{"id":31057,"date":"2019-10-31T21:39:12","date_gmt":"2019-10-31T18:39:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\/"},"modified":"2019-10-31T21:39:12","modified_gmt":"2019-10-31T18:39:12","slug":"kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","title":{"rendered":"Como controlar sua infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte dois","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><i>Este artigo \u00e9 o quarto de uma s\u00e9rie sobre \"Como controlar sua infraestrutura de rede\". O conte\u00fado de todos os artigos da s\u00e9rie e links podem ser encontrados <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/447008\/\">aqui<\/a><\/noindex><\/i>.<\/p>\n<p>Em <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">primeira parte<\/a><\/noindex> nesta se\u00e7\u00e3o, abordamos alguns aspectos da seguran\u00e7a de rede do segmento \"Data Center\". Esta parte ser\u00e1 dedicada ao segmento \"Acesso \u00e0 Internet\". <\/p>\n<p><img decoding=\"async\" alt=\"Como controlar sua infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte dois\" src=\"\/wp-content\/uploads\/2019\/04\/10b33f9b02e3a7562d9e7cf023cbc197.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h1>Acesso \u00e0 Internet<\/h1>\n<p>\nO tema da seguran\u00e7a \u00e9, sem d\u00favida, um dos mais complexos no mundo das redes de dados. Como nos casos anteriores, sem pretender ser exhaustivo, abordarei aqui quest\u00f5es relativamente simples, mas que, na minha opini\u00e3o, s\u00e3o importantes, cujas respostas espero que ajudem a aumentar o n\u00edvel de seguran\u00e7a da sua rede.<\/p>\n<p>Ao auditar este segmento, preste aten\u00e7\u00e3o nos seguintes aspectos:<\/p>\n<ul>\n<li>design<\/li>\n<li>configura\u00e7\u00f5es BGP <\/li>\n<li>Prote\u00e7\u00e3o contra DOS\/DDOS<\/li>\n<li>filtragem de tr\u00e1fego no firewall<\/li>\n<\/ul>\n<p><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3>Design<\/h3>\n<p>\nComo exemplo de design deste segmento para uma rede empresarial, eu recomendaria <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/dam\/en\/us\/solutions\/collateral\/enterprise\/design-zone-security\/safe-architecture-guide-pin-secure-internet-edge.pdf\">manual<\/a><\/noindex> da Cisco no \u00e2mbito do <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/solutions\/enterprise\/design-zone-security\/landing_safe.html#~tab-architecture\">modelo SAFE<\/a><\/noindex>.<\/p>\n<p>Claro que, talvez, a solu\u00e7\u00e3o de outros fornecedores lhe pare\u00e7a mais atraente (ver <noindex><a rel=\"nofollow\" href=\"https:\/\/researchcenter.paloaltonetworks.com\/2018\/10\/palo-alto-networks-seven-time-gartner-magic-quadrant-leader\/\">quadrante do Gartner de 2018<\/a><\/noindex>), mas, sem convid\u00e1-lo a seguir este design em detalhes, ainda considero \u00fatil compreender os princ\u00edpios e ideias subjacentes.<\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o<\/b><\/p>\n<p>No modelo SAFE, o segmento \"Acesso Remoto\" \u00e9 parte do \"Acesso \u00e0 Internet\". Mas nesta s\u00e9rie de artigos, o abordaremos separadamente.<\/p><\/blockquote>\n<p>O conjunto padr\u00e3o de equipamentos neste segmento para uma rede empresarial \u00e9 composto por <\/p>\n<ul>\n<li>roteadores de borda<\/li>\n<li>firewalls<\/li>\n<\/ul>\n<p><\/p>\n<blockquote><p><b>Observa\u00e7\u00e3o 1<\/b><\/p>\n<p>Nesta s\u00e9rie de artigos, ao falar sobre firewalls, refiro-me a <noindex><a rel=\"nofollow\" href=\"https:\/\/en.wikipedia.org\/wiki\/Next-generation_firewall\">NGFW<\/a><\/noindex>.