Компонент защиты от ddos атак Cisco Anomaly Detector является механизмом предупреждения, дающим возможность создавать модель легальных запросов, свойственных для подзащитного ресурса, а также выявлять отклонения в текущем трафике относительно заложенного в данной модели.

Для осуществления анализа, компонент защиты от ддос атак Anomaly Detector обязан получать развёрнутую копию трафика, текущего к ресурсу. Для этого следует расположить Anomaly Detector максимально близко к защищаемому ресурсу, в идеале предоставляя возможность копирования трафика с коммутатора, к которому данный ресурс подключен.

Cisco Guard является компонентом защиты от ddos атак, позволяющим снизить возможный ущерб для подзащитного ресурса.

При выявлении расхождения поступаемого трафика от заложенного, Anomaly Detector предупреждает администратора сети, а также способен запустить модуль защиты от ddos атак Cisco Guard.

С помощью пятиступенчатого алгоритма мониторинга, анализа и отсеивания трафика, Cisco Guard предоставляет возможность эффективного разделения нелегального трафика от обычных пользовательских запросов. Для функционирования модуля защиты от ддос атак Cisco Guard и способности его распознавать ддос активность он, находясь в состоянии обучения, время от времени изменяет базовый профиль легального трафика.

При выявлении ддос атаки, администратор сети или компонент выявления ddos атак активирует Cisco Guard. Вследствие этого все запросы, направленные на подзащитный ресурс, перенаправляются на Cisco Guard.

Во время защиты от ddos атак, Cisco Guard производит анализ выявленных аномалий трафика и генерирует непрерывно меняющийся набор фильтров. После этого трафик транслируется на компьютор, который направляет его на модуль аутентификации. После фильтрации запросов, не поддающихся идентификации, Cisco Guard транслирует поток трафика на скоростной ограничитель, где осуществляется его фильтрация относительно скорости. Только уже после этого очищенный трафик направляется на ресурс. При прекращении ддос атаки, Cisco Guard самостоятельно деактивируется и маршрут прохождения запросов возвращается к стандартной схеме. Обычно компоненты защиты от ддос атак Cisco Guard, размещаются в наиболее подверженных атакам точках. Подобная схема служит для уменьшения вреда от ддос атаки.