MCFilter une la protección de red, el filtrado con conocimiento del protocolo y una capa de análisis de anomalías en desarrollo. No son tres productos distintos, sino tres niveles de un mismo recorrido de decisión.
El recorrido del paquete
La ruta de los datos pasa por la red del datacenter y por MCFilter. En paralelo trabaja la capa de observación y control: FlowAnalyzer examina la telemetría del tráfico y decide qué reglas se envían a la red y a los filtros.
El tráfico llega desde la red pública. Junto con el tráfico legítimo llega también el tráfico del ataque.
Primera capa de protección. Aquí termina su recorrido el tráfico volumétrico, antes de que sobrecargue el resto de la ruta.
Tráfico descartadoNuestro motor de filtrado. Incluye la aplicación de reglas L3/L4 mediante EdgeRule y el filtrado L7 mediante Filter.
A la infraestructura solo llega tráfico ya filtrado.
El servicio recibe tráfico acorde con el protocolo esperado. Minecraft es solo un ejemplo.
Control plane: detección y decisiones
Analiza los flujos de red y detecta anomalías L3/L4. No es otro dispositivo en la ruta del paquete: trabaja a su lado.
Distribuye las reglas de mitigación en la capa de enrutamiento.
Ciclo de mitigación
Todos los eventos siguen la misma ruta. La detección está separada de la aplicación de reglas, así que cada regla llega justo donde actúa el ataque.
FlowAnalyzer recoge la telemetría de los flujos y construye una imagen del tráfico normal.
Un cambio en las características del tráfico se clasifica como anomalía o como un patrón de ataque conocido.
Elegimos el mecanismo de mitigación según la capa en la que actúa realmente el ataque.
La regla llega a BGP FlowSpec, a EdgeRule o a un filtro de protocolo dedicado en Filter.
El tráfico conforme al protocolo sigue su camino hacia el servicio protegido.
Arquitectura de protección
Un recorrido de decisión en tres niveles que une la mitigación de red L3/L4, los filtros de protocolos de aplicación y el análisis de anomalías en un único motor de filtrado integrado.
Protección de red y de transporte. Detección de flujos, reglas distribuidas a la red y mecanismos contra el spoofing, la reflexión y la saturación de conexiones.
Los filtros conocen la estructura de cada protocolo, así que distinguen el tráfico del servicio del tráfico que solo imita su formato.
Estamos desarrollando una capa de análisis de anomalías cuya tarea es señalar patrones de tráfico que se desvían de la norma establecida. Es una capa de investigación: trabaja junto a los mecanismos L3/L4 y L7, no en su lugar.
Filter
Filter reconoce la estructura y la semántica del tráfico de cada servicio y descarta el que no encaja con el perfil del protocolo.
Ampliamos el conjunto de filtros a la vez que los protocolos que soportamos.
EdgeRule
EdgeRule describe el tráfico tal como se ve en la red: de dónde viene, adónde va y cómo está construido el paquete. Después eliges una acción o pasas el tráfico a un filtro de protocolo.
De qué se compone una regla
Source
Destination
Packet
Action
Dispatch
Las reglas tienen prioridad: un valor más bajo significa mayor precedencia.
La regla anterior es solo una ilustración de lo que puede hacer el motor, y la dirección utilizada pertenece al rango de documentación RFC 5737. No publicamos configuraciones de producción, umbrales de detección ni firmas de ataque.
Análisis del tráfico
La telemetría de los flujos es la base de la decisión de mitigar. Junto a los mecanismos basados en patrones conocidos, desarrollamos un análisis de anomalías pensado para señalar el tráfico que se desvía de la norma establecida.
FlowAnalyzer construye una imagen del tráfico normal y compara con ella los flujos actuales. Una desviación respecto a esa imagen activa la decisión de mitigar.
Flujos en el tiempo
Anomalía detectada
Distribución de protocolos
Tráfico - telemetría - detección - decisión de mitigación
Una capa en desarrollo orientada al zero-day. Su tarea es señalar agrupaciones de tráfico que no encajan con la norma establecida ni con las firmas conocidas; no sustituye a los mecanismos L3/L4 y L7.
Los gráficos de esta sección son esquemáticos y no representan datos de producción.
Modos de protección
En el modelo always-on el tráfico pasa siempre por la capa de protección. En el modelo on-demand el tráfico se dirige a la capa de filtrado solo después de detectar un ataque, lo que cambia tanto la ruta del tráfico como el momento en que se activa la protección.
El tráfico pasa siempre por la capa de filtrado.
La ruta del tráfico solo cambia tras detectar el ataque.
Implantación
La tecnología de filtrado no tiene por qué funcionar solo en nuestra red. En implantaciones para empresas, MCFilter puede ejecutarse directamente en la infraestructura del cliente.
El tráfico llega a nuestra red, pasa por el scrubbing y MCFilter, y al servicio llega ya filtrado. Mantener la capa de filtrado corre de nuestra cuenta.
Ejecutamos el stack de filtrado en la infraestructura del cliente, así que el tráfico no tiene que salir de su red. El alcance de la implantación y la integración se acuerdan de forma individual.
FAQ
¿No has encontrado la respuesta que buscabas?
Ponte en contactoHablemos de protección always-on, on-demand o de desplegar MCFilter directamente en tu datacenter.
Contacta con nosotrosLas tecnologías necesarias funcionan siempre. Las funcionales, analíticas y de marketing solo las activaremos con tu consentimiento. No dar tu consentimiento no limita el acceso al contenido del sitio.
