NETSCOUT Arbor, NETSCOUT firmasının DDoS saldırılarını tespit etme ve azaltma ürünlerinin ortak adıdır. Ailenin bugünkü başlıca ürünleri Arbor Edge Defense (AED), Arbor Sightline ve Arbor Threat Mitigation System (TMS)'dir; bunlara bulut tabanlı Arbor Cloud ve tehdit istihbaratı kaynağı ATLAS Intelligence Feed (AIF) eşlik eder. Kısaca: Sightline ağı izler ve saldırıyı tespit eder, TMS saldırı trafiğini temizler, AED ise kurum ağının girişinde inline duran bir koruma cihazıdır.
Bu ürünler, NETSCOUT'un kendi tanımına göre internet servis sağlayıcıları (ISP), bulut sağlayıcıları ve kurumlar içindir; yani kendi ağını ve veri merkezi altyapısını işleten büyük kuruluşlara yöneliktir. Sightline açıkça servis sağlayıcılar için konumlandırılır. Tek bir sunucu veya küçük bir site için doğru araç değildir; o senaryo için DDoS koruma rehberimize bakın. Aşağıda her ürünün ne yaptığını ve birbiriyle nasıl ilişkilendiğini resmi NETSCOUT sayfalarına dayanarak anlatıyoruz.
Arbor ailesine genel bakış
| Ürün | Görevi | NETSCOUT'un hedef kitle tarifi |
|---|---|---|
| Arbor Sightline | Ağ genelinde görünürlük, gelen ve giden DDoS saldırılarını otomatik tespit, azaltmayı yönetme (orkestrasyon) | Servis sağlayıcılar, karmaşık kurumsal ağlar |
| Arbor Threat Mitigation System (TMS) | Saldırı trafiğini filtreleyip meşru trafiği geçiren azaltma platformu | ISP, bulut sağlayıcıları ve kurumlar |
| Arbor Edge Defense (AED) | İnternet router ile firewall arasında inline, her zaman açık, yerinde (on-premises) DDoS koruması | Kendi ağ çevresini korumak isteyen kuruluşlar |
| Arbor Cloud | Hacimli saldırılar için bulut tabanlı azaltma; AED ile Cloud Signaling üzerinden bağlanır | Yerel hattı aşan saldırılara karşı ek ölçek |
| Arbor Sightline With Sentinel | Router'ların yeteneklerini ve FlowSpec'i TMS ile birlikte kullanarak ağ genelinde otomatik azaltma | Ağ operatörleri |
Arbor Sightline nedir?
NETSCOUT, Sightline'ı 'en karmaşık ağlarda DDoS tehditlerini tespit etmek, analiz etmek ve bunlara yanıt vermek' için bir platform olarak tanımlar. Ürün sayfasına göre Sightline omurga (backbone), peering, transit ve müşteri kenarı genelinde iki yönlü görünürlük sağlar; yani hem ağa gelen hem de ağdan dışarı çıkan saldırıları tespit etmeyi hedefler. Tespit, makine öğrenmesine dayanır ve ATLAS Intelligence Feed ile sürekli güncellenir. NETSCOUT: Arbor Sightline
Sightline'ın veri kaynağı akış (flow) telemetrisidir. NETSCOUT'un 2024 tarihli blog yazısı, DDoS tespitinde NetFlow ve IPFIX gibi akış tabanlı telemetrinin ölçeklenebilir ve hızlı bir seçenek olduğunu savunur ve Sightline'ın sFlow verisini de NetFlow ve IPFIX ile aynı özellik düzeyinde işlediğini belirtir. NETSCOUT Blog: NetFlow ve DDoS tespiti (11 Temmuz 2024) Yani Sightline, router'larınızın gönderdiği akış kayıtlarını analiz eder; trafiğin kendisi Sightline'ın içinden geçmez.
Saldırı tespit edildiğinde Sightline birden fazla azaltma yöntemini yönetebilir. NETSCOUT'un servis sağlayıcı çözüm sayfası iki yöntemi açıkça anar: ağ altyapısının kendisini kullanmak (örneğin FlowSpec) ve trafiği özel Arbor TMS cihazlarına yönlendirmek. NETSCOUT: DDoS Protection for Service Providers
Sightline'ın servis sağlayıcılar için önemli bir yönü de iş modelidir: ürün sayfası, platformun servis sağlayıcıların müşterilerine yönetilen (managed) DDoS koruma hizmeti sunması için tasarlandığını söyler.
Arbor Threat Mitigation System (TMS) nedir?
TMS, saldırı trafiğini ayıklayan azaltma (mitigation) platformudur. NETSCOUT'un tarifiyle amacı 'her ölçekte meşru trafiğin geçmesine izin verirken kötü amaçlı trafiği filtrelemek'tir. TMS, gelen ve giden görünürlük ile tehdit tespitini sağlayan Arbor Sightline ile birlikte çalışır: Sightline saldırıyı görür, TMS temizler. NETSCOUT: Arbor Threat Mitigation System
Ürün sayfasına göre TMS fiziksel ve sanal cihazlar dahil çeşitli platform ve kapasitelerde sunulur ve dağıtım tamamen sanallaştırılabilir. Sayfa ayrıca ISP'lerin, bulut sağlayıcılarının ve kurumların hedef kitle olduğunu, servis sağlayıcıların TMS ile müşterilerine hizmet olarak DDoS koruması verebileceğini belirtir.
