Serviços de nuvem da F5 adotados para garantir proteção robusta contra DDoS após um grande ataque

Com sede na cidade de Ogaki, na província de Gifu, a Mirai Communication Network Co., Ltd. oferece uma ampla variedade de serviços, incluindo provedor de serviços de internet (ISP), aluguel de servidores, operação e gerenciamento de data centers, aquisição, operação e gerenciamento de domínios, além de redes de suporte empresarial que utilizam a rede de fibra óptica de toda a província de Gifu e a Gifu Information Superhighway. Para combater ataques DDoS, a empresa implementou o F5 Distributed Cloud DNS. Conversamos com o Sr. Yuki Kano e a Sra. Atsuko Tanaka, do Departamento de Tecnologia da Mirai Communication Network, sobre os requisitos específicos, as funcionalidades e os benefícios esperados próprios da empresa durante a implementação.

Baixar PDF (em japonês)

A Necessidade

Com o conceito de ser um provedor de serviços de internet com um rosto humano, a Mirai Communication Network Co., Ltd. oferece uma ampla variedade de serviços relacionados a redes, não apenas para empresas privadas, mas também para governos locais e órgãos públicos. Em serviços de hospedagem, atendemos clientes em todo o país, mas nosso diferencial está na abordagem de negócios voltada para cada região. Nesse sentido, somos um provedor de serviços de internet com um “rosto humano”, explica o Sr. Yuki Kano, do Departamento de Tecnologia da empresa. Ao contrário de muitos provedores de servidores tradicionais, que oferecem principalmente serviços remotos e cujas equipes não têm contato presencial com os clientes, nossos profissionais técnicos e de manutenção, inclusive eu, visitam os escritórios dos clientes. Trabalhamos diretamente com eles, projeto a projeto, para desenvolver soluções sob medida, acrescenta. O que levou a Mirai Communication Network a reavaliar sua arquitetura de sistemas foi um ataque DDoS de grande escala ocorrido em dezembro de 2023. Nossos servidores DNS foram alvo do ataque, o que tornou a resolução de nomes extremamente difícil. Embora tenhamos bloqueado imediatamente as consultas provenientes dos endereços IP identificados como origem do ataque e restabelecido os serviços rapidamente, percebemos que, mesmo com a rede em funcionamento, a indisponibilidade de um servidor DNS impossibilita a comunicação. Esse incidente reforçou a importância de proteger os servidores DNS contra ataques, observa Kano. Antes do ataque, a empresa já havia adotado medidas como o monitoramento do tráfego de rede para detectar possíveis ataques DDoS e permitir apenas o tráfego legítimo. No entanto, o incidente evidenciou a necessidade de implementar contramedidas mais especializadas para os servidores DNS. Isso levou a empresa a considerar a adoção de um serviço dedicado de proteção contra DDoS.

A Transformação

Após aproximadamente três meses de análise depois do ataque, a Mirai Communication Network decidiu adotar o F5 Distributed Cloud DNS. Segundo Atsuko Tanaka, do Departamento de Tecnologia da empresa, que participou diretamente da avaliação das diversas ferramentas: “Devido à urgência da situação, concentramos nossa busca em soluções que pudessem ser facilmente implementadas por meio de serviços em nuvem. Inicialmente, o serviço da F5 não estava entre as opções consideradas. No entanto, durante o processo de avaliação, a F5 apresentou uma proposta, e concluímos que seu serviço oferecia vantagens em termos de custo e facilidade de integração com nosso ambiente existente.” O Sr. Kano detalhou os motivos para a escolha da F5: “Alguns dos serviços concorrentes exigiam a reconfiguração dos servidores DNS primário e secundário no ambiente SaaS, enquanto outros ofereciam apenas uma solução de DNS primário que não podia ser integrada a um DNS secundário. Em outros serviços, era necessário decidir, no momento da contratação, se as medidas seriam aplicadas ao DNS primário ou ao secundário. Além disso, os custos variavam de acordo com o volume de consultas, o que dificultava a gestão do orçamento. Para clientes do setor público, como governos locais, as contratações geralmente são realizadas por meio de licitação, e o orçamento é definido anualmente. Por isso, eventuais reajustes de preço decorrentes de ataques inesperados não podem ser repassados ao valor do serviço. O F5 Distributed Cloud DNS adota um modelo de preços baseado no número de zonas e oferece uma estrutura flexível: mesmo que o número de zonas ultrapasse a quantidade contratada, não há cobranças adicionais durante a vigência do contrato. Se necessário, os ajustes podem ser feitos durante o processo de renovação contratual nos exercícios fiscais seguintes.” A Mirai Communication Network criou um ambiente de prova de conceito (PoC) para testar o F5 Distributed Cloud DNS. Kano explicou: “Quando foi tomada a decisão de implementar o serviço da F5, recebemos uma conta de PoC e uma conta de comprador. A interface é intuitiva e fácil de entender e, com o suporte detalhado dos engenheiros da F5, o processo de validação vem avançando sem dificuldades.”

