La pulizia upstream è un metodo di difesa DDoS che filtra il traffico ostile prima che raggiunga la rete della vittima. Invece di lasciare che ogni pacchetto colpisca il server di origine, il traffico viene inviato attraverso un provider o un centro di filtraggio che lo ispeziona, blocca i flussi abusivi e inoltra solo le richieste legittime.
Questo è importante perché grandi raffiche di traffico possono sovraccaricare un sito molto prima che le difese locali abbiano il tempo di reagire. La pulizia upstream riduce l'esaurimento della larghezza di banda, protegge router e firewall e aiuta a preservare la disponibilità durante gli attacchi. In pratica, viene spesso usata insieme al rate limiting, ai controlli di reputazione IP, alla validazione dei protocolli e al rilevamento delle anomalie del traffico. Per gli aggressori, è un ostacolo importante perché il volume dannoso può essere rimosso ai margini della rete, talvolta lontano dal bersaglio. Per i difensori, è uno dei modi più efficaci per mantenere online i servizi pubblici durante eventi DDoS volumetrici.