DodoGuard — Guía

1. Qué es DodoGuard

DodoGuard es un sistema propio (sin dependencias externas) que hace tres cosas:

• Analiza el tráfico de la red por telemetría (sFlow, NetFlow v5/v9, IPFIX) — quién consume, hacia dónde, por qué ASN, país, puerto e interfaz.
• Detecta ataques (anomalías) cuando el tráfico a un prefijo supera un umbral por protocolo.
• Mitiga automáticamente por BGP: FlowSpec (dropear/limitar en el router), RTBH (blackhole /32), o Desvío al equipo de mitigación (scrubber) para limpieza con estado.

Es equivalente a Wanguard (detección + mitigación) combinado con Akvorado/ntopng (explorador de tráfico).

2. Arquitectura

• Sensor: recibe la telemetría (sFlow por muestreo; NetFlow/IPFIX por flujo, mide cada boca del router).
• Agregador: escala por sampling, enriquece cada flujo con ASN, país, interfaz de entrada/salida, y mantiene una ventana temporal (tops por minuto).
• Detector: compara contra los umbrales por decoder y alcance; abre/cierra anomalías.
• Mitigador: ejecuta la acción del perfil/umbral y anuncia por ExaBGP (FlowSpec y rutas /32-/24) o deriva al scrubber.

3. Detección de anomalías

Una anomalía se abre cuando una métrica (pps / bps / flujos) de un decoder (UDP, TCP, TCP+SYN, ICMP, fragmentos, total…) supera el umbral configurado para ese alcance, sostenido unos segundos.

Umbrales con alcance (Threshold Templates)

En la pestaña Umbrales hay una plantilla general que aplica a todo, y podés crear otras y asignarlas a un ASN, un prefijo o hasta una /32. El match más específico gana (una /32 gana a una /24, gana al ASN, gana al general).

Fin de la anomalía

La anomalía se cierra cuando el tráfico baja del umbral. Si el ataque vuelve, se abre una nueva. En Ataques ves las activas y el historial; clic en cualquier fila abre el detalle (gráfico, vector, top orígenes, mitigación y reglas de filtrado).

4. Mitigación: las acciones

El DROP ATTACK se dispara solo al detectar la anomalía (según el perfil del protocolo), y también podés lanzarlo a mano con el botón 🚫 Orígenes o desde el detalle del ataque.

5. Perfiles de mitigación (estilo Wanguard)

La pestaña Perfiles de mitigación replica el Anomaly Mitigation Settings de Wanguard, con una pestaña por protocolo (IP, TCP, TCP+SYN, UDP, ICMP, OTHER, FLOW+SYN, FRAGMENT). Cada perfil tiene:

• Netfilter Rules (implícitas): SYN Proxy, Invalid TCP Flags, Invalid DNS, Private/Reserved IPs, IP Blacklist, y rate-limit de paquetes/bytes con hash Src.IP. Las ejecuta el scrubber inline (son con estado / L7), no FlowSpec.
• Filtering Rules: activás/desactivás cada criterio y editás Prioridad · Severidad · Timeout. Los criterios FlowSpec (IP Address, Src/Dst Port, Packet Length, ICMP Type, IP Protocol) afinan la regla generada; IP Address = DROP ATTACK.
• Mitigación: modo (auto/proponer/avisar/off), alcance del DROP (/32, /24 o /23), máx orígenes, cooldown, timeout (grace tras el ataque, ej. 30 min) y conector.

Editar un criterio cambia de verdad cómo se filtra: si prendés “Src Port UDP” y el ataque concentra un puerto (ej. amplificación 53/123), cada regla de DROP pasa a incluir source-port =N.

6. Qué puede FlowSpec y qué hace el scrubber

FlowSpec (RFC 8955) es sin estado, lo aplica el router. Lo con estado / L7 lo hace el scrubber inline (XDP).

Importante: el rate-limit por IP de origen no existe en FlowSpec (FlowSpec sólo limita por flujo agregado) — eso lo hace el mitigador inline.

announce flow route { match { source 186.62.49.223/32; destination 45.235.98.0/24; protocol =udp; } then { discard; } }

7. Ciclo de vida de una mitigación

1. Se detecta la anomalía → el perfil dispara la acción (ej. DROP ATTACK sobre el /24).
2. La mitigación queda ACTIVA mientras dura el ataque.
3. Cuando el ataque para, arranca el timeout del perfil (ej. 30 min). Si vuelve a atacar antes, el timer se reinicia (el tiempo “crece”).
4. Al vencer el timeout, la mitigación pasa a FINALIZADA y se envía el withdraw por BGP: se levanta el bloqueo / el redirect al scrubber.

En Mitigaciones ves “ACTIVA · expira en Xm”, podés filtrar Activas/Todas, retirar una sola, o retirar en lote por tipo (FlowSpec / Desvíos / RTBH / Todo).

8. Explorador (estilo Akvorado)

La pestaña Explorar es un explorador de tráfico con filtros combinables: Interfaz · Dirección · IP · ASN · País · Protocolo · Puerto (cada uno matchea origen o destino) y Agrupar por cualquier dimensión. Arriba, el gráfico de tráfico filtrado; abajo, el ranking. Clic en una fila la agrega como filtro (drill-down), y podés exportar a CSV.

9. Las pestañas del panel

10. Operación rápida

• Frenar un ataque a mano: en Ataques clic en la fila → “Dropear orígenes” o “Desviar a mitigación”.
• Dropear orígenes de un segmento/grupo: botón 🚫 Orígenes → alcance 45.235.98.0/23 o el grupo gaming.
• Limpiar todo: en Mitigaciones, “Retirar todos los FlowSpec / Desvíos / RTBH / TODO”.
• Prender/apagar Eventos de red: toggle en esa pestaña (dejalo apagado con sFlow).
• Ajustar cómo filtra cada protocolo: pestaña Perfiles de mitigación → editá Filtering Rules / alcance / modo / timeout → Guardar (recarga en caliente).

11. Glosario

• Decoder: clasificación del tráfico por protocolo (UDP, TCP, TCP+SYN, ICMP, fragmentos, total…).
• FlowSpec (RFC 8955): reglas de match+acción distribuidas por BGP que el router aplica sin estado.
• RTBH: Remote Triggered Black Hole — anunciar un /32 para que el router lo descarte.
• Desvío / diversion: anunciar el prefijo con next-hop al scrubber para limpiar y reinyectar.
• Scrubber: equipo de mitigación inline (proyecto ddos / XDP) que hace lo con estado y L7.
• DROP ATTACK: generar una regla FlowSpec discard por cada IP de origen atacante.
• Alcance: sobre qué prefijo se aplica (una /32, un segmento /24-/23, o un grupo de IPs).
• Timeout: cuánto queda la mitigación tras terminar el ataque (crece si vuelve a atacar).