Обновление продуктовой линейки защиты от DDOS Arbor Networks

Cisco
Connect
Москва, 2017
Цифровизация:
здесь и сейчас

Обновление
продуктовой линейки
защиты от
DDOS Arbor Networks.
Чухарев Алексей
Системный Инженер Arbor Networks
© 2017 Cisco and/or its affiliates. All rights reserved.

DDoS Атаки
Arbor SP
Arbor SP Insight
Arbor TMS
Arbor APS
Arbor + Cisco vDDOS
Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 3

DDoS Атаки

Виды DDoS-атак
Атаки на полосу
• Перегружают каналы
• 10-500 Gpbs
Атаки на TCP/UDP стек
• Перегружают устройства с таблицей
сессий (load balancers, firewalls,
application servers)
• Редко более 10-20 Gbps, но много Mpps
Атаки на приложение
• Незаметные атаки, < 1Gbps, но много запросов в секунду
• Не наносят вреда сетевой инфраструктуре
• Перегружают приложения
ISP 2
ISP 1
ISP n
ISP
Firewall IPS
Load
Balancer
Application

Как Атакуют
https://urldefense.proofpoint.com/v2/url?u=https-3A__pages.arbornetworks.com_rs_082-
2DKNA-2D087_images_12th-5FWorldwide-5FInfrastructure-5FSecurity-5FReport.pdf&d=DwMF-
g&c=Hlvprqonr5LuCN9TN65xNw&r=ewTf2hH-
SVAour30qylnRQIbgNcx9BYZpCXFWVj96gY&m=vdlbrKIuPgIqqeoSCE1rL2tDJQCt3Yp9fdF19irgrE4&
s=IpvnHNyqncxum2_CUTczYPJlqsqR-HZSeUl8dVBWyUY&e=
Arbor Worldwide Infrastructure Security Report 2017

Кто атакует?
Все, что подключено к IP и имеет (потенциально уязвимое) ПО:

Arbor SP

Задачи Визуализации
• Какой трафик в моей сети?
• Как он меняется со временем?
• Где узкие места в моей сети?
• Где нужно нарастить емкость
каналов?
• Какова загрузка моих ресурсов?
• Как мне спланировать
маршрутизацию?
• К какому оператору лучше
подключиться?
• Как растет IPv6 трафик в моей
сети?
• Есть ли у меня IPv6 туннели?
How much
traffic?Where is it
coming from?
Where is it
going?
What is the
busiest time?
What is the
IPv6 use?
Which interfaces
are most used?
How much
usage per peer?
Top customer
use?
Which
applications?

Готовые отчеты : 350+

SP
SP-7000
• До 200 kfps (flow per second)
• 100 источников информации (роутеров)
на SP
• 5000 роутеров на всю сеть
• 200,000 интерфейсов мониторинга
• 1Гб/c и 10Гб/c интерфейсы на ”борту”
• AC/DC
• 2 RU
SP виртуальная машина
Возможно совместное использование аппаратных и виртуализированных продуктов
• Производительность зависит от аппаратной
части

Архитектура решения
Графический интерфейс / API
• Контроль количества одновременных сессий WEB UI
• API удобный инструмент мониторинга и экспорта
информации
• Визуализация трафика, проходящего через
Peering/Transit/Backbone, выявление аномалий и угроз
• Возможность мониторинга трафика клиентов на границе
сети (Edge)
Маршрутизаторы Core/Edge
Архитектура Решения
•Гибкая система лицензирования
• Поддержка VM, включая HA
• Лидер является центральным узлом управления для
других SP
Объекты мониторинга
• Гибкая настройка правил и порогов срабатывания для
мониторинговых объектов
Provider B
Provider A
Customer Edge
Managed
Service
Customers
User Interface (Users)
Collectors (Edge)
Central Console for
Licensing, Visibility &
Threat Management
Collector (Core)
Collector
(Core/Leader)
Virtual
Collectors
(Core/Edge)
Масштабирование
• 5000 маршрутизаторов
• 200.000 интерфейсов
• 20M flow/per second
Arbor SP
Managed
Objects
(MOs)
Data Center
Peering/Transit Edge
Backbone

Arbor SP Insight

SP : Хранение Данных
Период Гранулярность Срок хранения
Сегодня 5 Минут 14 Дней
Вчера 5 Минут 14 Дней
2 Дня 5 Минут 14 Дней
1 Неделя 30 Минут 8 Недель
4 Недели 120 Минут 6 Месяцев
52 Недели 24 Часа 3 Года
• Максимальный срок хранения 3 года
• Гранулярность меняется со временем
• RAW данные хранятся 4 дня

Что такое Insight?
• Дополнительный модуль
для SP на основе BIG-DATA
технологий, создает
“фотографическую память”
вашей сети
• Расширяет SP новыми
возможностями
• Обеспечивает хранение
больших массивов данных и
аналитики
• Доступ к отчетам через SP
WEB UI
Big-Data
Аналитика
Визуализация
Более взвешенное
принятие решений
Расширяет и насыщает существующие SP инсталляции.