<\/p><\/blockquote>\n<blockquote><p><b>Observa\u00e7\u00e3o 2<\/b><\/p>\n<p>Deixo de lado a considera\u00e7\u00e3o de diversos tipos de solu\u00e7\u00f5es L2\/L1 ou sobrepostas L2 sobre L3 necess\u00e1rias para garantir a conectividade L1\/L2 e me limito apenas \u00e0s quest\u00f5es de n\u00edvel L3 e acima. Em parte, as quest\u00f5es L1\/L2 foram abordadas no cap\u00edtulo &#171;<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/434750\/\">Limpeza e documenta\u00e7\u00e3o<\/a><\/noindex>&#171;.<\/p><\/blockquote>\n<p> Se voc\u00ea n\u00e3o encontrou um firewall neste segmento, n\u00e3o se apresse em tirar conclus\u00f5es.<\/p>\n<p>Vamos, como na <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">parte anterior<\/a><\/noindex>, come\u00e7ar com a pergunta: \u00e9 necess\u00e1rio usar um firewall neste segmento, no seu caso?<\/p>\n<p>Posso dizer que parece ser o local mais justific\u00e1vel para a utiliza\u00e7\u00e3o de firewalls e para a aplica\u00e7\u00e3o de algoritmos complexos de filtragem de tr\u00e1fego. Na <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">parte 1<\/a><\/noindex> , mencionamos 4 fatores que podem impedir o uso de firewalls no segmento de data center. Mas aqui eles n\u00e3o s\u00e3o t\u00e3o significativos.<\/p>\n<blockquote><p>Exemplo 1. <b>Lat\u00eancia<\/b><\/p>\n<p>Quando se trata de internet, n\u00e3o faz sentido falar em lat\u00eancias at\u00e9 mesmo na ordem de 1 milissegundo. Portanto, a lat\u00eancia neste segmento n\u00e3o pode ser um fator que limita o uso do firewall.<\/p><\/blockquote>\n<blockquote><p>Exemplo 2. <b>Desempenho<\/b><\/p>\n<p>Em alguns casos, esse fator ainda pode ser significativo. Assim, pode ser que voc\u00ea precise desviar parte do tr\u00e1fego (por exemplo, o tr\u00e1fego de balanceadores de carga) ao redor do firewall.<\/p><\/blockquote>\n<blockquote><p>Exemplo 3. <b>Confiabilidade<\/b><\/p>\n<p>Esse fator ainda precisa ser levado em conta, mas, considerando a instabilidade da pr\u00f3pria internet, sua import\u00e2ncia para este segmento n\u00e3o \u00e9 t\u00e3o significativa quanto para o data center. <\/p>\n<p>Suponha que seu servi\u00e7o opere sobre http\/https (com sess\u00f5es curtas). Nesse caso, voc\u00ea pode usar duas m\u00e1quinas independentes (sem HA) e, em caso de problemas com uma delas, redirecionar todo o tr\u00e1fego para a segunda. <\/p>\n<p>Ou voc\u00ea pode usar firewalls em modo transparente e, ao falhar, direcionar o tr\u00e1fego ao redor dos firewalls enquanto o problema \u00e9 resolvido.<\/p><\/blockquote>\n<p> Portanto, \u00e9 mais prov\u00e1vel que apenas <b>o pre\u00e7o<\/b> seja o fator que o levar\u00e1 a abandonar o uso de firewalls neste segmento.<\/p>\n<blockquote><p><b>Importante!<\/b><\/p>\n<p>H\u00e1 uma tenta\u00e7\u00e3o de combinar este firewall com o firewall do data center (usar um \u00fanico firewall para esses segmentos). A solu\u00e7\u00e3o, em princ\u00edpio, \u00e9 poss\u00edvel, mas deve-se entender que, como o firewall de \u2018Acesso \u00e0 Internet\u2019 est\u00e1, de fato, na linha de frente da sua defesa e \u2018recebe\u2019, pelo menos, parte do tr\u00e1fego malicioso, \u00e9 claro que \u00e9 preciso considerar o risco aumentado de que este firewall venha a ser comprometido. Ou seja, usando os mesmos dispositivos em ambos os segmentos, voc\u00ea reduzir\u00e1 significativamente a disponibilidade do seu segmento de data center.