Thunder TPS (Threat Protection System) — самое высокопроизводительное в мире решение для защиты от DDoS-атак, лидирующее в отрасли по точности, интеллектуальной автоматизации операций, масштабируемости и производительности.

Эффективная защита от многовекторных DDoS-атак

Обеспечение доступности бизнес-сервисов требует от организаций пересмотра того, как строить масштабируемую систему защиты от DDoS-атак, способную отличать злоумышленников от легитимных пользователей. Новые векторы угроз изменили масштаб, интенсивность работы и сложность опций, доступных атакующим. Новые атаки эволюционировали: теперь они реализуются посредством наборов инструментов DDoS, зараженных устройств IoT, онлайновых DDoS-сервисов и других средств. Устоявшиеся защитные решения, использующие неэффективную основанную на сигнатурах функциональность IPS или только ограничение скорости трафика, больше не отвечают требованиям по безопасности.

Thunder TPS масштабируется для защиты от атак DDoS of Things, выполняемых с использованием устройств IoT, и DDoS-атак, реализуемых с использованием традиционных ботнетов. Продукты Thunder TPS обнаруживают DDoS-атаки посредством анализа пакетов или записей о потоках, получаемых от граничных маршрутизаторов и коммутаторов. В отличие от устаревших средств защиты от DDoS-атак, в защитных решениях на базе продуктов компании A10 Networks используются возможности обнаружения атак, имеющиеся в ключевых сетевых элементах, включая выпускаемые компанией A10 устройства Thunder ADC, CGN и CFW. Эти возможности обеспечивают контекст и контроль трафика на уровне пакетов, нужные для отражения сегодняшних сложных атак. Устройства с возможностями обнаружения атак в составе решения One-DDoS Protection работают с системой управления A10 Networks aGalaxy Centralized Management System и устройством Thunder TPS для централизованного противодействия атаке, что позволяет быстро добиться устойчивости к DDoS-атакам ценою небольших затрат.

Когда интенсивность атаки превышает пропускную способность Интернет-подключения организации, трафик может быть перенаправлен в сервис A10 DDoS Protection Cloud service для отражения массированных атак.

Служба поддержки в компании A10, включая A10 DSIRT (DDoS Security Incident Response Team), доступна в режиме 24 × 7 × 365. Специалисты службы помогут заказчику разобраться в происходящем, среагировать на DDoS-инцидент и организовать очистку трафика в облаке. Служба A10 Threat Intelligence Service использует глобальное знание для проактивного пресечения действий злоумышленников.

Полезность

Поддержка доступности сервисов

Вынужденный простой в работе сетевых сервисов незамедлительно приводит к снижению производительности и потере доходов любого предприятия. Продукты Thunder TPS гарантируют доступность сервисов, автоматически выявляя аномальный трафик и подавляя многовекторные DDoS-атаки.

Отражение все более интенсивных атак

Продукты Thunder TPS используются для защиты крупнейших сетевых сред, к надежности и безопасности которых предъявляются повышенные требования. Продукты Thunder TPS передают нагрузку по отражению основных видов атак специализированным устройствам, чтобы их мощные многоядерные процессоры отличали трафик легитимных пользователей от трафика атакующих ботнетов и сложных атак на прикладном уровне, для отражения которых нужно выполнять ресурсоемкую функцию глубокого анализа пакетов (DPI).

Масштабируемая защита

Старшие модели физических устройств Thunder TPS имеют аппаратный ускоритель SPE (Security and Policy Engine), использующий технологию FTA (Flexible Traffic Acceleration) на базе FPGA и другие аппаратно-оптимизированные функции обработки пакетов для аппаратной защиты от DDoS-атак, а также для масштабируемого распространения потоков.

Простота и гибкость управления

Ни одна организация не имеет неограниченного количества обученного персонала или ресурсов в ходе DDoS-атак. Thunder TPS поддерживает пять уровней эскалации и деэскалации программного отражения атак для каждой защищаемой зоны. Это избавляет персонал от необходимости вручную вносить трудоемкие изменения в стратегии защиты и сокращает время реакции на атаки. У администраторов есть возможность вручную вмешиваться и координировать действия службы A10 DSIRT на любой стадии атаки.

