O Que é Ataque DDoS e Como se Proteger

Imagine que a porta da sua loja tem capacidade para dez clientes entrarem por minuto, e de repente dez mil pessoas falsas se aglomeram na entrada ao mesmo tempo, sem intenção de comprar nada, apenas para impedir que os clientes de verdade consigam passar. É basicamente isso que um ataque DDoS faz com um site, um sistema ou um servidor: sufoca a operação com tráfego artificial até que ela pare de responder. Para uma empresa que depende de seu site, sua loja virtual ou seus sistemas para operar, algumas horas fora do ar significam prejuízo direto, clientes irritados e reputação arranhada. Neste artigo você vai entender o que é um ataque DDoS, como ele funciona, os tipos que existem, como reconhecer que está sob ataque e, principalmente, as camadas de proteção que blindam a sua empresa.

O que é um ataque DDoS

DDoS é a sigla de Distributed Denial of Service, ou negação de serviço distribuída. O objetivo do ataque é tornar um serviço indisponível, sobrecarregando-o com um volume de requisições ou tráfego muito além do que ele consegue processar. O serviço fica tão ocupado tentando lidar com o tráfego malicioso que não sobra capacidade para atender os usuários legítimos, e o resultado é o site que não carrega, o sistema que trava e o cliente que desiste.

A palavra distribuída é o que torna esse ataque especialmente difícil de conter. Em um ataque DoS simples, o tráfego vem de uma única origem, o que é relativamente fácil de bloquear. No DDoS, o tráfego vem de milhares ou até milhões de fontes diferentes ao mesmo tempo, espalhadas pelo mundo. Bloquear um endereço não resolve nada quando existem outros milhares atacando simultaneamente.

É importante separar o DDoS de outros tipos de ataque. O DDoS não invade o sistema, não rouba dados e não instala vírus. Ele simplesmente derruba a disponibilidade. Isso não o torna menos perigoso: às vezes o DDoS é usado como cortina de fumaça, ocupando a equipe de segurança enquanto outro ataque, esse sim de invasão, acontece por outra porta. Mas o efeito direto e visível do DDoS é sempre a indisponibilidade.

Como funciona: a botnet

A pergunta natural é: de onde vem tanto tráfego? A resposta, na maioria dos casos, é uma botnet. Uma botnet é uma rede de dispositivos conectados à internet que foram infectados por malware e passaram a obedecer, sem que seus donos saibam, a um comando central controlado pelo atacante. Cada dispositivo infectado é chamado de bot ou zumbi.

O que torna as botnets modernas assustadoramente grandes é a Internet das Coisas. Câmeras de segurança, roteadores domésticos, gravadores de vídeo, impressoras e todo tipo de dispositivo conectado com senha fraca ou firmware desatualizado viram alvos fáceis. Uma vez infectados, milhões desses aparelhos podem ser orquestrados simultaneamente. Um dos casos mais famosos, a botnet Mirai, reuniu centenas de milhares de dispositivos IoT comprometidos e gerou ataques recordes que derrubaram grandes serviços da internet.

Quando o atacante dá a ordem, todos esses dispositivos passam a enviar tráfego ao alvo ao mesmo tempo. O dono da câmera infectada não percebe nada além de uma leve lentidão. Mas o alvo, na outra ponta, recebe o peso somado de milhões desses dispositivos. É esse efeito de multidão coordenada que dá ao DDoS seu poder.

Os três tipos de ataque DDoS

Nem todo ataque DDoS é igual. Eles se dividem em três grandes categorias, cada uma mirando uma parte diferente da infraestrutura. Entender essa divisão é o primeiro passo para escolher a defesa certa.

Ataques volumétricos

São os mais conhecidos e os que geram as manchetes de terabits por segundo. O objetivo é simples: saturar a banda de internet do alvo com um volume gigantesco de tráfego, até que o link fique completamente entupido. Técnicas comuns incluem a amplificação por DNS e por NTP, em que o atacante engana servidores intermediários para que respondam com pacotes muito maiores do que a solicitação original, multiplicando o volume do ataque. Medidos em bits por segundo, esses ataques são a força bruta do mundo DDoS.

Ataques de protocolo

Em vez de mirar a banda, esses ataques exploram fraquezas na forma como os protocolos de rede funcionam, consumindo recursos de servidores, firewalls e balanceadores de carga. O exemplo clássico é o SYN flood, que abusa do processo de estabelecimento de conexão do TCP: o atacante inicia milhares de conexões, mas nunca as completa, deixando o servidor preso esperando por respostas que nunca chegam, até esgotar sua capacidade de aceitar novas conexões. Medidos em pacotes por segundo, esses ataques são mais cirúrgicos que os volumétricos.

