Arbor TMS

Arbor TMS How does this work ?Guillaume LESUR - 20120208 – gle @ intrinsec.com

Whoami• Guillaume Lesur, Architecte réseau @Intrinsec – Brocade, Cisco, Juniper, F5, Forti, … – Telco : définition de l’infrastructure et capacity planning – Objectif : que les paquets passent. – Apple addicted (irrelevant) – Ces slides sont personnels • Un challenge : – Nouveau client qui arrive, et on sait qu’il va manger bon. – L’hébergeur précédent a jeté l’éponge à moultes reprises – Gros challenge sécurité du service , et c’est notre fond de commerce !

Objectifs• Supprimer le trafic indésirable avant qu’il arrive sur notre infrastructure• Ne pas surcharger nos interconnexions Internet (et pas payer pour les paquets …)• Garder le service rendu à notre client hébergé (et infogéré) actif !

Principe• Détecter les paquets illégitimes et les détruire• Les paquets illégitimes restent chez l’opérateur – Equipement hébergé par l’opérateur et branché à son backbone – Le boitier annonce le bloc d’IP qu’on protège et intercepte donc le trafic « IN » – Le trafic « OUT » du bloc d’IP part directement sur Internet sans être inspecté.• Equipement géré et hébergé par l’opérateur mais … – On fait la configuration en lien avec l’application – Nous sommes maîtres du fonctionnement du boitier ! – Certaines fonctionnalités nécessitent tout de même un ingé de l’opérateur…

Comment ça se passe sans ? MAL !

Comment ça se passe sans ?Plusieurs Gigabits de paquets poubelles sont générés par les attaquants et vous arrivent dessus ! - Soit des gros paquets UDP avec un payload useless - Soit des petites initiations de session TCP pour remplir les tables de session desserveurs, loadbalancers et firewalls.

Comment ça se passe sans ?Du coup vous saturez votre infrastructure …  - Les interconnexions opérateurs se remplissent pour rien, et vous payez les paquets en plus !- Les Firewalls, LoadBalancers, Serveurs, certains peut être mutualisés, tournent à plein régimepour rien …- Et voilà, vous n’êtes plus capable de rendre le service…

Comment ça se passe avec ? MIEUX!

Comment ça se passe avec ?Le trafic poubelle est détecté et renvoyé vers l’Arbor par le réseau opérateur. Le Arbor sélectionne le vrai trafic et le renvoie vers le client !

Résultat :• L’opérateur garde chez lui les paquets indésirables – Si le DDOS continue, il peut le filtrer en bordure de son réseau ( flowspec par exemple) – Ne pas encombrer notre infrastructure pour rien – Eviter les impacts sur d’autre clients• Notre infrastructure est soulagée – Elle n’entend pas parler des paquets poubelles des attaquants… Elle ne reçoit que le trafic légitime. – On ne paie pas les paquets indésirables sur nos transits, ils ne saturent pas, on rend le service pour tout nos clients.

Limites :• La mitigation arrête le gros de l’attaque, cependant … – Dans certains cas, certaines connexions passent tout de même – Il faut tuner votre production et gérer très précisément les services web et le loadbalancing pour encaisser le pic de charge – Il faut que l’opérateur soit très réactif pour assister sur certaines configurations du boitier que vous ne pouvez pas faire seul – Il FAUT l’accès au SOC (Security Operation Center) d’Arbor, assuré par l’intermédiaire de l’opérateur• Attention au filtrage trop poussé ! – Il faut maîtriser totalement son applicatif pour vérifier les impacts subis par le service du client, et adapter les tests de sécurité au cas particulier du client – Il est suicidaire d’activer les tests sans cycle projet et sans contrôle de votre équipe de production.

Références• Arbor Networks : http://www.arbornetworks.com• Un infogérant/hosteur qui sait gérer le service  : – Intrinsec : http://www.intrinsec.com• Des opérateurs qui savent vous vendre ce service : – NeoTelecoms (IP Defender) : http://www.neotelecoms.com – Colt Telecoms (IP Guardian ) : http://www.colt.net – Jaguar Network : http://www.jaguar-network.com/

Arbor TMS

by Guillaume Lesur on Feb 08, 2012

Accessibility

Categories

Tags

Upload Details

Usage Rights

2 Embeds 168

Statistics

Arbor TMS — Presentation Transcript

http://guillaume.lesur.net	165
http://www.typepad.com	3