<\/p><\/blockquote>\n<p> Como de costume, \u00e9 preciso entender que, dependendo do servi\u00e7o que a empresa fornece, o design deste segmento pode variar bastante. Voc\u00ea pode escolher diferentes abordagens, conforme as demandas. <\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Se voc\u00ea \u00e9 um provedor de conte\u00fado, com uma rede CDN (veja, por exemplo, <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/users\/ramax\/posts\/\">uma s\u00e9rie de artigos<\/a><\/noindex>), voc\u00ea pode n\u00e3o querer criar infraestrutura com dezenas, ou at\u00e9 centenas, de pontos de presen\u00e7a usando dispositivos separados para roteamento e filtragem de tr\u00e1fego. Isso seria caro e pode ser simplesmente excessivo. <\/p>\n<p>Para BGP, n\u00e3o \u00e9 necess\u00e1rio ter roteadores dedicados; voc\u00ea pode usar ferramentas open-source, como <noindex><a rel=\"nofollow\" href=\"https:\/\/www.quagga.net\">Quagga<\/a><\/noindex>. Portanto, o que voc\u00ea pode precisar \u00e9 de um servidor ou v\u00e1rios servidores, um switch e BGP.<\/p>\n<p>Nesse caso, seu servidor ou v\u00e1rios servidores podem atuar n\u00e3o apenas como servidor CDN, mas tamb\u00e9m como roteador. Claro, h\u00e1 muitos detalhes a considerar (como garantir o balanceamento), mas isso \u00e9 vi\u00e1vel, e essa abordagem foi aplicada com sucesso para um de nossos parceiros.<\/p>\n<p>Voc\u00ea pode ter v\u00e1rios data centers com prote\u00e7\u00e3o completa (firewalls, servi\u00e7os de prote\u00e7\u00e3o contra DDoS fornecidos por seus provedores de Internet) e dezenas ou centenas de \u2018pontos de presen\u00e7a simplificados\u2019 apenas com switches L2 e servidores.<\/p>\n<p>E quanto \u00e0 prote\u00e7\u00e3o neste caso?<\/p>\n<p>Vamos analisar, por exemplo, o popular <noindex>ataque de DDoS por Amplifica\u00e7\u00e3o de DNS<\/noindex>. Seu perigo reside no fato de que gera uma grande quantidade de tr\u00e1fego que simplesmente 'sobrecarrega' 100% de suas uplinks. <\/p>\n<p>O que temos em nosso design.<\/p>\n<ul>\n<li>Se voc\u00ea usar AnyCast, o tr\u00e1fego \u00e9 distribu\u00eddo entre seus pontos de presen\u00e7a. Se a largura de banda total for em terabits, isso, por si s\u00f3 (ainda que recentemente tenha havido alguns ataques com tr\u00e1fego malicioso da ordem de um terabit) protege voc\u00ea contra \u2018desbordamento\u2019 de uplinks.<\/li>\n<li>Se, de fato, algum uplink 'estiver congestionado', voc\u00ea simplesmente retira esse local de opera\u00e7\u00e3o (para de anunciar o prefixo).<\/li>\n<li>Voc\u00ea tamb\u00e9m pode aumentar a parte do tr\u00e1fego proveniente de seus data centers 'completos' (e, consequentemente, protegidos), assim removendo uma parte significativa do tr\u00e1fego malicioso dos pontos de presen\u00e7a n\u00e3o protegidos.<\/li>\n<\/ul>\n<p>\nE mais uma pequena observa\u00e7\u00e3o sobre esse exemplo. Se uma quantidade suficiente de tr\u00e1fego for gerenciada atrav\u00e9s de IXs, isso tamb\u00e9m reduz sua vulnerabilidade a tais ataques.<\/p><\/blockquote>\n<h3>Configura\u00e7\u00e3o do BGP.<\/h3>\n<p>\nAqui temos dois t\u00f3picos.<\/p>\n<ul>\n<li>Conectividade<\/li>\n<li>Configura\u00e7\u00e3o do BGP.<\/li>\n<\/ul>\n<p>\nJ\u00e1 falamos um pouco sobre conectividade em <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">parte 1<\/a><\/noindex>. A ess\u00eancia \u00e9 que o tr\u00e1fego para seus clientes siga o caminho mais otimizado. Embora a otimiza\u00e7\u00e3o n\u00e3o seja sempre apenas sobre lat\u00eancia, geralmente, uma baixa lat\u00eancia \u00e9 o principal indicador de otimiza\u00e7\u00e3o. Para algumas empresas, isso \u00e9 mais importante; para outras, menos. Tudo depende do servi\u00e7o que voc\u00ea oferece.