Ataques de camada de aplicação

São os mais sofisticados e difíceis de detectar. Em vez de força bruta, miram a camada 7, a das aplicações, imitando requisições legítimas de usuários reais. Um exemplo é o HTTP flood, que envia um volume enorme de requisições aparentemente normais a páginas que exigem processamento pesado, como buscas ou geração de relatórios. Como cada requisição parece legítima, separar o tráfego malicioso do real é um desafio. Medidos em requisições por segundo, esses ataques conseguem derrubar um sistema com muito menos tráfego que um ataque volumétrico, justamente por serem mais precisos.

Comparação dos tipos de ataque

Alvo principal Banda de internet Servidores e firewalls Aplicação (camada 7) Métrica típica Bits por segundo Pacotes por segundo Requisições por segundo Exemplo comum Amplificação DNS/NTP SYN flood HTTP flood Facilidade de detecção Alta, tráfego evidente Média Baixa, imita usuários reais Volume necessário Muito alto Moderado Relativamente baixo Defesa principal Absorção na borda/CDN Filtragem de estado WAF e análise de comportamento

Muitos ataques reais combinam os três tipos ao mesmo tempo, mudando de estratégia durante a ofensiva para dificultar a defesa. Um ataque pode começar volumétrico para consumir a equipe e depois migrar para a camada de aplicação. Por isso, uma defesa eficaz precisa cobrir as três frentes, não apenas uma.

Como reconhecer que está sob ataque

Nem sempre é óbvio distinguir um ataque DDoS de um simples pico de acesso legítimo, como o de uma campanha de marketing bem-sucedida. Alguns sinais, especialmente quando aparecem juntos, apontam para um ataque:

• Lentidão ou indisponibilidade repentina de um site ou aplicação sem causa aparente.
• Pico de tráfego vindo de um único tipo de dispositivo, região geográfica ou faixa de endereços que não corresponde ao seu público normal.
• Aumento súbito de requisições a uma única página ou endpoint específico, especialmente os que consomem mais processamento.
• Padrões de tráfego estranhos, como picos em horários incomuns ou ondas repetitivas.
• Esgotamento de recursos do servidor (CPU, memória, conexões) sem um aumento correspondente de vendas ou uso legítimo.

A diferença entre notar um ataque na primeira onda e descobrir só quando o cliente liga reclamando é, quase sempre, a existência de monitoramento contínuo. Empresas que acompanham seus indicadores de tráfego e desempenho em tempo real percebem o desvio cedo e ganham minutos preciosos para reagir. Quem não monitora descobre pelo prejuízo.

As camadas de proteção contra DDoS

Não existe uma única solução mágica contra DDoS. A proteção eficaz é feita de camadas que se complementam, cada uma cobrindo um tipo de ameaça. Vamos às principais.

Mitigação na borda com CDN e serviços especializados

A primeira linha de defesa contra ataques volumétricos é ter uma rede grande o suficiente para absorver o tráfego antes que ele chegue à sua infraestrutura. Serviços de mitigação de DDoS e CDNs operam redes distribuídas com capacidade de absorção medida em terabits, espalhando e filtrando o tráfego malicioso em muitos pontos ao redor do mundo. Em vez de o ataque bater diretamente no seu servidor, ele é diluído e limpo na borda dessa rede global. Para a maioria das empresas, essa é a defesa mais custo-efetiva contra os ataques de maior volume.

Firewall de aplicação (WAF)

Contra os ataques de camada de aplicação, que imitam usuários reais, o WAF (Web Application Firewall) é essencial. Ele analisa as requisições HTTP e aplica regras para identificar e bloquear padrões maliciosos, protegendo a aplicação de floods que passariam por defesas mais simples. Combinado com análise de comportamento, o WAF distingue o cliente real do bot que finge ser cliente.

Rate limiting e filtragem inteligente

Limitar quantas requisições um mesmo cliente pode fazer em um intervalo de tempo (rate limiting) contém floods de aplicação. Filtros que identificam e barram tráfego de fontes reconhecidamente maliciosas, além de desafios como CAPTCHA e verificações de navegador, ajudam a separar humanos de bots sem prejudicar a experiência do usuário legítimo.

Arquitetura resiliente

Distribuir a operação geograficamente, ter capacidade de escalar rapidamente sob demanda e usar balanceamento de carga aumenta a resiliência natural do sistema. Uma arquitetura que absorve picos e distribui carga já dificulta a vida do atacante antes mesmo de qualquer defesa dedicada entrar em ação.

Plano de resposta a incidentes

Tecnologia sem processo falha na hora do aperto. Ter um plano claro de resposta, quem faz o quê, quais contatos acionar, como escalar para o provedor de mitigação, como comunicar clientes, transforma o caos de um ataque em uma resposta ordenada. O melhor momento para escrever esse plano é antes do ataque, não durante.