O resultado

As alterações de DNS exigem testes rigorosos, além de tarefas como registrar os registros necessários no servidor de destino e transferir as informações de WHOIS. No entanto, as operações após a migração permanecerão iguais às do nosso ambiente atual. Não esperamos precisar de recursos humanos adicionais, afirma o Sr. Kano. Com o F5 Distributed Cloud DNS, o DNS primário pode ser definido como oculto, mantendo-o fora do alcance da internet para protegê-lo contra ataques DDoS. O servidor DNS existente pode continuar sendo usado para fins de configuração, enquanto o DNS secundário fica no ambiente de Distributed Cloud da F5 para processar todas as consultas de DNS. Além de atender ao nosso requisito inicial de proteção contra DDoS, essa solução também melhora os tempos de resposta por meio de um DNS secundário baseado em nuvem e distribuído geograficamente. Além disso, podemos transferir para a F5 as tarefas de atualização de versão e operações semelhantes, reduzindo ainda mais nossa carga de trabalho operacional, acrescenta o Sr. Kano.

O F5 Distributed Cloud DNS permite configurar DNS primário/secundário. O DNS primário existente é utilizado exclusivamente para fins de configuração, enquanto o DNS secundário é hospedado na nuvem da F5 para processar consultas DNS. Essa configuração oferece proteção contra ataques DDoS e melhora os tempos de resposta por meio de uma rede de nuvem distribuída geograficamente.

A F5 oferece diversas funcionalidades de rede e segurança como parte do F5 Distributed Cloud Services, incluindo o Distributed Cloud DNS, adotado desta vez, além de balanceadores de carga, firewalls, gateways de API, WAFs, segurança de APIs, proteção contra bots e plataformas Kubernetes gerenciadas. Atualmente, estamos considerando oferecer o balanceamento de carga via DNS como serviço. Com um número cada vez maior de empresas operando sistemas em vários ambientes, como infraestruturas locais e na nuvem, certamente existe uma demanda por balanceamento de carga baseado em DNS, afirma a Sra. Tanaka, mencionando a possível adoção de outros serviços além do Distributed Cloud DNS. O Sr. Kano também destaca as vantagens observadas durante o treinamento prático com o F5 Distributed Cloud Services: constatamos que o serviço oferece opções detalhadas de configuração e, ao mesmo tempo, mantém uma excelente usabilidade. Ao considerarmos a expansão dos serviços, recursos de monitoramento, como monitores HTTPS e DNS, parecem extremamente úteis, e também estamos ansiosos para realizar provas de conceito (PoCs) de Kubernetes gerenciado no futuro. O F5 Distributed Cloud Services permite gerenciar e operar com segurança aplicações e redes distribuídas em diversos ambientes, além de agilizar o desenvolvimento e a implantação de aplicações por meio de plataformas Kubernetes. Os serviços que atualmente oferecemos por meio de appliances físicos e virtuais podem ser migrados para soluções SaaS, que são fáceis de implantar e escalar. Esperamos que surjam mais casos de uso para o F5 Distributed Cloud Services daqui para frente, afirma o Sr. Kano. Ele também vê potencial em colaborar com a F5 para enfrentar os desafios de governos locais, secretarias de educação e empresas regionais. Ao ampliar o uso das soluções da F5 e integrá-las aos nossos serviços, acredito que poderemos identificar novas necessidades entre nossos clientes atuais e oferecer ainda mais valor, acrescenta o Sr. Kano.