Eine Lizenz für das gesamte Netz. Wie wir die Kosten des Anti-DDoS-Schutzes in LiveShield berechnen
Eine Lizenz für das gesamte Netz. Wie wir die Kosten des Anti-DDoS-Schutzes in LiveShield berechnen
Die Wahl eines Systems zum Schutz vor DDoS-Angriffen beginnt meist mit technischen Fragen. Doch irgendwann kommt der Moment, in dem man ausrechnen muss, was das alles kosten wird. Bei LiveShield machen wir das einfacher.
Eine Preisliste, für die man eine Tabellenkalkulation braucht
Das typische Lizenzmodell von Anti-DDoS-Systemen am Markt sieht ungefähr so aus: eine eigene Lizenz für die Komponente, die für die Erkennung zuständig ist, eine eigene für die filternde Komponente. Hat das Netz mehrere Edge-Router, die Verkehrsdaten exportieren, kann jeder von ihnen eine eigene Erkennungslizenz erfordern. Die Filterung wird mitunter pro Netzwerkschnittstelle abgerechnet. Sie möchten Pakete effizient verarbeiten, am Netzwerk-Stack des Betriebssystems vorbei? Die DPDK-Unterstützung ist oft eine weitere, gesondert zu zahlende Position auf der Rechnung.
Damit endet die Liste nicht. Es gibt einmalige Aktivierungsgebühren. Ein Webpanel zur Ansicht des Verkehrs ist manchmal ein Zusatz, der pro Benutzer abgerechnet wird: Jede Person im NOC, die Diagramme sehen soll, ist eine weitere Position auf der Monatsrechnung. Der technische Support kann je nach gekauftem Paket auf eine bestimmte Zahl von Tickets pro Monat begrenzt sein.
Das Ergebnis: Die Antwort auf die einfache Frage „Was kostet der Schutz unseres Netzes?“ erfordert den Aufbau eines Modells: Wie viele Router haben wir, wie viele Schnittstellen, wie viele Standorte, wie viele Administratoren werden das Panel nutzen, brauchen wir DPDK? Und wenn das Netz wächst, etwa durch einen neuen Knoten, einen neuen Router oder ein neues Rechenzentrum, steigen die Lizenzkosten sprunghaft, obwohl sich der Verkehr vielleicht nur geringfügig verändert hat.
Ein weiteres Detail verdient Beachtung: die Art, den Verkehr zu zählen. Ein Teil der Lösungen am Markt lizenziert die Summe aus eingehendem und ausgehendem Verkehr. Für einen ISP mit natürlicher Verkehrsasymmetrie bedeutet das, für Bandbreite zu zahlen, die aus Sicht des Anti-DDoS-Schutzes keine Rolle spielt, denn volumetrische Angriffe kommen von außen.
Wie wir das bei LiveShield gelöst haben
Beim Entwurf des LiveShield-Lizenzmodells sind wir von einer Annahme ausgegangen: Ein Betreiber soll nicht rätseln müssen, was ihn die Sicherheit kosten wird. Den Lizenzpreis machen wir von einem einzigen Faktor abhängig: dem Volumen des in das Netz eingehenden Verkehrs, ausgedrückt in Gbps. Das ist alles.
Was sich daraus in der Praxis ergibt:
Es spielt keine Rolle, wie viele Server Sie betreiben. Die LiveShield-Module (Manager, Analyser, Worker) können auf einer Maschine laufen oder auf mehrere verteilt werden, die Lizenz unterscheidet das nicht. Ein Worker kann an jedem Standort stehen, an dem Sie Verkehr haben, oder ein einzelner Worker kann alles bedienen.
Es spielt keine Rolle, wie viele Standorte Sie haben. Ein Netz, das sich über zwei, drei oder fünf Rechenzentren erstreckt, bleibt eine Lizenz. Für die Preisberechnung summieren wir den eingehenden Verkehr aller Standorte, und das ist die einzige Zahl, die uns interessiert.
Es spielt keine Rolle, wie viele Edge-Router oder Schnittstellen Sie haben. Fügen wir einen weiteren Übergabepunkt mit BGP oder einen weiteren Port hinzu, ändern sich die Lizenzkosten nicht.
Wir zählen ausschließlich eingehenden Verkehr. Wir summieren nicht in + out. Verkehr, der Ihr Netz verlässt, erhöht den Lizenzpreis nicht.
Lizenzierung von LiveShield
Volle Funktionalität in jeder Lizenz
Die zweite Säule dieses Modells ist der Verzicht auf Funktionsvarianten. Es gibt keine Version „Basic“ und „Enterprise“, keine separat zuzukaufenden Module. Jede LiveShield-Lizenz enthält, unabhängig vom Verkehrsvolumen, das komplette Paket:
- Angriffserkennung auf Basis der Analyse einer vollständigen Verkehrskopie (Mirror), mit einer ersten Reaktion in bis zu unter einer Sekunde
- Paketverarbeitung mit DPDK, im Standard, ohne zusätzliche Lizenz
- Mitigation über BGP FlowSpec, mit automatischer Erzeugung und Verteilung der Regeln an die Edge-Router
- BGP-Blackholing (RTBH), einschließlich selektivem Blackholing
- erweiterte Filterung mit dynamischem Lernen des Angriffsmusters für TCP- und UDP-Verkehr
- Erkennung verteilter Angriffe vom Typ Carpet Bombing, mit Aggregation pro Subnetz
- Event Pipelines: E-Mail-Benachrichtigungen und Webhooks, separat konfigurierbar für verschiedene Präfixe oder Kundengruppen
- Berichte zur Unterstützung der Berichtspflichten aus KSC/NIS2
- Verwaltungspanel ohne Benutzerlimit
- volle Unterstützung von IPv4 und IPv6
Hinzu kommen Software-Updates während der Lizenzlaufzeit.
Auch die Hardware verkompliziert die Rechnung nicht
LiveShield läuft On-Premise auf Standard-x86-Servern mit DPDK-kompatiblen Netzwerkkarten. Es sind keine dedizierten Appliances oder geschlossene Hardware erforderlich. Das bedeutet, dass die Infrastrukturkosten vorhersehbar und vollständig unter der Kontrolle des Betreibers bleiben, und die LiveShield-Lizenz ist davon völlig unabhängig. Sie können einen Server austauschen, einen zweiten hinzufügen, den Worker an einen anderen Standort verlegen: Das Volumen des eingehenden Verkehrs bleibt die einzige Variable im Preis.
Wozu das alles?
Das Modell „eine Lizenz, ein Parameter, volle Funktionalität“ ist kein Marketingtrick, sondern die Konsequenz dessen, wie wir über das Produkt denken. Anti-DDoS-Schutz soll im gesamten Netz des Betreibers funktionieren und nicht nur dort, wo das Budget für die nächste Komponentenlizenz gereicht hat. Die künstliche Aufteilung der Funktionalität in Varianten führt zu einer Situation, in der der Betreiber zwar die Erkennung hat, die Mitigation aber zukaufen muss, und der Angriff wartet nicht auf den Abschluss des Beschaffungsprozesses.
Wenn Sie prüfen möchten, wie sich dieses Modell auf Ihr Netz übertragen ließe, genügt eine Angabe: der eingehende Verkehr in der Spitze. Schreiben Sie uns an office@liveshield.net oder nutzen Sie das Formular auf liveshield.net. Sie können sich das Panel auch selbst in der Demoversion ansehen: https://demo.liveshield.net