<\/p>\n<blockquote><p><b>Exemplo 1<\/b><\/p>\n<p>Se voc\u00ea \u00e9 uma bolsa de valores e seus clientes precisam de intervalos de tempo inferiores a milissegundos, ent\u00e3o, claramente, a internet n\u00e3o pode ser considerada.<\/p><\/blockquote>\n<blockquote><p><b>Exemplo 2<\/b><\/p>\n<p>Se voc\u00ea \u00e9 uma empresa de jogos e dezenas de milissegundos s\u00e3o importantes para voc\u00ea, ent\u00e3o a conectividade \u00e9, sem d\u00favida, muito relevante.<\/p><\/blockquote>\n<blockquote><p><b>Exemplo 3<\/b><\/p>\n<p>Tamb\u00e9m \u00e9 necess\u00e1rio entender que, devido \u00e0s propriedades do protocolo TCP, a velocidade de transmiss\u00e3o de dados em uma sess\u00e3o TCP tamb\u00e9m depende do RTT (Round Trip Time). As redes CDN s\u00e3o constru\u00eddas, em parte, para resolver esse problema, trazendo os servidores de distribui\u00e7\u00e3o de conte\u00fado mais perto do consumidor desse conte\u00fado.<\/p><\/blockquote>\n<p> A pesquisa sobre conectividade \u00e9 uma quest\u00e3o separada e interessante, merecendo um artigo ou uma s\u00e9rie de artigos, e requer uma boa compreens\u00e3o de como a internet \"funciona\".<\/p>\n<p>Recursos \u00fateis:<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/ripe.net\">ripe.net<\/a><\/noindex><br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\">bgp.he.net<\/a><\/noindex><\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Vou fornecer apenas um pequeno exemplo.<\/p>\n<p>Suponha que seu data center esteja em Moscovo, e voc\u00ea tenha um \u00fanico uplink \u2013 Rostelecom (AS12389). Nesse caso (single homed), o BGP n\u00e3o \u00e9 necess\u00e1rio, e como endere\u00e7os p\u00fablicos, voc\u00ea provavelmente usar\u00e1 um bloco de endere\u00e7os do Rostelecom. <\/p>\n<p>Suponha que voc\u00ea ofere\u00e7a um servi\u00e7o e tenha um n\u00famero suficiente de clientes da Ucr\u00e2nia que reclamam de grandes lat\u00eancias. Ao investigar, voc\u00ea descobriu que os endere\u00e7os IP de alguns deles est\u00e3o na rede 37.52.0.0\/21. <\/p>\n<p>Executando um traceroute, voc\u00ea viu que o tr\u00e1fego passava pelo AS1299 (Telia), e ao executar um ping, voc\u00ea obteve um RTT m\u00e9dio de 70 a 80 milissegundos. Voc\u00ea pode ver isso tamb\u00e9m no <noindex><a rel=\"nofollow\" href=\"http:\/\/lg.ip.rt.ru\">looking glass do Rostelecom<\/a><\/noindex>.<\/p>\n<p>Com a ferramenta whois (no site ripe.net ou na ferramenta local), voc\u00ea pode facilmente determinar que o bloco 37.52.0.0\/21 pertence ao AS6849 (Ukrtelecom).<\/p>\n<p>Em seguida, ao acessar <noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\">bgp.he.net<\/a><\/noindex> voc\u00ea ver\u00e1 que o AS6849 n\u00e3o tem rela\u00e7\u00f5es com o AS12389 (eles n\u00e3o s\u00e3o nem clientes, nem uplinks um do outro, e tamb\u00e9m n\u00e3o t\u00eam peering). Mas se voc\u00ea olhar a <noindex><a rel=\"nofollow\" href=\"https:\/\/bgp.he.net\/AS6849#_peers\">lista de peers<\/a><\/noindex> para o AS6849, ver\u00e1, por exemplo, AS29226 (Mastertel) e AS31133 (Megafon). <\/p>\n<p>Ao encontrar o looking glass desses provedores, voc\u00ea pode comparar o caminho e o RTT. Por exemplo, para Mastertel, o RTT ser\u00e1 em torno de 30 milissegundos. <\/p>\n<p>Portanto, se a diferen\u00e7a entre 80 e 30 milissegundos \u00e9 significativa para o seu servi\u00e7o, talvez voc\u00ea precise considerar a conectividade, obter seu n\u00famero AS no RIPE, seu bloco de endere\u00e7os e conectar uplinks adicionais e\/ou criar pontos de presen\u00e7a em IXs.