Сокращение расходов

Продукты Thunder TPS очень эффективны. Их высокая производительность и небольшие габаритные размеры позволяют снизить текущие расходы за счет эффективного использования стоечного пространства, значительного уменьшения энергопотребления и снижения требований к охлаждению.

Примеры использования

Проактивный режим (асимметричный и симметричный)

Проактивный режим обеспечивает непрерывное обнаружение атак и их быстрое подавление. Этот режим более всего походит для сред с трафиком реального времени, в которых крайне важно обеспечить должный уровень пользовательского опыта, а также для защиты от атак на прикладном уровне. Устройства Thunder TPS поддерживают включение в сетевой канал с выполнением функций уровня 2 или 3. A10 DDoS Protection Cloud обеспечивает защиту от массированных атак, интенсивность которых превышает пропускную способность Интернет-подключения организации.

Реактивный режим

В крупномасштабных сетях предпочтительнее использовать отражение атак по требованию, инициируемое вручную или системами анализа потоков. Продукт Thunder TPS интегрируется в любую сетевую конфигурацию с протоколом BGP и другими протоколами маршрутизации. Это устраняет необходимость в дополнительных маршрутизаторах для перенаправления и возврата трафика. Компания A10 Networks сотрудничает с лучшими в отрасли производителями средств мониторинга и обнаружения DDoS-атак для обеспечения дополнительной гибкости в реализации лучших в своем классе решений с учетом уникальных бизнес-потребностей каждого заказчика. Партнерские компании по обнаружению атак используют имеющиеся в Thunder TPS открытые интерфейсы RESTful API (XAPI и aGAPI) для создания тесно интегрированных мониторинговых решений с функциями контроля трафика, обнаружения атак и генерации отчетов.

Реактивная инсталляция с Thunder TPS Detector

Thunder TPS Detector доступен в виде отдельного устройства или в составе aGalaxy 5000. Этот обнаружитель DDoS-атак на базе потоков поддерживает тесное взаимодействие с системой управления aGalaxy и продуктами Thunder TPS для реализации полных реактивных решений по защите от DDoS-атак.

Распределенное обнаружение с помощью решения One-DDoS Protection

Решение One-DDoS Protection обеспечивает полную защиту от DDoS-атак, используя возможности их обнаружения в продуктах Thunder ADC, CGN и CFW компании A10 Networks. Эти возможности обеспечивают контекст и контроль трафика на уровне пакетов, нужные для отражения сегодняшних сложных атак. Распределенные по сети обнаружители атак, входящие в состав решения One-DDoS Protection, работают с системой управления aGalaxy и устройством Thunder TPS для централизованного противодействия атаке, что позволяет быстро добиться устойчивости к DDoS-атакам ценою небольших затрат.

Режим out-of-band

Этот режим используется в тех случаях, когда требуется только обнаружение DDoS-атак (без их подавления).

Полная защита от DDoS-атак для доступности сервисов

Продукты Thunder TPS обнаруживают и подавляют различные DDoS-атаки, даже если сеть подвергается множеству атак одновременно.

Комплексное решение

На базе устройств Thunder TPS может быть реализовано комплексное решение для защиты от DDoS-атак в проактивном или реактивном режиме (в первом из режимов трафик постоянно поступает на устройство Thunder TPS, а во втором режиме трафик подается на Thunder TPS только в случае DDoS-атаки — работа устройства по требованию) для соответствия бизнес-задачам заказчика. Устройство Thunder TPS может быть установлено в канал передачи трафика с функциональностью уровня 2 или 3 и полной поддержкой IPv4 и IPv6. В реактивном режиме обнаружение DDoS-атак обеспечивается путем сбора и анализа записей о потоках, экспортируемых маршрутизаторами и коммутаторами. Обнаружитель Thunder TPS применяет постоянное адаптивное обучение для создания профилей мирного времени для защищаемых серверов и сервисов на основе 17 индикаторов потоков трафика с целью выявления аномального поведения трафика. При обнаружении атаки система управления aGalaxy дает команду Thunder TPS инициировать перенаправление маршрута BGP для подозрительного трафика. Затем Thunder TPS применяет соответствующие меры противодействия, используя метод постепенного повышения уровня автоматического подавления атак, чтобы доставлять очищенный трафик в место назначения.

