Détectez à la limite, apprenez en essaim.
RaDome est une plate-forme de défense de périphérie autonome qui s'exécute comme un seul binaire sur chaque serveur. Il arrête les DDoS à la limite du noyau avec eBPF/XDP, inspecte le trafic L7 avec un WAF piloté par l'IA et propage les informations sur les menaces apprises sur tous les nœuds via un essaim P2P.
La plupart des outils de sécurité de pointe suivent le même pipeline vieux de dix ans : paquet → règle → décision → abandon. Ce modèle réagit aux paquets et aux adresses IP individuels — il est aveugle aux campagnes coordonnées.
Approche traditionnelle
Trafic provenant d'un millier d'adresses IP différentes partageant la même empreinte digitale JA4, la chaîne d'exploitation et le modèle de comportement sont traités un par un. La campagne n'est jamais vue.
Boucle cognitive ACSA
RaDome apprend et neutralise les campagnes — pas les adresses IP. Un comportement coordonné caché derrière des milliers d’hôtes jetables se transforme en une seule campagne de menace reconnue.
De L3 à L7, TLS à WebSocket — pile de protection complète.
Les attaques SYN Flood, UDP amplification, ICMP Flood, IP fragmentation et IPv6 sont abandonnées à la limite du noyau. Seuls les paquets propres atteignent la pile liée au processeur.
50 règles rapides (Tier-1) + inspection approfondie OWASP CRS 4.x (Tier-2). Injection SQL, XSS, RCE, parcours de chemin, etc.
Terminaison TLS basée sur Rustls — pas de dépendance OpenSSL. Routage SNI dynamique, renouvellement automatique des certificats ACME, empreinte digitale JA3/JA4 TLS.
Terminaison complète du proxy inverse. HTTP/3 QUIC, WebSocket et gRPC — tous les protocoles modernes entièrement pris en charge.
Validation des cookies, preuve de travail, défi JavaScript et tarpit — la difficulté s'ajuste automatiquement à l'intensité de l'attaque.
Le gestionnaire de dégradation en 5 étapes se déclenche à un PSI > 80 %. Passage automatique de l'inspection approfondie du WAF au mode local uniquement, avec récupération automatique lorsque la charge se normalise.
La simulation ci-dessous démontre les décisions de chemin chaud/chaud/froid de RaDome
final_score = règle × 0,5 + ml × 0,3 + comportement × 0,2
Comparaison avec Cloudflare, ModSecurity et AWS WAF
| Critère | RaDome★ RaTurka | Cloudflare WAF | ModSecurity | AWS WAF |
|---|---|---|---|---|
| Latence de décision | Hot path <50µs | ~1–5 ms | ~2–10 ms | ~5–20 ms |
| DDoS au niveau du noyau | eBPF/XDP | Partiellement | ||
| Partage des menaces P2P | Gossipsub + DAG-BFT | |||
| Swarm intelligence | ||||
| Dépendance OpenSSL | Non (rustls) | N/A | ||
| OWASP CRS 4.x | ||||
| Dégradation gracieuse | PSI en 5 étapes | Partiellement | ||
| Auto-hébergé | ||||
| Empreinte digitale JA3/JA4 | Partiellement |
* La comparaison est basée sur des données estimées. RaDome est en version bêta.
Examiner la documentation techniqueChaud/Chaud/Froid trois chemins séparés ; décision en moins de 50µs, l'apprentissage s'effectue sans interruption en arrière-plan.
Hot Path
<50µsDécision par paquet / par demande. Règles rapides WAF Tier-1, limites de taux eBPF, recherches de réputation. Structures de données entièrement sans verrouillage et respectueuses du cache.
Warm Path
msScore comportemental, inférence d'anomalies ML et moteur de risque fusionnant les règles, le ML et les signaux de comportement en un seul score de décision.
Cold Path
arrière-planInférence ML à grande échelle, formation en ligne, détection de campagne et point de contrôle de modèle sur un thread de système d'exploitation dédié. Les résultats sont renvoyés au chemin chaud via des canaux délimités.
Formule de score de risque
0 – 29
Autoriser
30 – 59
Défi
60 – 79
Limite de tarif
80+
Blocage + liste noire XDP
<0µs
Latence de décision du WAF
Hot path, sans verrouillage
0
Dépendances OpenSSL
rustls + aws-lc-rs
0
Étapes de dégradation
Dégradation basée sur le PSI
0binary
Binaire statique unique
Aucune dépendance d'exécution
final_score = règle × 0,5 + ml × 0,3 + comportement × 0,2
Le trafic brut des clients n'est jamais partagé. Seules les données de télémétrie signées et anonymes sur les menaces circulent sur le réseau.
Chaque rapport de menace est signé avec Ed25519. Un seul nœud compromis ne peut pas empoisonner le réseau.
Les mises à jour au niveau des politiques nécessitent des signatures de seuil. Aucune règle globale ne change sans consensus multi-nœuds.
Réseau maillé léger. Propage les deltas de menace à tous les nœuds avec une bande passante minimale.
Coordination résistante byzantine à la manière du narval. Finalité garantie sous 100ms.
Les deltas de menace sont transportés sous forme d'ensembles compressés avec des durées de vie par menace. La bande passante reste minime.
La réputation du nœud se dégrade quotidiennement. Les mauvais acteurs perdent leur influence sur le réseau au fil du temps.
Les profils sont des points de départ. Chaque fonctionnalité peut être activée individuellement via une seule configuration YAML.
Données mesurées minimales
1 vCPU / 1 Go de RAM
Standard
2 à 4 vCPU / 2 à 4 Go de RAM
Entreprise
4+ vCPU / 8+ Go de RAM
Rechargement en direct sans temps d'arrêt via SIGHUP — aucun redémarrage requis
Installer
radome install --profile standard radome run --config /etc/radome/config.yaml
RaDome n'est pas un module complémentaire — c'est une couche de sécurité facturée séparément. Les prix seront annoncés prochainement.
| RaDome StandardRecommandé | RaDome Minimal | RaDome Enterprise | |
|---|---|---|---|
| Prix mensuel | $20/ mo | Bientôt disponible | Bientôt disponible |
| WAF Tier-2 — OWASP CRS 4.x | |||
| JA3/JA4 TLS Fingerprinting | |||
| AI/ML Anomaly Detection | Shadow ML | Tam Online ML | |
| Challenge Engine | Cookie / PoW / JS | Cookie | Cookie / PoW / JS / Tarpit |
| DAG-BFT Byzantine Consensus | |||
| AF_XDP Zero-copy | |||
| OpenTelemetry Tracing | %1 Örnekleme | Tam İzleme | |
| gRPC Management API | |||
| Multi-tenant Upstream Isolation |
Intégrez RaTurka dans votre environnement de production en quelques minutes. Déployez l’agent avec une seule commande et mettez le chaos opérationnel derrière vous.
Plan gratuit disponible — aucune carte de crédit requise.
