INTEGRITY Документация

← Справочные архитектуры / reference-architecture / diagrams / network

Защита сетей интернет-провайдеров и телекоммуникационных компаний от DDoS-атак

Введение

Провайдеры интернета (ISP) и телекоммуникационные компании (например, T-Mobile или British Telecom) уязвимы для сетевых DDoS-атак, которые часто нацелены на конечного клиента, например на компанию или удалённого сотрудника, подключённого к интернету через провайдера широкополосного доступа. Исторически для защиты таких клиентов провайдеры полагались на собственные локальные системы противодействия атакам. Такой подход требует значительных инвестиций для эффективной борьбы с постоянно развивающимися атаками, а мощность таких систем ограничена на фоне роста масштабов атак.

Cloudflare хорошо известна сервисами защиты от DDoS-атак для публичных сайтов и API, и те же технологии можно применять для защиты сетей целиком. В Cloudflare у нас есть наблюдался резкий рост гипер-объёмных ↗ и особо сложных атак, как показано в нашем ежеквартальном Отчёты о DDoS-атаках ↗. Из-за огромного объема такие атаки способны перегрузить и обойти локальные системы защиты от DDoS. В результате эти локальные системы требуют постоянного обслуживания и обновления, чтобы противостоять более крупным атакам, что ведет к постоянным инвестициям и, учитывая непредсказуемый масштаб атак, к неограниченным расходам.

Cloudflare Magic Transit предлагает облачную защиту от сетевых DDoS атак как услугу. Поставщики услуг используют Cloudflare Magic Transit on-demand, будь то в качестве дополнения или замены существующей настройки, чтобы защитить свою сетевую инфраструктуру от этой развивающейся угрозы.

Защита сетей сервис-провайдеров от атак

Развертывание этого решения состоит из двух основных этапов. Во-первых, настройка Cloudflare для монитор ↗ и обнаруживать DDoS атаки в сети. Затем, при выявлении DDoS события, трафик перенаправляется через Cloudflare, где выполняется его смягчение.

Рисунок 1: общее решение для управления доступом пользователей к конфиденциальным данным и их обнаружения.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

Первый шаг: получить видимость атак, направленных на сеть поставщика услуг. На диаграмме выше показано:

  1. Cloudflare получает сведения о сетях, которые нужно защитить. Провайдер услуг указывает префиксы (например, 203.0.113.0/24), которые требуется защитить, и один раз подключает их к сервису Cloudflare Magic Transit; это обязательный подготовительный шаг, который не влияет на реальный поток трафика в сети. Cloudflare рекомендует подключать более узкие префиксы, чем те, что провайдер анонсирует в интернете. Так, если в этом примере к Cloudflare подключен защищаемый префикс 203.0.113.0/24, то менее специфичный префикс 203.0.112.0/23, охватывающий оба префикса 112.0/24 и 113.0/24, можно анонсировать вышестоящему интернет-провайдеру.
  2. Сетевые устройства поставщика услуг отправляют все данные о трафике (Netflow, IPFIX или sFlow) в Сетевой поток (ранее Magic Network Monitoring). Cloudflare анализирует эти данные о потоках, чтобы выявлять DDoS атаки.
  3. По возможности Cloudflare рекомендует подключаться к сети Cloudflare, настроив резервные Cloudflare Network Interconnect (CNI) в наших Точки взаимного подключения ↗, это позволяет соблюдать ограничение максимального размера передаваемого блока (MTU) в 1500 байт для маршрутизируемого пользовательского трафика. Также можно подключиться к сети Cloudflare с помощью Туннели Generic Routing Encapsulation (GRE) через интернет.
  4. В мирное время трафик идёт как обычно между сетью интернет-провайдера и его вышестоящими транзитными и пиринговыми сетями, минуя сеть Cloudflare.
Рисунок 1: общее решение для управления доступом пользователей к конфиденциальным данным и их обнаружения.

Примечание: подписи на этом изображении могут отражать предыдущее название продукта.

На приведённой выше диаграмме показано, как Cloudflare отслеживает трафик поставщика услуг и при обнаружении вероятной волюметрической DDoS-атаки автоматически анонсирует в интернет наиболее специфичный защищённый префикс из глобальной сети Cloudflare. Благодаря этому весь трафик к этому защищённому префиксу перенаправляется через сеть Cloudflare, где вредоносный трафик нейтрализуется.

  1. При обнаружении возможной объёмной DDoS-атаки Cloudflare автоматически создаёт оповещение. Поставщики услуг могут получать уведомления об оповещениях по электронной почте и (или) через webhook. Кроме того, оповещение может запускать автоматическое анонсирование префиксов из сети Cloudflare в интернет в соответствии с настройками Magic Transit, заданными провайдером услуг.
  2. Cloudflare анонсирует защищённый префикс со всех точек присутствия Cloudflare. Поскольку Cloudflare анонсирует более специфичный префикс, через сеть Cloudflare перенаправляется только трафик, предназначенный для атакуемого префикса.
  3. Сеть Cloudflare отражает атакующий трафик и пропускает легитимный трафик в сеть провайдера услуг. Провайдеры услуг получают исходные пакеты с MTU 1500 байт при использовании Cloudflare Network Interconnect (CNI).
  4. Исходящий трафик защищённого префикса, как и трафик других префиксов, не затрагивается и продолжает маршрутизироваться в Интернет через вышестоящие каналы провайдера услуг.
  5. Приватный пиринг с доверенными сетями не затрагивается, поэтому трафик от таких контент-провайдеров, как Facebook, Netflix и YouTube, не будет перенаправляться через Cloudflare.