Защита от многовекторных атак

Обеспечиваются обнаружение и отражение DDoS-атак множества типов, включая массированные и протокольные атаки, атаки на ресурсы, а также атаки на прикладном уровне и атаки на базе IoT. Аппаратное ускорение разгружает центральные процессоры и делает продукт Thunder TPS особенно эффективным в борьбе с одновременными многовекторными атаками.

Гибридная защита от DDoS-атак

Продукт Thunder TPS, установленный на территории заказчика, взаимодействует с сервисом A10 DDoS Protection Cloud service для обеспечения полной защиты от атак любых типов. Работа данного сервиса поддерживается специально построенными расположенными по всему миру центрами очистки, которые масштабируются для отражения крупнейших известных объемных DDoS-атак, и все эти центры управляются подразделением A10 DSIRT.

Zero-Day Automated Protection (ZAP)

Используя алгоритм машинного обучения и эвристический поведенческий анализ, модуль ZAP автоматически распознает характеристики DDoS-атак и применяет фильтры для их подавления без предварительной настройки. Это ускоряет реакцию на все более сложные многовекторные атаки, сводя к минимуму время простоя и количество ошибок, а также снижая эксплуатационные расходы.

Режим Non-stop DNS (authoritative DNS-кэш)

Продукт Thunder TPS может быть сконфигурирован как authoritative DNS-кэш, что активирует в Thunder TPS режим Non-stop DNS для кэширования наиболее востребованных записей DNS и ответа на запросы со скоростью до 70 миллионов запросов в секунду. Режим Non-stop DNS может быть использован в сочетании с имеющимися в Thunder TPS возможностями защиты от DDoS-атак для реализации высоконадежного DNS-сервиса.

Информация об источниках DDoS-атак

Предоставление агрегированной и коррелированной информации об источниках DDoS-атак, получаемой из более чем 40 авторитетных информационных источников, включено в поддержку. Благодаря этому, продукты Thunder TPS могут моментально распознавать и блокировать трафик, поступающий из известных вредоносных источников и передаваемый этим источникам. Данный сервис содержит миллионы актуальных IP-адресов источников DDoS-атак, регулярно используемых для проведения атак типа reflected amplification и атак на базе ботнетов IoT.

Решение One-DDoS Protection с распределенным обнаружением атак

Данное решение реализует самый свежий подход к обеспечению полной защиты от DDoS-атак, используя возможности их обнаружения на ключевых элементах сети, распложенных ближе к целевым элементам инфраструктуры. Это обеспечивает контекст и контроль трафика на уровне пакетов, нужные для отражения сегодняшних сложных атак.

Продукты Thunder ADC, CGN и CFW со встроенными обнаружителями DDoS-атак работают с устройством Thunder TPS, которое на базе потоков обнаруживает атаки на границе сети и осуществляет централизованную очистку трафика, для обеспечения максимальной устойчивости к DDoS-атакам.

Высокие производительность и эффективность для соответствия растущим масштабам атак

На базе Thunder TPS можно реализовать решения для защиты организаций от атак интенсивностью до 380 Гбит/с (или до 3 Тбит/с при использовании синхронизированного кластера).

Высокопроизводительное защитное решение

Старшие модели физических устройств Thunder TPS поддерживают высокопроизводительную технологию FTA, основанную на FPGA, для быстрого обнаружения и подавления до 60 распространенных векторов атак в оборудовании без использования центральных процессоров. Устройства Thunder TPS контролируют возникновение аномалий в работе протоколов и передаче пакетов, старшие модели этих устройств способны блокировать сотни миллионов пакетов в секунду.

Модель Thunder 7655 TPS, имеющая пропускную способность 380 Гбит/с и блокирующая 500 миллионов пакетов в секунду

Thunder TPS обеспечивают высокоточное управление скоростью передачи трафика со 100-миллисекундными интервалами. Улучшенное виртуальное устройство vThunder TPS, работающее на гипервизоре KVM, обеспечивает пропускную способность 100 Гбит/с; ее можно увеличить до 800 Гбит/с посредством восьмиузловой кластеризации.

