Přednášející: Lukáš Kos
Nad rámec hardwaru:
Proč vaše ochrana proti DDoS může
selhat ještě před vaším datacentrem
Minulý čtvrtek jsme na konferenci ITSW v Praze přednášeli o kritickém tématu: evoluci volumetrických DDoS útoků. Zatímco dříve byly tyto útoky výjimečné, dnešní data ukazují, že se objevují stále častěji a jsou silnější. Riziko saturace upstreamu je však často podceňovaným faktorem.
Hrozba v číslech: Rekordy, které nikdo nechce překonávat
Podle ENISA (Evropská agentura pro kyberbezpečnost) Threat Landscape 2024 tvořily DDoS útoky 41,1 % hlášených incidentů. V roce 2025 tento podíl vzrostl na alarmujících 81,4 %. Nejde však jen o četnost, ale především o sílu. V dubnu loňského roku jsme mluvili o útocích o síle 6,5 Tbps, v říjnu už světový rekord dosáhl 29,5 Tbps. Jen během loňského roku byl světový rekord překonán pětkrát.
V České republice drží smutné prvenství útok na O2 z roku 2022 s více než 200 Gbps. Infrastruktura WEDOS čelila ve stejném roce špičce 190 Gbps. Právě tyto zkušenosti nás vedly k vybudování WEDOS Global Protection (WGP).
Kritické místo selhání: Saturace upstreamu
Mnoho firem investuje miliony do špičkových on-premise řešení. Tato zařízení jsou vynikající pro čištění provozu, mají však jednu zásadní slabinu: saturaci upstreamu. Pokud útočník zahltí vaši přípojnou linku masivním tokem dat (volumetrický útok), provoz se k vašemu firewallu ani nedostane. Linka je „ucpaná“ dříve, než hardware může začít filtrovat.
WGP tento problém řeší pomocí globální Anycast sítě s více než 120 PoP (Points of Presence) a 3000 servery. Architektura sdílené IP adresy rozloží masivní útok na malé fragmenty a čistí jej přímo u zdroje, čímž chrání vaši konektivitu.
Časté mýty o ochraně
- „Můj hosting mě ochrání“: Hostingoví poskytovatelé chrání infrastrukturu proti běžným útokům. Proti cíleným, státem sponzorovaným nebo masivním hacktivistickým kampaním s botnety však běžná ochrana hostingu nestačí.
- „Musím měnit stávající hardware“: WGP lze jednoduše předsadit před vaše stávající řešení. Můžeme dokonce filtrovat jen L3/L4 vrstvu a „čistý“ provoz nechat k další analýze vašemu internímu systému na L7.
- „Musím mít u WEDOS hosting nebo doménu“: WGP je nezávislá služba. Můžete mít hosting i domény kdekoli na světě a přesto využívat naši ochranu.
Evropská suverenita a bezpečnost dat
Na rozdíl od 90 % konkurence s Anycast technologií je WEDOS čistě evropská společnost. To znamená:
- Žádný US Cloud Act: Vaše data nepodléhají americkým zákonům o přístupu k informacím.
- Plná shoda s NIS2 a GDPR.
- Dešifrování pouze v EU: U politicky či strategicky citlivých dat je nepřípustné, aby dešifrování a analýza probíhaly mimo jurisdikci EU. WGP garantuje, že k těmto procesům dochází výhradně na území Evropské unie.
Závěrečná doporučení pro IT management
Prověřte si odolnost svého řešení:
- Jak je ošetřeno riziko saturace upstreamu?
- Jaké je vaše certifikované DRS (DDoS Resiliency Score)? WGP aktuálně drží 5/5 od ZeroBS a po upgradu směřujeme k Level 6.
- Kde fyzicky a pod jakou jurisdikcí končí vaše šifrovaná data?
Infrastruktura není jen o rychlosti, ale o suverenitě a odolnosti, kterou nelze outsourcovat na subjekty mimo EU bez bezpečnostního rizika.
