Как подобрать систему защиты от DDoS по полосе и числу защищаемых сервисов

Система защиты от распределённых атак подбирается по полосе, которую она способна обработать, и по числу защищаемых сервисов. Обе величины считаются не по скорости канала провайдера, а по тому, что реально проходит через точку установки и что нужно удержать в работе при атаке. Ошибка в расчёте проявляется в момент, когда защита нужна: устройство становится узким местом и роняет трафик само.

Ниже — как считается требуемая полоса, чем различаются линейки AntiDDoS1000 и AntiDDoS8000, как выбирается схема включения и что входит в поставку помимо самого устройства. Позиции собраны в разделе системы защиты от DDoS-атак Huawei.

Как считается требуемая полоса

Для подбора нужны четыре величины, и все четыре снимаются с работающей сети, а не берутся из договора с провайдером.

• Полоса полезного трафика в пиковый час. Это нижняя граница: устройство должно пропускать штатную нагрузку без задержки.
• Полоса канала до провайдера. Определяет верхнюю границу объёма, который физически может прийти на устройство при атаке.
• Число пакетов в секунду в пике. Для устройств фильтрации это более жёсткое ограничение, чем биты в секунду: атака короткими пакетами загружает обработку при небольшой полосе.
• Число одновременных сессий и скорость их установления. Атаки на установление соединений упираются именно в эти показатели.

Расчётная производительность берётся с запасом к полосе канала, а не к полезному трафику: при атаке через устройство проходит и то и другое. Если канал шире, чем способно обработать устройство, часть объёма отсекается выше — на стороне оператора, и это закладывается в схему заранее.

Чем различаются линейки

Граница между линейками проходит не только по полосе. Моноблок берут, когда защищается одна площадка с одним каналом и наращивание не планируется. Шасси берут, когда полоса будет расти, когда каналов несколько или когда нужна обработка с отводом трафика без включения устройства в разрыв.

Как выбирается схема включения

• Включение в разрыв канала. Весь трафик идёт через устройство постоянно. Схема проще в настройке, но отказ устройства разрывает канал, поэтому закладывается обходной путь или пара устройств.
• Обнаружение с отводом трафика. Устройство постоянно анализирует копию трафика, а при обнаружении атаки трафик на атакуемый адрес перенаправляется на обработку и возвращается очищенным. Штатная нагрузка через систему не идёт, и требования к её полосе ниже.
• Двухуровневая схема. Объёмные атаки отсекаются на стороне оператора, точечные — на площадке. Схема применяется, когда полоса атаки заведомо превышает возможности канала.

Выбор схемы влияет на подбор сильнее, чем модель: при отводе трафика устройство подбирается по полосе атакуемого сервиса, при включении в разрыв — по полосе всего канала.

Что входит в поставку помимо устройства

• Лицензии на полосу обработки и на функции анализа. Одно и то же шасси работает на разной полосе в зависимости от приобретённых позиций — программное обеспечение и лицензии для систем защиты от DDoS-атак подбираются вместе с оборудованием.
• Интерфейсные платы и оптические модули под фактическую схему подключения.
• Блоки питания и вентиляторные блоки в резервированном исполнении, а также комплектующие к системам защиты от DDoS-атак для складского запаса.
• Средства управления и отчётности. Без них факт отражённой атаки виден только в журнале устройства.

Где заканчивается задача защиты от объёмных атак

Система фильтрации решает одну задачу — отсекает аномальный объём и аномальные сессии. Остальные задачи закрываются другими устройствами, и их не следует смешивать в одной позиции спецификации.

• Разграничение доступа, контроль приложений и трансляция адресов — это системы сетевой безопасности.
• Обнаружение попыток использования уязвимостей в разрешённом трафике — системы предотвращения вторжений серии NIP 5000.
• Общая схема защиты площадки собирается из нескольких устройств — состав приведён в разделе системы сетевой безопасности и защиты Huawei.

Частые вопросы

Нужно ли брать устройство под полную полосу канала? При включении в разрыв — да, иначе устройство ограничит канал в штатном режиме. При схеме с отводом трафика достаточно полосы, рассчитанной на атакуемый сервис.

Что важнее при подборе — биты в секунду или пакеты в секунду? Обе величины. Атаки короткими пакетами загружают обработку при небольшой полосе, поэтому производительность в пакетах в секунду проверяется отдельно.

Можно ли нарастить полосу без замены оборудования? На шасси — да, добавлением плат и лицензий в пределах возможностей шасси. На моноблоке фиксированной конфигурации наращивание выполняется заменой устройства.

Что делать, если атака шире канала? Фильтрация на площадке в этом случае не помогает: канал уже переполнен. Объём отсекается выше, на стороне оператора, а устройство на площадке обрабатывает то, что до неё доходит.

Что прислать для подбора? Полосу канала и полезного трафика в пике, число пакетов в секунду, число сессий и скорость их установления, перечень защищаемых адресов и сервисов, желаемую схему включения и требования по резервированию.

Что мы делаем

Считаем требуемую полосу и производительность в пакетах по данным вашей сети, подбираем линейку и модель под выбранную схему включения, комплектуем шасси платами и лицензиями на полосу, подбираем оптические модули и складской запас узлов. Позиции — в разделах системы защиты от DDoS-атак Huawei, серия AntiDDoS1000 и серия AntiDDoS8000.

Пришлите полосу канала и перечень защищаемых сервисов на sale@huawei.net.ru — рассчитаем требуемую производительность, подберём модель и лицензии, назовём сроки поставки.