Quando um ataque DDoS chega, cada minuto conta: o link satura, os clientes reclamam e o NOC corre atrás do prejuízo. A boa notícia é que dá para detectar e mitigar automaticamente usando o próprio BGP.
Primeiro: detectar rápido
A maioria dos ataques volumétricos aparece como um desvio brusco do tráfego normal — um pico de pps/bps muito acima da linha de base, geralmente concentrado num destino (um IP de cliente) e num protocolo (UDP amplification, SYN flood, etc.). Um sistema de detecção de anomalias sobre NetFlow compara o agora com o histórico e dispara o alerta antes do telefone tocar.
Duas formas de mitigar com BGP
RTBH — Remotely Triggered Black Hole
Você anuncia via BGP uma rota para o IP atacado apontando para “null” (descarte). O tráfego malicioso é jogado fora antes de saturar sua rede — inclusive na borda do seu upstream, se ele aceitar a community de blackhole. O custo: o IP da vítima fica offline (você sacrifica um cliente para salvar a rede). É simples, rápido e brutal.
FlowSpec — filtro cirúrgico
Em vez de derrubar o IP inteiro, o BGP FlowSpec distribui uma regra de filtro (por porta, protocolo, tamanho de pacote, taxa) que barra só o tráfego do ataque — mantendo o cliente online. É mais elegante e preserva o serviço, mas exige suporte a FlowSpec nos roteadores.
Automação: disparar e desfazer sozinho
Mitigação manual perde para o relógio. O ideal é que o sistema dispare a regra sozinho ao detectar a anomalia e desfaça automaticamente quando o ataque passa. Aqui entra a cronometragem anti-flapping: pequenos atrasos para ativar e para resolver, evitando ligar/desligar a mitigação a cada oscilação.
Como o Sentinela faz
O Sentinela detecta a anomalia sobre o flow, notifica no Telegram e pode aplicar a auto-mitigação por BGP (FlowSpec, RTBH ou lista) com auto-undo e controle anti-flapping — tudo integrado ao painel, na sua infraestrutura. Você vê o ataque nascer, a mitigação subir e cair, e o histórico do evento.