Одновременная защита множества объектов

Для защиты сетей, приложений и сервисов Thunder TPS может одновременно подавлять атаки в 3000 зонах, в каждой из которых действуют свои правила политики защиты и содержатся тысячи хостов, подсетей, сервисов. Столь значительный масштаб одновременного подавления атак помогает организациям реализовывать детальный контроль защищаемых объектов и создавать прибыльные сервисы очистки легитимного трафика от трафика DDoS-атак.

Подавление сложных атак

Продукты Thunder TPS отслеживают более 27 трафиковых и поведенческих индикаторов и способны точно отличать атакующих злоумышленников от легитимных пользователей для надлежащей обработки до 256 миллионов контролируемых сессий одновременно.

Сложные атаки на прикладном уровне (например, на сервисы, использующие протокол HTTP или DNS) подавляются параллельной обработкой большим числом процессорных ядер для сохранения высокой производительности и масштабируемости системы даже при многовекторных атаках.

Большие списки угроз

Восемь списков (до 16 миллионов записей в каждом) могут быть заданы для использования информации из таких источников, как A10 DDoS Weapons Intelligence Service, в дополнение к динамически генерируемым записям черных и белых списков.

Полный контроль и интеллектуальная автоматизация для адаптивной защиты

Для операторов сетей крайне важно, чтобы решение для отражения DDoS-атак легко интегрировалось во многие сетевые архитектуры.

Эффективная интеллектуальная автоматизация

Организациям может не хватать людских или временных ресурсов для выполнения операций вручную. Компания A10 обеспечивает лучшие в отрасли интеллектуальные возможности автоматизации на базе машинного обучения в течение всего жизненного цикла системы защиты.

Операторы указывают сети, которые нужно защищать, а продукты A10 делают все остальное сами, основываясь на заданных оператором параметрах политики, включая перенаправление трафика, начало подавления атак и применение фильтров по образцам атак. Когда атака заканчивается, сеть и средства защиты возвращаются в мирное состояние, и генерируются отчеты для последующего анализа.

Простота интеграции в сети

При многочисленных вариантах функционирования и гибкости развертывания устройства Thunder TPS интегрируются в любые сетевые архитектуры, включая MPLS, любого масштаба. А благодаря наличию aXAPI (полностью программируемого RESTful API компании A10), Thunder TPS легко интегрируются в решения для обнаружения атак, выпускаемые другими фирмами, и в рабочие потоки agile SecOps.

С использованием открытых стандартов, таких как BGP Blackhole и Flowspec, имеющиеся в Thunder TPS возможности подавления атак легко интегрируются с любым решением по отражению атак. Открытые API и стандарты организации сетей обеспечивают тесную интеграцию с другими устройствами, включая другие защитные продукты и SDN-контроллеры.

Эффективное управление

Устройства Thunder TPS имеют интерфейс командной строки (CLI), графический пользовательский интерфейс (GUI) и поддерживают систему управления aGalaxy. С помощью CLI опытные операторы могут легко диагностировать эти устройства и отлаживать их работу. GUI прост в использовании и имеет базовые возможности выдачи графических отчетов. Для управления множеством устройств Thunder TPS система aGalaxy выводит информационную панель с передовыми возможностями выдачи отчетов, консолью подавления атак и функциями реализации системной политики. Доступен вариант aGalaxy со встроенным опциональным обнаружителем Thunder TPS Detector.

Физические устройства Thunder TPS

Виртуальные устройства Thunder TPS

vThunder TPS

Рекомендации по конфигурации платформы для vThunder TPS

Производительность vThunder TPS Detector

Подробный список функций

Обнаружение/анализ

• Основанное на пакетах обнаружение DDoS-атак при in-line-подключении.
• Основанное на потоках обнаружение DDoS-атак при out-of-band-подключении.
• Распределенное обнаружение.
• Отдельные политики обнаружения для более чем 256 тыс. серверов и сервисов.
• Непрерывное поведенческое обучение.
• Использование порогов, заданных вручную и полученных в результате обучения.
• Обнаружение аномалий в работе протоколов.
• Анализ трафика IPinIP.
• Использование черных и белых списков.
• Индикация трафика и информирование о самых активных узлах (top talkers).
• Консоль подавления атак.
• Средство пакетной отладки.

