// SEGURANÇA

Mitigação DDoS: da telemetria ao WAF

Ninguém para um DDoS com uma caixa só. Para com camadas, e cada camada corta um pedaço do ataque. Quem só conhece blackhole derruba o próprio serviço junto com o atacante.

Detecção nasce da telemetriaMitigação seletiva, não na marraServiço recebe tráfego limpo

Internetorigens espalhadas

TelemetriaNetFlow / IPFIX

Reputaçãoscore e listas

Blocklistdrop explícito

Rate limitteto de pps e bps

RTBHblackhole via BGP

FlowSpecmatch e ação

Scrubbingdesvio e limpeza

WAFHTTP e camada 7

FLOW

DDoSBlocklistAllowlistRTBHBGPFlowSpecScrubbingWAFNetFlowIPFIXL7

// PASSO 1 DE 8

Telemetria vê o desvio antes do usuário reclamar

O coletor lê volume, origens, destinos e protocolos e compara com o baseline do dia normal. Sem linha de base, todo pico vira ataque.

▌ Na prática

Tráfego deixa de ser pacote solto e vira comportamento medido. No IOS, show flow monitor mostra o cache que alimenta essa conta.

NetFlowIPFIXbaseline

Fonte: NetFlow/IPFIX
Base: baseline
Sinal: anomalia

Use ← → no teclado para navegar entre os passos.

Blackhole resolve derrubando o alvo. Quem tem FlowSpec e scrubbing usa ele por último.

// CONTINUE EM SEGURANÇA

5 passos

ACL: como o roteador decide o que passa

Passo a passo de uma ACL estendida: avaliação em ordem, a primeira correspondência decide e o deny implícito fecha a lista.

5 passos

Port Security: o switch barrando MAC intruso

Passo a passo do que acontece na Gi0/10 quando um MAC fora da política aparece: violação, err-disabled e a volta da porta.

7 passos

AAA: quem entra, o que pode e o que fez

Autenticação, autorização e accounting em sequência: do login SSH ao registro do comando, com fallback local quando o servidor cai.

Animação adaptada a partir do VisualNetwork, com autorização.