<\/p><\/blockquote>\n<p>\nAo usar BGP, voc\u00ea n\u00e3o apenas melhora a conectividade, mas tamb\u00e9m reserva sua conex\u00e3o com a internet.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.ssi.gouv.fr\/uploads\/2016\/03\/bgp-configuration-best-practices.pdf\">Este documento<\/a><\/noindex> cont\u00e9m recomenda\u00e7\u00f5es para configurar o BGP. Apesar de essas recomenda\u00e7\u00f5es terem sido elaboradas com base nas melhores pr\u00e1ticas dos provedores, elas s\u00e3o, sem d\u00favida, \u00fateis e devem fazer parte do hardening que discutimos em <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/435138\/\">primeira parte<\/a><\/noindex>.<\/p>\n<h3>Prote\u00e7\u00e3o contra DOS\/DDOS<\/h3>\n<p>\nAtualmente, ataques de DOS\/DDOS se tornaram uma realidade cotidiana para muitas empresas. Na verdade, de uma forma ou de outra, voc\u00ea est\u00e1 sendo atacado com bastante frequ\u00eancia. O fato de voc\u00ea ainda n\u00e3o ter notado isso indica apenas que n\u00e3o houve um ataque direcionado contra voc\u00ea at\u00e9 agora, e que os meios de prote\u00e7\u00e3o que voc\u00ea utiliza, mesmo sem saber (como v\u00e1rias prote\u00e7\u00f5es embutidas nos sistemas operacionais), s\u00e3o suficientes para minimizar a degrada\u00e7\u00e3o do servi\u00e7o prestado para voc\u00ea e seus clientes.<\/p>\n<p>Existem recursos na internet que, com base em logs do equipamento, desenham mapas bonitos de ataques em tempo real.<\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.csoonline.com\/article\/3217944\/security\/8-top-cyber-attack-maps-and-how-to-use-them.html\">Aqui<\/a><\/noindex> Voc\u00ea pode encontrar links para eles.<\/p>\n<p>Meu favorito <noindex><a rel=\"nofollow\" href=\"https:\/\/threatmap.checkpoint.com\/ThreatPortal\/livemap.html\">mapa<\/a><\/noindex> da CheckPoint.<\/p>\n<p>A prote\u00e7\u00e3o contra DDOS\/DOS geralmente \u00e9 em camadas. Para entender o porqu\u00ea, \u00e9 necess\u00e1rio saber quais tipos de ataques DOS\/DDOS existem (veja, por exemplo, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.csoonline.com\/article\/3222095\/network-security\/ddos-explained-how-denial-of-service-attacks-are-evolving.html\">aqui <\/a><\/noindex> ou <noindex><a rel=\"nofollow\" href=\"https:\/\/blog.thousandeyes.com\/three-types-ddos-attacks\/\">aqui<\/a><\/noindex>)<\/p>\n<p>Isso significa que temos tr\u00eas tipos de ataques:<\/p>\n<ul>\n<li>ataques volum\u00e9tricos<\/li>\n<li>ataques de protocolo<\/li>\n<li>ataques de aplica\u00e7\u00e3o<\/li>\n<\/ul>\n<p>\nEnquanto voc\u00ea pode se proteger dos \u00faltimos dois tipos de ataques por conta pr\u00f3pria usando, por exemplo, firewalls, voc\u00ea n\u00e3o conseguir\u00e1 se proteger contra ataques que visam \"sobrecargas\" em seus uplinks (a menos que sua capacidade total de canais de internet n\u00e3o seja medida em terabits, e de prefer\u00eancia em dezenas de terabits).<\/p>\n<p>Portanto, a primeira linha de defesa \u00e9 a prote\u00e7\u00e3o contra ataques \"volum\u00e9tricos\", e essa prote\u00e7\u00e3o deve ser fornecida por seu provedor ou provedores. Se voc\u00ea ainda n\u00e3o percebeu isso, \u00e9 porque at\u00e9 agora voc\u00ea teve sorte.