cloudflare inzeruje specifičtější prefix, přes síť Cloudflare se přesměruje pouze provoz určený pro napadený prefix.
  3. Síť Cloudflare zmírňuje útočný provoz, zatímco legitimní provoz propouští do sítě poskytovatele služeb. Poskytovatelé služeb dostávají původní pakety s MTU 1500 bajtů, pokud používají Cloudflare Network Interconnect (CNI).
  4. Odchozí provoz chráněného prefixu, stejně jako provoz ostatních prefixů, zůstává nedotčen a nadále se směruje do internetu přes upstream linky poskytovatele služeb.
  5. Privátní peering s důvěryhodnými sítěmi zůstává nedotčený a provoz od těchto poskytovatelů obsahu (například Facebook, Netflix, YouTube) se přes Cloudflare nepřesměrovává.