Увы, ^rage^, эта важная часть проблемы техническими средствами не решается или решается с недостаточной скоростью.

У меня вчера возникла просто смешная ситуация с одним из провайдеров. В результате какого-то глюка в коммутаторе в нашу сторону полетел весь трафик NetFlow, который напрочь забил полосу канала и едва не положил BGP.

Всем привет!
Как это ни странно, но провайдеры до сих пор не ввели, хотя бы on-demand, услуги по фильтрования траффика. Причём я имею ввиду именно фильтрование, а не блокирование ACLем. Это грубо и не очень эффективно. А вот отфильтровать траффик - определить плохие и хорошие пакеты это не грубо (траффик-то бежит) и оч эффективно: Клиент заплатит за услугу, и заплатит за свой реальный траффик. А потом ещё начнёт и рассказывать как это круто жить с таким хорошим провайдером

что ты имеешь ввиду под фильтрованием?
===DDoS явно не относиться к полезному траффику
У большинства атак подобного рода есть сигнатура. Исключение представляют лишь: SYN Flood и флэш-моб.

Соответсвенно, если подписать клиента на сервис типа "Чистый траффик" (аналогия с чистыми руками;) и брать за это денюжки, то:
а. Не надо через себя гонять всякий мусор.
б. паралельно фильтровать исходящии атаки
в. лояльность клиентов повысится


провайдер предоставляет тебе сосок в сеть, а что там на тебя идет его мало касается, пока оборудование справляется
===Вот ключевое слово "пока оборудование справляется"... мы и наши сети сети находимся в состоянии "только что родились". Перфоманса бэкбона хватает и для мусора всякого, а процент хай-спид-интернетизации совсем мал. Так что для нас атаки DoS/DDoS не оказывают должного эффекта. Да конечно тому кого завалили не очень хорошо, но остальным начхать
Пример - последние почтовые вирусы... Каждому пользователю - пофих, ну да не приятно, что по твоей адресной книги всем разослали письма, но не критично. На России это не сказалось, а вот западным провайдерам многим оч сильно поплохело. Получилась отличная атака DDoS направленная на почтовые сервера и полосу пропускания.

посмотрите сколько пакетов приходит на сеть /24 на порт 445 и т.п. никто не видел?, и еще много подобного мусора, и кто за это должен платить???
=== Ага... у меня уже давно весь корейский и китайский телеком в блэк листе фаервола. Добавлял сети по классам А и В
Про оплату - ИМХО риторический вопрос ... Я тоже не вижу смысла платить зато что рушит коннективити, я предпочту заплатить за защиту. Явно будет дешевле на круг.

хорошие провайдеры предоставляют услуги защиты, могут твой трафик пропускать через свои файрволы  согласно профилю, только плати
===К сожалению фаервол не панацея. Как только откроешь какой-нить порт - тююю туда столько всего пришлют!!!!!
Ну на пример 80. А твой сервер используют для того чтоб уложить рутер соседа АСКами или забъют канал на ответ флэш-моб атакой... Или подарят сотруднику трояна и тогда фаервол, ни фаервол, а сеть-то голая!
Ну это уже из разряда корпоративных страшилок

Ну прям не знаю как воспринимать

ну и где производить обнаружение =) на граничных рутерах???  
это тебе не 10мбит на фряшнем рутере разрулить
наверно до чистого трафика еще не доросли. наверно пока не выгодно
раз таких предложений мало
======На мой взгляд и пограничным рутерам нечего молотить эту лабуду. Мало какой рутер справиться с 0,8(если говорить про реальный траффик на 1GE канале в одном направлении). DoS/DDoS атаки надо рубить до рутера, перед входом в сеть.
 
 
да в рф естественно меньше целей для действенных дос-атак  
в большинстве случаев страдают жопы админов а не бизнес
 

в россии  провайдров первого уровня по пальцам одной руки. еслиб
комуто поплохело, борьба за бизнес из син-флуда моглаб реально
вылиться во что-то намного серъезнее
====== А во что? Тем сеть и хороша, что можно скрыть практически всё "Сеть всё простит..." (с) Моего приятеля.


Пост-коммент:
Провайдеры первого уровня не готовы, так как пользователи не осознают во что это может вылиться. По моему пониманию ещё год или 2 и будет достаточно плотно (если только все сразу не перейдут на DWDM, вон ТТК рапортует о том что первые сотни км пройдены , под "плотно" я понимаю развитие PON и HDSL сетей. А если мы говорим об даунлинке в 8 мега и апе в 1 мег, то уже это хорошая скорость для "завала" сети мусором. И когда начнётся деградация скорости, тут все резко и призадумаются...

Я бы разделил задачи на следующие типы:
1) Защита внутри сети с разбиением на сегменты двунаправленной фильтрацией траффика для предотвращения атак инсайдеров. При никто не должен знать где стоит система. Надо искать сигнатуры, трояны, аномалии протоколов, ловить эксплоиты...
2) Защита специфических приложений в дата-центре компании - досмотр криптованного траффика, инспекция уровня 7, атаки на мисконфигурацию и прочее
3) Защита периметра компании от DoS/DDoS - тут надо тесно работать совместно с провайдером.

Согласен сложно, но что поделать?
Причём лоскутная защита это пустая трата денег.
SYN Flood с рэйтом 1,6 mpps это много или мало? ... Кто-то такого и не видел... А у кого-то это действительность. Вот у кого действительность, тот серьёзно думает по поводу защиты.

Вот такие пироги.

К сож. не компетентен говорить за провайдеров, но такую очистку можете сделать вы сами , используя реверсивный прокси, например, Privoxy и "клинить" трафик от поп-апов и прочего интернет мусора. Т.е. "выявляение в потоке вирусов, троянов" ) Собсвенно.

Со стороны провайдера требуется прежде всего системы, позволяющие скрывать точное кол-во пользователей своей сети ( сущ.аналоги открытого по, вроде TOR), скрытие собственных сетевых сервисов и отслеживание вредоносных обьектов (допустим ботов) на основных машинах Tracker'aми (вспонмите давно минувших дней Ddos Tracker и его аналоги).