<\/p>\n<blockquote><p><b>Exemplo<\/b><\/p>\n<p>Suponha que voc\u00ea tenha v\u00e1rios uplinks, mas apenas um dos provedores pode fornecer essa prote\u00e7\u00e3o. Mas se todo o tr\u00e1fego passar por um \u00fanico provedor, como fica a conectividade que discutimos brevemente anteriormente?<\/p>\n<p>Durante um ataque, voc\u00ea ter\u00e1 que sacrificar parcialmente a conectividade.<\/p>\n<ul>\n<li>isso \u00e9 apenas durante o ataque. Voc\u00ea pode, em caso de ataque, reconfigurar manualmente ou automaticamente o BGP, fazendo com que o tr\u00e1fego seja direcionado apenas atrav\u00e9s do provedor que lhe oferece um \"guarda-chuva\". Ap\u00f3s o t\u00e9rmino do ataque, voc\u00ea pode restaurar o roteamento ao seu estado anterior.<\/li>\n<li>n\u00e3o \u00e9 necess\u00e1rio redirecionar todo o tr\u00e1fego. Se voc\u00ea, por exemplo, perceber que alguns uplinks ou peering n\u00e3o est\u00e3o sob ataque (ou o tr\u00e1fego n\u00e3o \u00e9 significativo), pode continuar a anunciar os prefixos com atributos competitivos para esses vizinhos BGP.<\/li>\n<\/ul>\n<\/blockquote>\n<p>\nVoc\u00ea tamb\u00e9m pode deixar a prote\u00e7\u00e3o contra \"protocol attacks\" e \"application attacks\" para parceiros.<br \/>\nAqui <noindex><a rel=\"nofollow\" href=\"https:\/\/geekflare.com\/ddos-protection-service\/\">aqui<\/a><\/noindex> voc\u00ea pode ler uma boa pesquisa (<noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/company\/hosting-cafe\/blog\/324848\/\">tradu\u00e7\u00e3o<\/a><\/noindex>). Na verdade, o artigo \u00e9 de dois anos atr\u00e1s, mas isso vai lhe dar uma ideia das abordagens que voc\u00ea pode adotar para se proteger contra ataques DDoS.<\/p>\n<p>Basicamente, voc\u00ea pode se limitar a isso, confiando totalmente sua prote\u00e7\u00e3o a uma empresa terceirizada. Essa solu\u00e7\u00e3o tem seus pr\u00f3s, mas tamb\u00e9m um \u00f3bvio contra. A verdade \u00e9 que pode se tratar (novamente, dependendo do que sua empresa faz) da sobreviv\u00eancia do neg\u00f3cio. E confiar essas quest\u00f5es a organiza\u00e7\u00f5es externas...<\/p>\n<p>Portanto, vamos examinar como organizar uma segunda e terceira linha de defesa (como complemento \u00e0 prote\u00e7\u00e3o do provedor).<\/p>\n<p>Assim, a segunda linha de defesa consiste em filtragem e limitadores de tr\u00e1fego (policers) na entrada da sua rede. <\/p>\n<blockquote><p><b>Exemplo 1<\/b><\/p>\n<p>Suponha que voc\u00ea tenha \"se protegido com um guarda-chuva\" contra DDoS com a ajuda de um dos provedores. Suponha que esse provedor utilize Arbor para filtrar o tr\u00e1fego e filtros na borda de sua rede. <\/p>\n<p>A largura de banda que o Arbor pode \"processar\" \u00e9 limitada e o provedor, naturalmente, n\u00e3o pode constantemente passar o tr\u00e1fego de todos os seus parceiros que contrataram esse servi\u00e7o atrav\u00e9s do equipamento de filtragem. Assim, em condi\u00e7\u00f5es normais, o tr\u00e1fego n\u00e3o \u00e9 filtrado.<\/p>\n<p>Suponha que esteja ocorrendo um ataque de SYN flood. Mesmo que voc\u00ea tenha contratado um servi\u00e7o que, em caso de ataque, redireciona automaticamente o tr\u00e1fego para filtragem, isso n\u00e3o acontece instantaneamente. Durante um minuto ou mais, voc\u00ea permanece sob ataque. E isso pode levar \u00e0 falha do seu equipamento ou degrada\u00e7\u00e3o do servi\u00e7o. Nesse caso, a limita\u00e7\u00e3o de tr\u00e1fego no roteador de borda, embora impe\u00e7a que algumas sess\u00f5es TCP sejam estabelecidas durante esse tempo, salvar\u00e1 sua infraestrutura de problemas maiores.