1. Архитектура ЦОТ: решения уровня оператора связи и компании-специалиста Александр Лямин <la@highloadlab.com>, Муслим Меджлумов <m.medzhlumov@rtcomm.ru >

4. Продолжительность – больше месяца

5. Цель - все подсети ЮТК

6. Результат – затопление внешних каналов

7. РТКомм принимал непосредственное участие в отражении

8. NetFlow не использовался – не было картины происходящегоИтог: Операторы связи задумались о защите собственной сетевой инфраструктуры от DDoSатак.

9. Решение: логическая схема

10. Описание архитектура Первый эшелон – система фильтрации трафика промышленного класса wirespeedфильтрация атакна сетевом уровне (SYN flood, UDP flood, ICMP flood) wirespeedфильтрация по RegExpна уровне приложений (HTTP, DNS, SIP) Второй эшелон – система предотвращения вторжений (IPS) Выявление атак на раннем этапе Защита приложения от эксплуатации уязвимостей Третий эшелон – собственная разработка Частотный анализ Дерево переходов

11. Архитектура: функциональные блоки Application DDoS & Intrusion Activities Чистый трафик Network & Application DDoS & Intrusion Activities 3-ий эшелон 2-ой эшелон 1-ый эшелон Application DDoS

12. Сеть РТКомм

13. Подключение Direct connect (BGP, static) Collocation или Dedicated Server в ДЦ РТКомм www.oblacom.ru – облачный хостинг на базе платформы Parallels Размещение защищаемого ресурса на серверах любого хостера подключенного к сети РТКомм и выдающего IP адреса из адресного пространства РТКомм (eServer, Jino, Majordomo и т.д.) DNS анонс

14. Масштабируемость Увеличение пропускной способности внешних каналов Установка дополнительных устройств очисткина новые каналы Увеличение количества node в Proxy/NAT кластере

15. История. 2008 – идея 2009 – открытый тест в ЦииТ МГУ 2010 – Qrator Networks

16. Зачем? Быстрое обучение фильтров. Анализируем семантику протоколов. Не изменяем user experience. Легко и быстро масштабируемся. Интеграция с приложением.

17. Как ? Весь стек - собственные разработки. Развитой классификатор. Моделирование. Qrator API. Дополнительные возможности ;-)

18. Узел фильтрации

19. Сеть фильтрации.

20. Сеть фильтрации.

21. Другая сеть фильтрации.

22. Подключение BGP анонс DNS анонс (emergency proxy) Тunnel(GRE/IPIP/MPLS VPN)

23. Масштабируемость. (ПРОСТО) Добавлением узлов.

24. Чем защищаем ? Собственные разработки VS Решения от вендоров

25. Cобственные разработки vs решения от вендоров Промышленные решения операторского класса отлично подходят для защиты сети, но не достаточны для защиты приложений: Arbor Peakflow SP + TMS RadwareDefensePro МФИ СОФТ «Периметр» Cisco Guard Плюсы: Мониторинг огромного числа защищаемых объектов Анализ и очистка трафика на 10+ Gbit/sскоростях Минусы: Отсутствие анализа поведения пользователей на прикладном уровне в исторической перспективе.

26. Как строимся? Cеть оператора VS Специализированная сеть

27. Mitsubishi или BMW ? Специализация vs интеграция

28. Способы подключения и оперативность Административные мероприятия Технические мероприятия Скорость обучения фильтров

29. Что защищаем ? Защита Сети VS Защита Приложения

30. SLA и ценовая политика.

31. SLA и ценовая политика * объект – это IP адрес или подсеть L1 – время реакции 15 минут; время реализации параметров фильтрации р.в. 2 часа, ост. время 4 часа L2 – время реакции р.в. - 15 минут, ост. время - 2 часа; время реализации параметров фильтрации р.в. 4 часа, ост. время 8 часа

32. Статистика 1.01 – 01.09.2011

33. Разбиение по дням

34. Вопросы ? «А все на своем конкретном месте должны каждый день, как святой Франциск, мотыжить свой участок» В.В. Путин