Защита от DDoS-атак, встроенная на уровне оборудования, становится последним рубежом между легитимным трафиком и коллапсом сети. В отличие от программных решений, которые анализируют трафик после того, как он уже попал на сервер, аппаратные методы фильтруют пакеты непосредственно на входящих интерфейсах маршрутизаторов и коммутаторов. Такой подход позволяет отбрасывать вредоносные пакеты на самой границе сети, не нагружая вышестоящие устройства.
Базовым механизмом является контрольная плоскость защиты, которая ограничивает количество пакетов, направляемых на процессор маршрутизатора. При атаке, генерирующей миллионы пакетов в секунду, оборудование аппаратно отбрасывает избыточные экземпляры, пропуская к процессору лишь заданное количество. Это предотвращает ситуацию, когда маршрутизатор тратит все ресурсы на обработку мусора и перестаёт отвечать на легитимные запросы, включая протоколы маршрутизации.
Современные платформы поддерживают технологию FlowSpec, позволяющую маршрутизатору динамически получать от внешних анализаторов правила фильтрации и применять их к транзитному трафику. Например, при обнаружении атаки на определённый порт контроллер безопасности отправляет маршрутизатору команду отбрасывать все пакеты с этим портом, не пропуская их вглубь сети. Всё происходит за микросекунды, тогда как ручное добавление правил через SSH заняло бы минуты драгоценного времени.
Для операторов связи и крупных корпораций производители предлагают специализированные модули глубокого анализа пакетов, устанавливаемые в слоты маршрутизаторов. Эти модули умеют распознавать характерные для DDoS паттерны, такие как SYN-флуд или DNS-амплификация, и блокировать их аппаратно. Встроенная защита не заменяет специализированные очистители трафика, но обеспечивает первый эшелон обороны, отсеивая до девяноста процентов простейших атак и давая время для более глубокого анализа оставшихся подозрительных потоков.