<\/p><\/blockquote>\n<blockquote><p><b>Exemplo 2<\/b><\/p>\n<p>Um volume anormal de pacotes SYN pode n\u00e3o ser apenas resultado de um ataque de SYN flood. Vamos supor que voc\u00ea ofere\u00e7a um servi\u00e7o em que pode ter cerca de 100 mil conex\u00f5es TCP simult\u00e2neas (em um \u00fanico data center).<\/p>\n<p>Suponha que, devido a um problema tempor\u00e1rio com um de seus principais provedores, metade das sess\u00f5es tenha sido \u201cderrubada\u201d. Se o seu aplicativo estiver configurado de forma que, \"sem pensar\", imediatamente (ou ap\u00f3s um determinado intervalo de tempo uniforme para todas as sess\u00f5es) tenta restabelecer a conex\u00e3o, voc\u00ea receber\u00e1 aproximadamente ao mesmo tempo pelo menos 50 mil pacotes SYN. <\/p>\n<p>Se, sobre essas sess\u00f5es, por exemplo, deve funcionar um handshake ssl\/tls, que implica na troca de certificados, ent\u00e3o, do ponto de vista do esgotamento de recursos para o seu balanceador de carga, isso ser\u00e1 um \"DDOS\" muito mais forte do que um simples SYN flood. A princ\u00edpio, os balanceadores deveriam lidar com tal evento, mas\u2026 infelizmente, enfrentamos esse problema de forma contundente.<\/p>\n<p>E, claro, um policer no roteador de borda salvar\u00e1 seu equipamento nesse caso.<\/p><\/blockquote>\n<p>O terceiro n\u00edvel de prote\u00e7\u00e3o contra DDOS\/DOS s\u00e3o as configura\u00e7\u00f5es do seu firewall.<\/p>\n<p>Aqui voc\u00ea pode conter ataques do segundo e do terceiro tipo. Em geral, tudo o que chegar ao firewall poder\u00e1 ser filtrado aqui. <\/p>\n<blockquote><p><b>Conselho<\/b><\/p>\n<p>Tente dar ao firewall o m\u00ednimo trabalho poss\u00edvel, filtrando o m\u00e1ximo que puder nas duas primeiras linhas de defesa. E \u00e9 por isso.<\/p>\n<p>J\u00e1 aconteceu de voc\u00ea, ao gerar tr\u00e1fego para testar, por exemplo, qu\u00e3o resistente \u00e9 o sistema operacional dos seus servidores a ataques DDOS, acabar \u2018matando\u2019 seu firewall ao sobrecarreg\u00e1-lo 100% com tr\u00e1fego de intensidade normal? Se n\u00e3o, talvez seja porque voc\u00ea ainda n\u00e3o tentou?<\/p>\n<p>Em geral, o firewall, como eu j\u00e1 disse, \u00e9 uma tecnologia complexa e funciona bem com vulnerabilidades conhecidas e solu\u00e7\u00f5es testadas. No entanto, se voc\u00ea enviar algo incomum, como um lixo qualquer ou pacotes com cabe\u00e7alhos incorretos, h\u00e1 uma chance consider\u00e1vel (com base na minha experi\u00eancia) de que ele possa confundir equipamentos de alta performance. Portanto, na etapa 2, use listas de controle de acesso (ACLs) comuns (nos n\u00edveis L3\/L4) para permitir apenas o tr\u00e1fego que deveria entrar na sua rede.<\/p><\/blockquote>\n<h3>Filtragem de tr\u00e1fego no firewall<\/h3>\n<p>\nVamos continuar a conversa sobre o firewall. \u00c9 importante entender que ataques DOS\/DDOS s\u00e3o apenas uma das v\u00e1rias formas de ataques cibern\u00e9ticos. <\/p>\n<p>Al\u00e9m da prote\u00e7\u00e3o contra DOS\/DDOS, podemos ter algo semelhante \u00e0 seguinte lista de funcionalidades:<\/p>\n<ul>\n<li>firewall de aplicativo<\/li>\n<li>preven\u00e7\u00e3o de amea\u00e7as (antiv\u00edrus, anti-spyware e vulnerabilidades)<\/li>\n<li>filtragem de URL<\/li>\n<li>filtragem de dados (filtragem de conte\u00fado)<\/li>\n<li>bloqueio de arquivos (bloqueio de tipos de arquivo)<\/li>\n<\/ul>\n<p>\nVoc\u00ea decide o que precisa dessa lista.