SP Insight : Интеграция с SP
SP Insight
SP
SP Leader
“Классический ” SP запрос
Аннотированные данные
Запрос SP Insight
SPSP SP
Storage System
Netflow Data
• Интеграция с SP
• Расследования инцидентов в
любой исторический момент
времени
• 100+ ПетаБайт raw flows

Arbor TMS

Возможности по очистке без TMS
Blackhole Routing
• Блокировка всего трафика с Destination IP жертвы
• Для уменьшения вреда инфраструктуре и другим
пользователям
Source-base Remotely Triggered Black Hole (S/RTBH)
• Блокировка всего трафика с определенными Source IP
• Может пригодится при атаках без IP спуфинга
Flow Spec фильтрация
• Создание «динамических ACL» на границе сети
• Блокировка или ограничение (policing)

Как работает SP/TMS
Peering
Point
Core
Router
PE
Enterprise A
Enterprise B
TMS
Arbor Peakflow
1– Сбор данных по
BGP/Flow/SNMP
PE
Peering
Point
Core Router
Enterprise C
2 – Анализ трафика, пиринговых
взаимоотношений, детектирование DDoS

Как работает SP/TMS
Peering
Point
Core
Router
PE
Enterprise A
Enterprise B
TMS
Arbor Peakflow
PE
Peering
Point
Core Router
ACL
ACL
2 – Атака на полосу: ACL, BGP FlowSpec
1 – Детектирование Аномалии
3 – Атака на TCP/UDP/приложение: перенаправить на TMS
4 – Фильтрация
зловредного трафик
5 – Отправка легитимного
трафик к получателю:
GRE, MPLS, …
Enterprise C

TMS контрмеры
Защита приложений HTTP
• Блокировка некорректных пакетов
• Ограничения запросов HTTP
• Очистка по регулярным
выражениям
• Контексты для защиты HTTP
• Списки фильтров URL
• Проверка стека клиентов
Защита сервисов VoIP
• Блокировка некорректных пакетов
• Ограничение запросов SIP
Защита от SSL атак
• Некорректные пакеты
• SSL re-negotiation
• Медленные SSL сессии
• SSL сессии без полезных данных
Защита DNS
• Очистка по регулярным
выражениям
• Проверка стека клиентов
• Ограничение запросов DNS
• Защита от Cache Poisoning
• Пакетное детектирование DNS атак
• Списки фильтров DNS
• Контексты для защиты DNS
Защита на уровне IP
• Проверка пакетов (TCP / UDP / ICMP)
• Сброс большого количества сессий TCP
• Сброс медленных TCP сессий
• Сброс быстрых («нагруженных»)
TCP/UDP сессий
• Черные и белые загружаемые списки
• Блокировка зомби

Обзор платформ TMS
TMS 2800
• 10 – 40 Gbps
• 30 Mpps~
• Интерфейсы 1/10
Gbps
• 2 RU
HD 1000
• 20 – 160 Gbps
• 110 Mpps+
• 2 RU
Централизованный центр очистки, Большие
Backbone/Transit узлы
Распределенный центр очистки,
Backbone/Transit узлы
ЦОД, Сети Доступа, PE Edge
TMS 2300
• 1.5Gbps – 10 Gbps
• 10 Mpps~
• Интерфейсы 1/10
Gbps
• 2 RU
TMS 5000
• 20 – 100 Gbps
• 10 – 40 Mpps
• 6 RU
• 100Gb Интерфейс
До 10 Gbps 10 - 40 Gbps До 160 Gbps

TMS HD 1000
Функционал TMS HD 1000
Размер 2 RU
Слоты
1 модуль управления (Management Module)
8 Дата модулей (Packet Processing Module)
Возможности фильтрации
1 PPM : 20Гбит/c, 14 Мппс
8 PPM : 160 Гбит/с, 110 Мппс
Сетевые интерфейсы
8 x 10GE SFP+
2 x QSFP - > 8 x10GE с breakout кабелями
Питание AC/DC с резервированием
Максимальное кол-во в одной инсталляции 100 (TMS HD1000), 16Tбит/c
Поддержка
100G
интерфейса
Q417

Arbor APS

Arbor APS
“Out-of-the-box” защита
Моментальная реакция на угрозы и
атаки, полный контроль над сетью
Блокировка комплексных DDOS-атак
Блокировка атак, нацеленных на
приложения и TCP/UDP стек
Постоянное обновление данных об
угрозах через AIF
Позволяет динамично реагировать и
блокировать новые источники угроз,
например узлы управления ботнет сетями
Cloud Signaling
Предотвращение атака на полосу за
счет кооперации с UPSTREAM
Легко инсталлировать и управлять
Установка на входе в сеть (перед FW)
Минимальная начальная конфигурация

