Kiedy i w jakiej wersji
Formularz dostajesz przy wdrożeniu ochrony, po polsku albo po angielsku, w jednej z trzech wersji: dla operatora dostępowego, hostingu albo firmy. Sekcje 1–5 są wspólne, sekcja 6 dotyczy rodzaju sieci. Formularz niczego w umowie nie zmienia: przy różnicy rozstrzyga Zamówienie.
Nazwę firmy i numer umowy wpisujemy w formularz sami. Pola oznaczone gwiazdką są wymagane, a ruch podajesz w Mb/s i w pakietach na sekundę. Wypełniony formularz odsyłasz do NOC. Kontakt do NOC podaje umowa.
O co formularz nie pyta
Te dane bierzemy z umowy, z Zamówienia, z pomiarów na naszym routerze i z panelu.
| Dane | Skąd je mamy |
|---|---|
| Dane firmy i osoba reprezentująca | Z umowy |
| Numer AS i AS-SET | Z Zamówienia |
| Lista prefiksów | Z Twoich ogłoszeń BGP i obiektów route w bazach RIR. Panel pokazuje ją z wynikiem weryfikacji każdego prefiksu |
| Styk i przepustowość portu | Z Zamówienia |
| Taryfa i okres umowy | Z Zamówienia |
| Ruch na porcie w obu kierunkach, jego szczyt i 95. percentyl | Z pomiaru na naszym routerze. Panel rysuje je na pulpicie |
| Wartości progów wykrywania | Ustalamy je my. Widzisz je i zmieniasz w panelu |
| Adresy powiadomień | Ustawiasz je w panelu |
Sekcje wspólne
| Sekcja | O co pyta | Po co |
|---|---|---|
| 1. Kto wypełnia | Osoba odpowiedzialna, numer telefonu na czas ataku i zgoda na telefon w nocy i w weekend. Bez tej zgody kontaktujemy się wtedy tylko e-mailem | Żeby w czasie ataku było z kim uzgodnić decyzje |
| 2. Co stoi pod którym adresem | Usługi i porty pod adresami i zakresami, adresy krytyczne, adresy, których nic dziś nie używa, i ruch, który Twoja sieć wytrzyma, zanim zacznie zwalniać | Żeby ochrona nie odrzucała ruchu Twoich usług |
| 3. Co wolno nam zrobić z ruchem | Ruch, który wolno odrzucić bez zaglądania w połączenie: porty spoza sekcji 2, protokoły inne niż TCP, UDP i ICMP, ping i traceroute, ograniczenie regionalne. Czy cały ruch do Ciebie i od Ciebie idzie przez nas, połączenia, których nie wolno zrywać, i źródła wielu połączeń naraz. Dwie decyzje na atak przekraczający Wielkość Infrastruktury, opisane niżej | Żeby filtrowanie w trakcie ataku nie odrzucało ruchu, którego potrzebujesz |
| 4. Ruch normalny, który wygląda jak atak | Adresy, na których ruch prawidłowy bywa wyższy niż domyślne progi wykrywania, adresy przyjmujące dużo ruchu UDP, serwery odpowiadające każdemu w Internecie, dotychczasowe ataki i to, co wtedy przestało działać, regularne skoki ruchu: co, kiedy i ile | Żeby zwykły ruch nie był zgłaszany jako atak |
| 5. Czego nie wolno ruszyć | Źródła ruchu, których nie wolno odrzucać: monitoring, biuro, partner ze stałym połączeniem. Planowane testy obciążeniowe i testy bezpieczeństwa: kiedy, kto je wykonuje i z jakich adresów | Żeby ruch tych źródeł nie był odrzucany, a NOC wiedział o teście i jego źródłach |
Sekcja 4 podaje to, czego żaden nasz pomiar nie dostarczy: adresy, które na co dzień przekraczają ustalane przez nas progi wykrywania. Progi wykrywania i ruch prawidłowy ponad nimi
Decyzje przy ataku przekraczającym Wielkość Infrastruktury
Sekcja 3 kończy się dwoma pytaniami o atak, który przekracza Wielkość Infrastruktury, czyli największy wolumen ruchu ataku, jaki nasza infrastruktura jest w stanie przyjąć i przetworzyć łącznie dla wszystkich klientów.