<\/p>\n<p><i>Continua<\/i><br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/436230\/\">habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb. \u0421\u043e\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0432\u0441\u0435\u0445 \u0441\u0442\u0430\u0442\u0435\u0439 \u0446\u0438\u043a\u043b\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0439\u0442\u0438 \u0437\u0434\u0435\u0441\u044c. \u0412 \u043f\u0435\u0440\u0432\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u044d\u0442\u043e\u0439 \u0433\u043b\u0430\u0432\u044b \u043c\u044b \u0440\u0430\u0441\u0441\u043c\u043e\u0442\u0440\u0435\u043b\u0438 \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0430\u0441\u043f\u0435\u043a\u0442\u044b \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0430 \u00abData Center\u00bb. \u042d\u0442\u0430 \u0447\u0430\u0441\u0442\u044c \u0431\u0443\u0434\u0435\u0442 \u043f\u043e\u0441\u0432\u044f\u0449\u0435\u043d\u0430 \u00abInternet Access\u00bb \u0441\u0435\u0433\u043c\u0435\u043d\u0442\u0443. Internet access \u0422\u0435\u043c\u0430 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043d\u0435\u0441\u043e\u043c\u043d\u0435\u043d\u043d\u043e \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u043e\u0439 \u0438\u0437 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u0441\u043b\u043e\u0436\u043d\u044b\u0445 \u0442\u0435\u043c [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":23032,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-31057","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0432\u0442\u043e\u0440\u0430\u044f | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2019-10-31T18:39:12+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Como controlar a infraestrutura de rede. Cap\u00edtulo tr\u00eas. Seguran\u00e7a de rede. Parte dois | ProHoster","description":"Este artigo \u00e9 o quarto de uma s\u00e9rie de artigos \"Como controlar a infraestrutura de rede\".","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c. \u0413\u043b\u0430\u0432\u0430 \u0442\u0440\u0435\u0442\u044c\u044f. \u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c. \u0427\u0430\u0441\u0442\u044c \u0432\u0442\u043e\u0440\u0430\u044f | ProHoster","og:description":"\u042d\u0442\u0430 \u0441\u0442\u0430\u0442\u044c\u044f \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0442\u0432\u0435\u0440\u0442\u043e\u0439 \u0432 \u0446\u0438\u043a\u043b\u0435 \u0441\u0442\u0430\u0442\u0435\u0439 \u00ab\u041a\u0430\u043a \u0432\u0437\u044f\u0442\u044c \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043f\u043e\u0434 \u0441\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u044c\u00bb.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-vzyat-setevuyu-infrastrukturu-pod-svoj-kontrol-glava-tretya-setevaya-bezopasnost-chast-vtoraya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:39:12+00:00","article:modified_time":"2019-10-31T18:39:12+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"31057","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 04:19:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 03:24:14","updated":"2026-01-21 04:19:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31057","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=31057"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/31057\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/23032"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=31057"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=31057"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=31057"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}