Arbor Edge Defense (AED) nedir?
AED, NETSCOUT'un tanımıyla 'her zaman açık, inline, yerinde (on-premises) bir DDoS koruma çözümü'dür ve internet router'ınız ile firewall'unuz arasına yerleştirilir. Böylece ağın çevresinde (perimeter) durur ve firewall'a ulaşmadan önce saldırı trafiğini ayıklar. NETSCOUT: Arbor Edge Defense
- Durum tutmayan (stateless) koruma: Kritik uygulamaları ve firewall'ları etkileyebilen küçük, kısa süreli uygulama katmanı ve durum tüketme (state-exhaustion) saldırılarını durdurmayı hedefler.
- Tehdit istihbaratı: ATLAS Intelligence Feed'den gelen gösterge (IoC) verilerini kullanır; üçüncü taraf beslemeleri de alabilir.
- Giden IoC engelleme: Bilinen kötü amaçlı adreslerle gelen veya giden iletişimi engelleyerek ele geçirilmiş iç cihazların dışarıyla konuşmasını kesmeye yardım eder.
- Cloud Signaling: İnternet hattınızı dolduracak büyüklükteki hacimli saldırılarda yerel azaltmayı Arbor Cloud ile otomatik olarak bağlar.
- Diğer: CDN farkındalıklı azaltma ve seçici şifre çözme gibi özellikler; tarama ve brute-force gibi DDoS dışı tehditleri de engelleme.
Birden fazla AED cihazının merkezi kurulum ve yönetimi Arbor Enterprise Manager ile yapılır. NETSCOUT, AED'yi ISP, CDN ve bulut sağlayıcılarının yukarı akış (upstream) korumasının yerine değil, onu tamamlayan bir katman olarak konumlandırır.
AED'nin konumu, firewall ile ilişkisini anlamak için önemlidir: firewall'lar bağlantı durumu tuttuğu için durum tüketme saldırılarına açıktır. Firewall'un önündeki stateless bir katman bu yükü firewall'a ulaşmadan azaltmaya çalışır. UTM/NGFW ise içerik denetimi, VPN ve politika işlevlerini sürdürür.
Ürünler birbiriyle nasıl ilişkilenir?
NETSCOUT sayfalarındaki tariflere göre tipik bir servis sağlayıcı mimarisi şöyle özetlenebilir:
- Router'lar akış verisini (NetFlow, IPFIX veya sFlow) Sightline'a gönderir.
- Sightline trafiği analiz eder ve gelen ya da giden bir DDoS saldırısını tespit eder.
- Sightline azaltmayı yönetir: router'larda FlowSpec kullanabilir veya trafiği TMS'e yönlendirebilir.
- TMS saldırı trafiğini ayıklar, temiz trafik ağa devam eder.
- Kurumsal tarafta AED, router ile firewall arasında inline durur; hat kapasitesini aşan saldırılarda Cloud Signaling ile Arbor Cloud'dan yardım ister.
Sightline With Sentinel ise çok üreticili bir ağda router'ların yeteneklerini tanıyıp FlowSpec ile akıllı azaltmayı TMS ile birlikte kullanarak ağın tamamını otomatik azaltmaya dahil etmeyi hedefler; NETSCOUT ayrıca operatörler arasında saldırı verisi paylaşımından söz eder. NETSCOUT: Arbor Sightline With Sentinel
Lisans ve fiyat
Fiyat konusunda üretici herkese açık bir liste fiyatı yayımlamıyor. Fiyat, yetkili iş ortakları veya distribütörler tarafından teklif usulüyle verilir ve seçilen modele, kapasiteye, aboneliklere ve sözleşme süresine göre değişir. NETSCOUT ürünlerinde de kapasite, platform (fiziksel ya da sanal) ve ek bileşenler (örneğin Arbor Cloud) teklifi belirler.
Alternatifler
Benzer sınıftaki ürünler için Radware DefensePro, Corero SmartWall ONE ve FortiDDoS yazılarımıza bakabilirsiniz. Web uygulamaları için katman 7 koruması arıyorsanız Cloudflare WAF ve Cloudflare planları daha yakın bir seçenektir.
Sık Sorulan Sorular
NETSCOUT Arbor nedir?
NETSCOUT'un DDoS tespit ve azaltma ürün ailesidir. Başlıca ürünleri Arbor Sightline (tespit ve orkestrasyon), Arbor TMS (azaltma), Arbor Edge Defense (inline çevre koruması) ve Arbor Cloud'dur.
Arbor Sightline ile AED arasındaki fark nedir?
Sightline ağın genelini akış verisiyle izleyen ve azaltmayı yöneten bir platformdur; trafik içinden geçmez. AED ise router ile firewall arasında inline duran ve trafiği doğrudan filtreleyen bir cihazdır.
Arbor TMS ne işe yarar?
TMS, Sightline'ın tespit ettiği saldırıların trafiğini ayıklayan azaltma platformudur. Fiziksel ve sanal cihaz seçenekleri vardır.
Arbor ürünleri kimler için?
NETSCOUT'un tarifine göre ISP'ler, bulut sağlayıcıları ve kurumlar için; yani kendi ağını ve veri merkezini işleten büyük kuruluşlar. Sightline özellikle servis sağlayıcılara yöneliktir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: DDoS koruma rehberi · Firewall nedir · Radware DefensePro nedir · Corero SmartWall nedir · FortiDDoS nedir · UTM ve NGFW nedir