| Pytanie | Możliwe odpowiedzi |
|---|---|
| Przy dużym ataku działać od razu czy najpierw dzwonić | „działajcie od razu” albo „najpierw telefon” |
| Czy przy ataku większym niż nasza pojemność wolno odciąć ruch do atakowanego adresu | „tak”, „tak, ale najpierw telefon” albo „nie” |
Odcięcie ruchu do atakowanego adresu to RTBH: adres przestaje być osiągalny także dla ruchu prawidłowego. Warunki, w których możemy je zastosować, określa umowa. Granice ochrony
Operator dostępowy
W wersji dla operatora dostępowego sekcja 6 nazywa się „Sieć abonencka” i ma cztery części.
| Część | O co pyta | Po co |
|---|---|---|
| 6.1. Wspólne adresy publiczne (CGNAT) | Czy abonenci wychodzą do Internetu wspólnymi adresami, które to adresy, ilu abonentów przypada na jeden adres średnio i najwięcej, ile ruchu ma jeden adres normalnie i w szczycie, które adresy dostaje jeden abonent na wyłączność | Jeden adres publiczny niesie ruch wielu abonentów, a próg wykrywania dotyczy każdego adresu osobno |
| 6.2. Urządzenie kończące sesje abonentów (BRAS, BNG) | Producent i model, ile ruchu i ile sesji wytrzymuje, jego adresy widoczne z Internetu | Przeciążenie tego urządzenia dotyka wszystkich abonentów, których sesje kończy |
| 6.3. Serwery dla abonentów | Adresy serwerów DNS i NTP, poczty, portalu i panelu abonenta oraz hotspotu, a przy DNS i NTP także to, czy korzystają z nich tylko abonenci, czy każdy w Internecie | Serwery DNS i NTP odpowiadają wielu klientom naraz i przyjmują dużo ruchu UDP |
| 6.4. Cache operatorskie | Czy masz u siebie cache dostawców treści i jakie mają adresy | Cache przyjmują duży ruch przychodzący |
Hosting
W wersji dla hostingu sekcja 6 „Hosting i serwery” pyta o usługi i adresy, a jej dwie części o serwery gier i usługi za CDN.
| Część | O co pyta | Po co |
|---|---|---|
| Usługi i adresy | Rodzaje usług: hosting współdzielony, VPS, serwery dedykowane, kolokacja, serwery gier, streaming. Czy na jednym adresie działa wielu klientów i czy klient może uruchomić dowolną usługę na dowolnym porcie | Atak na jedną stronę uderza we wszystkich klientów jej adresu, a przy dowolnych portach lista usług z sekcji 2 nie jest pełna |
| Ataki | Najczęściej atakowane adresy i usługi, co jest ważniejsze przy ataku na jednego klienta: utrzymać jego usługę czy chronić resztę serwerów, i czy sam odcinasz atakowanego klienta | Żeby kolejność działań była ustalona, zanim atak się zacznie |
| 6.1. Serwery gier | Gra, porty, liczba serwerów i pakiety na sekundę na serwer, normalnie i w szczycie | Gracze wysyłają dużo małych pakietów UDP, więc ruch prawidłowy serwera gier przypomina zalew UDP |
| 6.2. CDN przed usługami | Czy przed usługami stoi CDN albo WAF, adresy serwerów za CDN i czy przyjmują one ruch wyłącznie z adresów CDN | Atak wprost na adres serwera za CDN omija CDN i przychodzi do Twojej sieci przez naszą |
Firma
W wersji dla firmy sekcja 6 „Sieć firmowa” dotyczy pracowników zdalnych, partnerów i klientów, którzy łączą się z Twoją siecią.
| Część | O co pyta | Po co |
|---|---|---|
| Serwery VPN | Adresy serwerów VPN | Pracownicy zdalni łączą się z nimi z całego Internetu, często przez IPsec albo GRE, o które pyta też sekcja 3 |
| Stałe połączenia | Adresy partnerów, systemów płatności i EDI | Przerwa w takim połączeniu zatrzymuje płatności i wymianę dokumentów |
| Kraje | Skąd łączą się pracownicy zdalni, z podziałem na kraje i sieci komórkowe, i z jakich krajów oczekujesz ruchu klientów | Od tej odpowiedzi zależy, które kraje wolno ograniczyć, gdy zgodzisz się na ograniczenie regionalne w sekcji 3 |
| Usługi przez przeglądarkę | Czy klienci łączą się przez przeglądarkę: sklep, portal, poczta webowa | Takie adresy przyjmują ruch HTTPS od klientów z całego Internetu |
Wdrożenie ochrony wchodzi w skład tranzytu IP i nie ma osobnej opłaty.
Wdrożenie ochrony