A CISA, agência de segurança cibernética dos Estados Unidos, recomenda justamente essa abordagem em camadas, combinando defesa na borda, filtragem inteligente e um plano de resposta ensaiado, em vez de depender de uma única barreira.

Boas práticas para reduzir o risco

Além das camadas de defesa, algumas práticas reduzem a superfície de ataque e a chance de sofrer indisponibilidade:

• Conheça seu tráfego normal: só é possível detectar o anormal quando se sabe o que é normal. Estabeleça uma linha de base de tráfego.
• Não exponha o que não precisa: reduza os serviços e portas acessíveis pela internet ao mínimo necessário.
• Mantenha tudo atualizado: servidores, firewalls e aplicações atualizados fecham brechas que ataques exploram.
• Superprovisione com margem: ter alguma folga de capacidade dá tempo de reação antes do colapso.
• Contrate mitigação antes de precisar: ativar proteção durante um ataque é tarde demais. A defesa precisa estar no lugar antes.
• Monitore continuamente: a detecção precoce é o que separa um susto de um desastre.

Esse último ponto é o fio que costura todos os outros. Sem monitoramento contínuo, todas as demais camadas ficam cegas: você tem defesas instaladas, mas não sabe quando acioná-las nem se estão funcionando. É por isso que monitoração e resposta andam sempre juntas.

Como um parceiro de TI protege sua empresa

Montar e manter uma defesa DDoS eficaz exige conhecimento de rede, segurança e arquitetura, além de disponibilidade para responder a qualquer hora, porque ataques não escolhem horário comercial. Para a maioria das empresas de 20 a 500 funcionários, manter esse arsenal e essa vigilância internamente não é viável nem econômico.

Um parceiro de outsourcing de TI e segurança entrega essa proteção como serviço. Desenha a arquitetura de defesa em camadas adequada ao seu risco, implanta mitigação na borda e WAF, define o plano de resposta e, o mais importante, monitora sua operação continuamente para detectar e reagir a ataques em tempo real. Você ganha uma defesa de nível corporativo sem precisar montar um time de segurança do zero.

Conclusão

Um ataque DDoS derruba a disponibilidade de um serviço afogando-o em tráfego artificial, geralmente disparado por botnets de milhões de dispositivos comprometidos. Os ataques se dividem em volumétricos, de protocolo e de aplicação, e os mais perigosos combinam os três. A proteção eficaz não é uma barreira única, mas um conjunto de camadas: mitigação na borda com CDN, firewall de aplicação, filtragem inteligente, arquitetura resiliente e, acima de tudo, monitoramento contínuo com um plano de resposta ensaiado.

A Ródio Tech está no mercado desde 2004 e cuida da segurança e da infraestrutura das empresas de ponta a ponta. Ajudamos a sua empresa a montar a defesa em camadas certa e, principalmente, a monitorar sua operação para detectar e conter ataques antes que virem prejuízo. Conheça como monitoramos sua operação em /monitoração e nossa terceirização de TI em /outsourcing.

Referências

• CISA. "Understanding and Responding to Distributed Denial-of-Service Attacks". https://www.cisa.gov/news-events/alerts/2024/03/21/understanding-and-responding-distributed-denial-service-attacks
• Cloudflare. "What is a DDoS attack?". https://www.cloudflare.com/learning/ddos/what-is-a-ddos-attack/
• NIST. "SP 800-61: Computer Security Incident Handling Guide". https://csrc.nist.gov/pubs/sp/800/61/r2/final
• IETF. "RFC 4987: TCP SYN Flooding Attacks and Common Mitigations". https://www.rfc-editor.org/rfc/rfc4987
• CISA. "Heightened DDoS Threat Posed by Mirai and Other Botnets". https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets

Principais pontos

1. Definição: DDoS (Distributed Denial of Service) é um ataque que sobrecarrega um serviço com tráfego de milhares ou milhões de fontes simultâneas, tornando-o indisponível sem invadir o sistema nem roubar dados.
2. Origem do tráfego: a maioria dos ataques parte de uma botnet, rede de dispositivos infectados (muitos deles de Internet das Coisas, como câmeras e roteadores) controlados remotamente; a botnet Mirai é um dos casos mais famosos.
3. Três tipos de ataque: volumétricos (saturam a banda, medidos em bits por segundo, como amplificação DNS/NTP), de protocolo (exploram fraquezas de protocolo, como SYN flood) e de camada de aplicação (imitam usuários reais, como HTTP flood, os mais difíceis de detectar).
4. Camadas de proteção: mitigação na borda com CDN, firewall de aplicação (WAF), rate limiting e filtragem inteligente, arquitetura resiliente e um plano de resposta a incidentes ensaiado antes do ataque.
5. Papel do monitoramento: monitoramento contínuo do tráfego é o que separa detectar um ataque na primeira onda de só descobrir quando o cliente liga reclamando.