Edgium / Proteção DDoS
Proteção DDoS: o ataque se divide pela rede e para na borda
Todos os pontos da rede da Edgium, no Brasil e no exterior, anunciam os mesmos IPs. Um ataque distribuído chega dividido entre eles, cada ponto filtra a sua parte, e o seu servidor recebe só o tráfego de verdade.
Por que uma rede anycast segura um ataque
Num servidor só, o ataque inteiro cai no mesmo lugar. Na rede anycast, cada visitante, e cada máquina de ataque, é levado pelo roteamento ao ponto mais perto. O volume se espalha, e a filtragem acontece antes de chegar a você.
- pedido do visitante
- resposta entregue pela borda
- busca na sua origem
- ataque barrado na borda
Arraste para o lado para ver a animação inteira.
O volume se divide
Cada ponto recebe só a parte do ataque que vem da sua região, e filtra ali. Nenhum servidor seu recebe o volume inteiro.
A origem fica escondida
O IP do seu servidor não aparece no DNS. Quem ataca encontra a rede da Edgium, e a origem pode aceitar só a Edgium e fechar o resto da internet.
Ponto fora, tráfego segue
Se um ponto sai do ar, o BGP leva o tráfego para o seguinte, que tem o mesmo IP. Sem troca de DNS e sem esperar TTL.
O que fica protegido
A proteção DDoS vem junto com cada produto, porque todos rodam na mesma rede. Você escolhe o que colocar atrás da borda.
Site, loja virtual e API
Pela CDN e WAF: o firewall de aplicação web barra injeção de SQL e outros ataques comuns, bloqueia por país, IP, host e user-agent, e desafia robôs e tráfego suspeito antes de chegar à aplicação.
DNS do provedor
Pelo DNS Firewall: subdomínio aleatório, NXDOMAIN em massa, consultas vazias e ANY param na borda, com limites por segundo ajustados para a sua rede.
Zonas DNS
No DNS gerenciado e no DNS Slave: a mesma proteção do DNS Firewall, embutida nas zonas que respondem pela rede anycast.
E-mail, telefonia e banco de dados
Pelo Load Balancer: SMTP, SIP, MySQL e SQL Server passam pela borda em TCP e UDP, sem mostrar o IP dos servidores.
Onde cada tipo de ataque para
| Ataque | Onde para | O que acontece |
|---|---|---|
| Inundação de tráfego | Na borda, dividido entre os pontos | Cada ponto filtra a sua parte, e a origem não recebe o volume |
| Inundação de pedidos HTTP | No WAF | Desafio para robôs e tráfego suspeito, bloqueio por país, IP e user-agent |
| Injeção de SQL e ataques web | No WAF | Regras contra os ataques comuns na web, antes de chegar à aplicação |
| Subdomínio aleatório e NXDOMAIN | No DNS Firewall | Limites próprios por segundo, separados do tráfego normal |
| Consulta ANY (amplificação) | No DNS Firewall | Recusada, e o seu DNS deixa de ser usado contra terceiros |
| Inundação de SYN (TCP) | Na borda | Conexões falsas param antes de chegar ao seu servidor |
| Sequestro e envenenamento de DNS | No DNS gerenciado | DNSSEC e bloqueio de hijacking e poisoning |
| Ataque direto ao IP do servidor | Não chega | O IP da origem fica escondido, e ela pode aceitar só a Edgium |
O que muda para a empresa e para quem acessa
Para a empresa
- Site no ar durante o ataque: o tráfego ruim fica na borda e o bom continua passando.
- Servidor do tamanho certo: a origem não precisa ser dimensionada para o pior dia.
- Entrada sem migração: o DNS continua onde está, e voltar atrás é desfazer um registro.
- Gente acompanhando: quem configura e olha o tráfego com você é a nossa equipe, em português.
Para quem acessa
- Página que abre, mesmo enquanto alguém tenta derrubar o site.
- Resposta de perto, do ponto da rede mais próximo, no Brasil ou no exterior.
- Nada de endereço estranho: o mesmo domínio e o mesmo cadeado de sempre.
Exemplos de uso
Situações comuns e como a Edgium resolve cada uma.
Loja virtual e e-commerce
Black Friday sem página lenta: cache na borda, WAF contra robôs e proteção DDoS no pico.
Ver o exemplo completoProvedor de internet (ISP) e hospedagem
DNS que para de cair: zonas no seu servidor, ataque de subdomínio aleatório barrado na borda.
Ver o exemplo completoTelefonia VoIP e centrais SIP
Central SIP fora da mira: IP escondido, ataque na borda e mais de um servidor atrás.
Ver o exemplo completoPerguntas sobre a proteção DDoS
O que é um ataque DDoS?
É um ataque de negação de serviço distribuído: muitas máquinas, de vários lugares, mandam tráfego ou pedidos ao mesmo tempo para derrubar um site, uma API ou um servidor DNS.
Como a rede anycast ajuda contra DDoS?
Todos os pontos da Edgium, no Brasil e no exterior, anunciam os mesmos IPs. O ataque chega dividido entre eles, cada ponto filtra a sua parte, e nenhum servidor seu recebe o volume inteiro.
Preciso trazer o meu DNS para a Edgium?
Não. O DNS continua onde está. Para proteger um site, você troca só os registros dele para a Edgium, inclusive no domínio raiz, com registros A e AAAA comuns.
Dá para testar a proteção antes de contratar?
Sim. Converse com a gente: a Edgium combina um teste com um subdomínio, uma aplicação ou uma zona, e você acompanha com o seu próprio tráfego antes de levar o resto.
Já estou sob ataque. Vocês conseguem ajudar?
Chame no WhatsApp e conte o domínio, o serviço ou o IP que está sendo atacado. A gente vê com você o caminho mais rápido para colocar o serviço atrás da borda.
Converse com a Edgium e teste a proteção
Conte o que você precisa proteger e se já sofreu ataque. A gente combina um teste com um subdomínio, uma aplicação ou uma zona, e acompanha com você.