Служба информации об источниках DDoS-атак

• Динамическое обновление предоставляемой информации.
• IP-адреса источников атак типа reflected amplification.
• IP-адреса DDoS-ботнетов.

Автоматизированная защита от атак нулевого дня

• Распознавание и фильтрация трафика атак на основе машинного обучения.
• Предотвращение атак нулевого дня.
• Никакого предварительного конфигурирования или вмешательства вручную.
• Быстрая автоматизированная реакция.

Защита от атак на ресурсы

• Фрагментационная атака.
• Slowloris.
• Slow GET/POST.
• Long form submission.
• SSL renegotiation.

Защита от атак на прикладном уровне

• «Осведомленный» о приложениях фильтр.
• Фильтрация по регулярным выражениям (TCP/UDP/HTTP/SIP).
• Ограничение частоты HTTP-запросов.
• Ограничение частоты DNS-запросов.
• Ограничение частоты SIP-запросов.
• Проверка корректности запросов приложений (DNS/HTTP/SIP).
• Список DNS-доменов.
• Соответствие протоколу HTTP/S.
• Функциональность IPS на базе сигнатур.
• Контроль версий QUIC и проверка корректности заголовков.

Защита от протокольных атак

• Некорректные пакеты.
• Аномальные комбинации TCP-флагов (нет флага, SYN-FIN, SYN frag, атака LAND).
• Защита от атаки SYN-ACK amplification.
• IP-опции.
• Проверка размера пакетов (ping of death).
• Атака POODLE.
• Защита от flood-атак TCP, UDP и ICMP.
• Контроль трафика в соединениях.

Аутентификация на базе challenge

• TCP SYN cookies, SYN-аутентификация.
• ACK-аутентификация.
• DNS-аутентификация.
• Spoof detection.
• HTTP challenge.

Телеметрия

• Обширная статистика по трафику и DDoS-атакам.
• sFlow v5.
• NetFlow (v9, IPFIX).
• Блоки счетчиков для экспорта на основе потоков.
• Высокоскоростное протоколирование.
• CEF-протоколирование.

Защищаемые объекты

• Защищаемые зоны для автоматизированных обнаружения и подавления.
• IP-адрес источника или назначения, подсеть.
• Пара IP-адресов источника и назначения.
• Порт назначения.
• Порт источника.
• Протоколы (HTTP, DNS, SIP, TCP, UDP, ICMP и др.).
• Класс list или геолокация.
• Пассивный режим.
• Outbound mitigation.

Действия

• Захват пакетов.
• Исполнение сценариев.
• Отбрасывание.
• TCP reset.
• Динамическая аутентификация.
• Добавление в черный список.
• Добавление в белый список.
• Протоколирование.
• Ограничение числа одновременных соединений.
• Ограничение скорости установления соединений.
• Ограничение скорости трафика (в пакетах или битах в секунду).
• Направление на другое устройство.
• Remote-Triggered Black Hole (RTBH).

Управление

• Специализированный интерфейс управления (GUI, CLI, SSH, Telnet).
• aGalaxy для полного управления.
•  SNMP, syslog, передача оповещений по email.
• REST API (aXAPI) или SDK.
• Поддержка LDAP, TACACS+, RADIUS.
• Настраиваемые процессоры управления.

Работа в сети

• Режимы: проактивный, рективный, симметричный, асимметричный, out-of-band.
• Прозрачный режим (функции уровня 2) и режим маршрутизатора (функции уровня 3).
• Маршрутизация: статические маршруты, BGP4+, OSPF, OSPFv3, IS-IS.
• Bidirectional Forwarding Detection (BFD).
• VLAN (802.1Q).
• Агрегация каналов (802.1AX), LACP.
• Списки контроля доступа.
• Преобразование сетевых адресов (NAT).
• Защита трафика MPLS.
• BGP route injection, FlowSpec.
• IPinIP (источник и терминал).
• Интерфейс туннеля GRE.
• VXLAN.

Высокопроизводительная масштабируемая платформа

• Advanced Core Operating System (ACOS).

• Линейная масштабируемость приложений.
• ACOS – на плоскости данных.

• Linux – на плоскости управления.
• IPv6 feature parity.