Technika
Zmiana systemu anty-DDoS. Jak przejść na nowe rozwiązanie bez dnia bez ochrony?
Zmiana systemu anty-DDoS kojarzy się z ryzykiem: przerwą w ochronie, podwójnymi kosztami i tygodniami pracy zespołu sieciowego. Większość tych obaw wynika z założenia, że nowy system trzeba włączyć na miejsce starego z dnia na dzień. Tak nie musi być. LiveShield, polski system anty-DDoS dla operatorów ISP i telekomunikacyjnych, może pracować równolegle ze starym rozwiązaniem, na kopii ruchu, aż do chwili, gdy operator sam zdecyduje o przejęciu ochrony. Poniżej wyjaśniamy, jak wygląda taka migracja i czy musi oznaczać podwójne koszty.
Dlaczego operatorzy odkładają zmianę systemu anty-DDoS?
Najczęściej z trzech powodów: boją się okresu bez ochrony, płacenia za dwa systemy naraz i dużego nakładu pracy zespołu sieciowego. Dobrze zaplanowana migracja odpowiada na każdą z tych obaw osobno, bo nie wymaga wyłączenia dotychczasowej ochrony, dopóki nowa nie udowodni skuteczności na realnych incydentach.
Jak wygląda migracja krok po kroku?
Przykładowy plan wygląda poniżej, a każdy operator dostosowuje go do swojej sieci.
- Przygotowanie. Serwer z odpowiednio wydajną kartą sieciową i dostęp przez sieć zarządzającą. Kopia ruchu trafia na port serwera, a obecna ochrona się nie zmienia.
- Praca pasywna. LiveShield wykrywa ataki, ale nie rozgłasza reguł. Zespół NOC porównuje oba systemy i dostraja progi dla pojedynczych adresów i podsieci.
- Stopniowe przejęcie mitygacji. Ochrona przechodzi na LiveShield stopniowo, osobno dla prefiksów lub grup klientów.
- Wyłączenie starego systemu. Dopiero po pełnym przejęciu mitygacji i okresie próbnym na realnych incydentach.
Wdrożenie można przeprowadzić samodzielnie na podstawie dokumentacji albo zlecić zespołowi LiveShield. Pełny opis etapów znajdą Państwo w materiale Migracja na LiveShield z innego systemu anty-DDoS.
Schemat migracji: cztery etapy przejścia na LiveShield przy działającej dotychczasowej ochronie
Czy zmiana systemu oznacza podwójne koszty?
Nie musi. Stary system pracuje do końca obowiązującej umowy jako zabezpieczenie, a wdrożenie równoległe planuje się tak, aby przejęcie mitygacji zbiegło się z końcem tej umowy.
Po stronie LiveShield cena licencji zależy od jednego czynnika: wolumenu ruchu przychodzącego do sieci, wyrażonego w Gb/s. Ruch wychodzący nie podnosi ceny. Każda licencja zawiera pełną funkcjonalność, bez modułów dokupywanych osobno, a liczba serwerów, lokalizacji i routerów nie wpływa na cenę. Zasady opisaliśmy w materiale Jedna licencja na całą sieć.
Co zyskuje operator, który zmienia system?
- Lokalnego dostawcę. Polski system, polski zespół inżynierów i rozmowa o konfiguracji po polsku.
- Szybką reakcję. Analiza ruchu pakiet po pakiecie i reakcja nawet poniżej sekundy od początku ataku.
- Raportowanie KSC w cenie. Dane o incydentach potrzebne do zgłoszeń wchodzą w skład licencji, bez dodatkowego modułu.
W jednym z opisanych na blogu przypadków, przy ataku wielowektorowym o wolumenie 6,5 Gb/s i 700 kpps, LiveShield zareagował w tej samej sekundzie. System porównywany wykrył ten atak po 4 sekundach, a pierwszą regułę nałożył 18 sekund po detekcji LiveShield. Jednego z wektorów nie odfiltrował wcale.
Od czego zacząć zmianę systemu?
Kryteria, które warto sprawdzić przed zmianą systemu, opisaliśmy w materiale Ochrona przed DDoS w sieci operatorskiej – kryteria wyboru. Działanie panelu można obejrzeć w publicznym demo na demo.liveshield.net, a o rozmowę na temat migracji zapytać pod adresem office@liveshield.net.
