Link de transito no teto, sem motivo comercial. Ou um cliente sozinho puxando
muito mais do que o plano dele permite. Ou o NOC do transito ligando.
Mitigacao. Se ha evento aberto, o alvo ja esta
identificado e as colunas de forma ja dizem por que.
Sem evento, va para a consulta de fluxo e olhe
dois indicadores:
| Sinal | Ataque volumetrico | Uso normal |
|---|---|---|
| Pares distintos | Muitos, subindo rapido | Estavel |
| Tamanho medio de pacote | Pequeno | Medio a grande |
| Pico contra media | Muito alto | Proximo de 1 |
| Protocolo | UDP concentrado em uma porta | Misto |
Muitas origens diferentes mandando pacote pequeno para um destino seu e
ataque. Trafego grande para muitos destinos seus e quarta-feira a noite.
O alvo tem que ser um endereco unico. Na consulta de fluxo, filtre pelo bloco
afetado, agrupe por destino e ordene. O alvo aparece isolado no topo, com ordem
de grandeza de diferenca para o segundo.
Visao de parceiros, na mesma consulta. Amplificacao mostra muitas origens
diferentes usando a mesma porta de origem.
Se o sistema esta em ensaio, ele registrou o que teria feito. A decisao de
anunciar e sua.
Blackhole derruba o alvo. O endereco fica inalcancavel de fora ate a rota
ser retirada. E a troca deliberada: sacrifica um endereco para manter o link e
todo o resto dos clientes de pe. Avise o cliente dono do endereco.