Облачная сигнализация
Сервис по защите от
DDoS на основе Arbor
Peakflow SP / TMS
Arbor APS
СетьЦОД
Firewall / IPS / WAF
Публичныесервера
Сеть доступа Сеть доступа
Оператор связи
1. Сервис нормально работает
2. Начинается атака. APS успешно очищает трафик
3. Атака загружает канал связи (последнюю милю)
4. Запускается облачная сигнализация
5. Клиент полностью защищен!
Статус облачной сигнализации
Перегрузка
Перегрузка

Обзор платформ ARBOR APS
Функционал / Платформа APS 2600 APS 2800
Возможность фильтрации До 20 Гбит/c До 40 Гбит/c
Гранулярность
100/500 Мбит/c,
1/2/5/10 Гбит/c
10 Гбит/c
Питание AC/DC резерв. AC/DC резерв.
Интерфейсы
SM, MM, Copper
1/10 Гбит/c
SM, MM, Copper
1/10 Гбит/c
Bypass Аппаратный Аппаратный
Расшифровка SSL HSM модуль HSM модуль

Система лицензирования
Сервер лицензий
Пул
лицензий:
10 Gbps
vAPS
Цент очистки DDOS
на основе SP/TMS
Peakflow SP/TMS
ЦОД
User1
vAPS
User2
vAPS
100M Лицензия 1G Лицензия
500M Лицензия
Лицензируется емкость, а не
количество VM.

Arbor + Cisco vDDOS

История
• 2000: Cisco инвестирует в Arbor
• 2006: Cisco Guard + Arbor Peakflow в качестве детектора атак
• 2009: После объявления End of Sale решения Cisco Guard рекомендованным решением для
миграции становится Arbor Peakflow SP/TMS
• 2015: Запуск совместного решения vDDoS
Arbor Networks
Threat Management System (TMS)
ASR 9000 with
Virtual Services Module (VSM)
Cisco ASR 9000
vDDoS Protection
“Powered By Arbor Networks”

Решение ASR9000 vDDOS
Peers &
Transit
Providers
SP or
DataCenter
Firewall IPS
Clients
Arbor Virtual SP
running on
Cisco UCS
[DDoS Detection]
Arbor Networks TMS
running on VSM
[DDoS Mitigation]
Cisco ASR
9000 Router
Telemetry

Требования
Аппаратная часть:
• Шасси : 9006, 9010, 9904, 9910, 9912, 9922
• Линейные карты: Typhoon and Tomahawk
• RSP: RSP440, RSP880, RSP440-lite
• Virtualized Services Module
ПО:
• IOS-XR release : 5.3.0
• Arbor TMS/SP : 7.0.1
OS / Hypervisor
VMM
VM
ArbOS

Основные преимущества
• Законченное решение
• Детектирование атаки: Arbor Networks SP на серверах UCS
• Очистка атаки: vDDoS Protection на модуле VSM
• Масштабирование до 60 Gbps (в планах 80G) на VSM, до 4 модулей VSM на ASR9K
• Выгрузка черных списков (blacklist offloading) для фильтрации на терабитных
скоростях
• Пониженный OpEx: не нужно дополнительное место для RU, питание, охлаждение,
трансиверы и порты на маршрутизаторе.
• Можно фильтровать трафик на входе в сеть сразу на граничном узле.
• Предоставление сервисов по защите от DDoS для клиентов.
• Полностью совместимо с решением от Arbor. Возможно смешивать компоненты в
одной системе.

Как это работает?
Клиентскиесервисы
vSP
ASR9K
FlowSpec
FlowSpec
2 – DDoS на полосу: Blackhole, BGP FlowSpec
1 – Отчеты по трафику и аномалиям
3 –DDoS на приложение: redirect в VSM
4 – Очистка L4-L7 в VSM
5 – Отправка трафика клиенту
ASR9K
BGP,SNMP, FLOW
BGP, SNMP, FLOW

Вопросы?

#CiscoConnectRu#CiscoConnectRu
Спасибо за внимание!
Оцените данную сессию в мобильном приложении
конференции
© 2017 Cisco and/or its affiliates. All rights reserved.
Контакты:
Тел.: +7 495 9611410
www.cisco.com
www.facebook.com/CiscoRu
www.vk.com/cisco
www.instagram.com/ciscoru
www.youtube.com/user/CiscoRussiaMedia

Обновление продуктовой линейки защиты от DDOS Arbor Networks

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Similar a Обновление продуктовой линейки защиты от DDOS Arbor Networks

Similar a Обновление продуктовой линейки защиты от DDOS Arbor Networks (20)

Más de Cisco Russia

Más de Cisco Russia (20)

Обновление продуктовой линейки защиты от DDOS Arbor Networks