Firewall Mitigazione DDoS

davix_art

Oggi un attacco DDoS può essere così pesante che non te la cavi con un semplice firewall - ci si deve affidare a strutture che hanno la capacità di gestirlo. Anche per questo motivo sempre più siti sono dietro sistemi come Cloudflare & C.

Attacchi più limitati richiedono comunque un sistema con sufficiente capacità di elaborazione da non essere sopraffatto, dipende di cosa stiamo parlando. A layer 7 puoi aver bisogno di ulteriori sistemi come un WAF (Web Application Firewall), che però sono più specifici.

davix_art Se non hai budget per andare sui classici Cisco, Arista, Juniper ecc io consiglio VyOS su una piattaforma normale x86 tipo Supermicro. Poi chiaramente dipende dalle necessità, avete transito su più ISP o siete semplicemente con una connessione business senza BGP?

Concordo con quanto già detto sopra riguardo "all'utilità" del firewall contro la capacità che hanno al giorno d'oggi gli attacchi DDoS. Proverei a contattare il provider che avete attualmente in azienda per verificare se offre un servizio anti-DDoS.. tipo Fastweb con i contratti per medie-grandi imprese lo offre, mi pare utilizzino apparati Arbor Networks

Dark-Vex Arbor è stata comprata da Netscout. Altri nomi noti nel settore sono sicuramente Radware, F5, Akamai (solo Cloud).
Ma è un settore delicato, dato il costo che hanno queste soluzioni sono decisamente rivolte alle big corporate, che per implementarle e progettarle si rivolgono ai VAR o system integrator, difficilmente si chiede consiglio su un forum generico.

davix_art è molto difficile consigliare un apparato preciso, ci sono da capire innanzitutto un po' di cose

• in questa azienda che connettività avete?
• siete LIR o avete AS number e quindi annunciate i vostri IP?

davix_art allora posso dirti che quasi sicuramente il filtraggio antiddos lo farà il provider. Un attacco ddos in generale comunque non è mai destinato a un singolo IP ma a classi intere perché lo scopo è mettere in ginocchio il provider, io ti consiglio di dotarti di un buon firewall di una qualsiasi marca e non preoccuparti dei ddos, tanto come ti ripeto, se subisci un ddos l'unica cosa che puoi fare di reale è staccare la linea e aspettare termini, se non siete una azienda che annuncia i propri IP e che quindi ha BGP ecc ecc, una protezione antiddos su una linea fttc o su una ftth da 1 Gbps la trovo una cosa eccessiva, soprattutto per i costi in hardware necessari per mitigare un attacco ddos che ti flooda 1 gigabit di banda

Anche un firewall palo alto non è niente male

davix_art Anche un WatchGuard se vuoi la semplicità di configurazione e gestione, perché no. Senno vai sui classici Cisco o Juniper, modelli esatti non te ne saprei dire, dipende il tipo di azienda, quanti apparati di rete saranno connessi ecc

Heavy Ho usato watchguard in passato, non è male, solo che nemmeno la GUI non è tanto intuitiva

davix_art Fatti un contratto Enterpirse con Fastweb, hanno un ottimo noc e ti proteggono da tutti i tipi di attacco sia per la parte web, che per la parte non web es Vpn.
Poi a valle un firewall devi metterlo per proteggerti da attacchi mirati.

Questo a grandi linee, ma se non sei esperto, mi affiderei ad una azienda grossa, che fa questo di mestiere, non gli smanettini del negozio di pc.

davix_art Volevo consigliato da voi un hardware firewall da collegare in cascata al router per mitigare attacchi ddos sia di tipo layer 4 ma anche 7.

Io mi trovo molto bene con i FortiGate, ti consiglio di andare con quelli: molto configurabili e anche intuitivi. Chiaro che se vuoi fare una configurazione sopraffina devi esserne capace.

Altrimenti Cisco ASA + Modulo Firepower per arrivare al livello 7, occhio che devi avere una VM per fare girare la Management, altrimenti ci fai poco.

Che rete è? Quanti client?

Anche Sophos direi, dipende sempre dalla dimensione della rete poi per quale hardware.