O que é ataque DDoS e como proteger a sua empresa

Imagine a porta de uma loja tomada por centenas de pessoas que não querem comprar nada, só ficar paradas ali. Os clientes de verdade não conseguem entrar. Um ataque DDoS faz exatamente isso com um site, um sistema web ou um servidor: enche o caminho com tráfego inútil até que o serviço fique lento ou pare de responder.

A sigla vem do inglês Distributed Denial of Service, ou negação de serviço distribuída. "Distribuída" porque o tráfego não sai de um computador só, e sim de milhares de dispositivos espalhados pelo mundo, quase sempre equipamentos infectados (câmeras, roteadores domésticos, servidores mal configurados) que formam uma rede controlada pelo atacante, a chamada botnet.

DDoS não é invasão, mas o prejuízo é real

Diferente de um ransomware, o DDoS em geral não rouba nem criptografa dados. O objetivo é tirar o serviço do ar. Mesmo assim, o impacto para a empresa pode ser grande:

• loja virtual fora do ar em dia de campanha;
• sistema de gestão inacessível para filiais e vendedores externos;
• VPN derrubada, deixando quem trabalha remoto sem acesso;
• telefonia IP e integrações com parceiros interrompidas.

Às vezes o DDoS também serve de cortina de fumaça: enquanto a equipe corre para restabelecer o serviço, outro ataque tenta entrar por uma porta esquecida. Por isso ele deve ser tratado como incidente de segurança, não só como "lentidão".

Os três tipos principais de ataque DDoS

Ataques volumétricos

São os mais conhecidos. A ideia é mandar mais tráfego do que o link de internet consegue carregar. Se o seu servidor está ligado a um link de determinada capacidade e chega o dobro disso em pacotes, o link satura e nada passa, nem o tráfego legítimo. Uma técnica comum é a amplificação: o atacante envia pequenas consultas a serviços públicos mal configurados (DNS, NTP e similares) fingindo ser o endereço da vítima, e esses serviços respondem com pacotes muito maiores direto para ela.

Ataques de protocolo

Exploram a forma como os protocolos de rede funcionam. O exemplo clássico é o SYN flood: o atacante inicia milhares de conexões TCP e nunca as completa. O servidor, o firewall ou o balanceador reservam memória para cada conexão pendente até esgotar a capacidade. O volume de tráfego pode nem ser tão alto; o que acaba é a tabela de conexões dos equipamentos.

Ataques de aplicação (camada 7)

São os mais difíceis de distinguir do uso normal. O atacante faz requisições que parecem legítimas, como abrir a página de busca, gerar um relatório ou tentar login, mas em quantidade enorme. Cada requisição exige processamento e consulta ao banco de dados. Com poucas centenas de requisições por segundo bem escolhidas, um sistema web pode travar sem que o link sequer chegue perto do limite.

Sinais de que você pode estar sob ataque

Lentidão tem muitas causas, e nem toda queda é DDoS. Alguns sinais ajudam a separar uma coisa da outra:

• pico repentino de tráfego de entrada, sem campanha ou evento que explique;
• grande volume vindo de muitos endereços IP diferentes, de vários países, ao mesmo tempo;
• muitas requisições para a mesma URL ou o mesmo tipo de pacote;
• tabela de conexões do firewall cheia, com conexões incompletas;
• serviço lento para todos os usuários, enquanto CPU e disco do servidor parecem normais (sinal de link saturado);
• quedas que se repetem em horários parecidos.

Um bom monitoramento de servidores ajuda muito aqui: com histórico de tráfego, CPU e conexões, fica mais fácil ver o que mudou e quando.

Por que empresas pequenas também são alvo

É comum pensar que só grandes portais sofrem DDoS. Na prática, contratar um ataque ficou barato e simples, e os motivos são variados: concorrência desleal, ex-funcionário ou cliente insatisfeito, extorsão ("pague ou derrubamos o seu site") ou simplesmente um endereço IP que caiu numa varredura automática. Empresas menores costumam ter menos proteção, o que as torna alvos fáceis. E um link de escritório comum é derrubado com um volume pequeno para os padrões de um ataque.

Também existe o dano colateral: se o seu servidor divide infraestrutura com outro que está sendo atacado e não há mitigação no caminho, você sente o efeito mesmo sem ser o alvo.

Como mitigar um ataque DDoS

Não existe uma configuração única que resolva tudo. A defesa funciona em camadas.

1. Mitigação na rede, antes do servidor

Contra ataques volumétricos, não adianta configurar o servidor: se o link satura, o tráfego nem chega até ele. A filtragem precisa acontecer antes, na infraestrutura de rede do provedor, que detecta o tráfego anômalo e descarta o lixo enquanto deixa passar o legítimo. É isso que um serviço de proteção DDoS faz.

2. Firewall bem configurado

Um firewall gerenciado ajuda contra ataques de protocolo e reduz a superfície exposta: limita conexões por origem, descarta pacotes malformados e fecha tudo o que não precisa estar aberto. Regra prática: se um serviço não precisa ser acessado pela internet (banco de dados, área de trabalho remota, painel administrativo), ele não deve estar exposto. Use VPN para o acesso interno.

3. Proteção na aplicação

• limite de requisições por IP e por sessão em rotas pesadas (login, busca, relatórios);
• cache para páginas e consultas que não mudam a cada acesso;
• captcha ou desafio em formulários quando o volume foge do normal;
• consultas ao banco de dados otimizadas, para que cada requisição custe menos.

4. Plano de resposta

Defina antes quem é avisado, quem fala com o provedor, como comunicar clientes e quais serviços são prioridade. Em um incidente, quem não tem plano perde tempo decidindo o óbvio.

O que fazer durante um ataque

1. Confirme que é ataque: veja gráficos de tráfego, conexões e logs.
2. Acione o provedor de infraestrutura imediatamente, informando o serviço afetado e o horário de início.
3. Bloqueie origens e padrões óbvios no firewall, sem bloquear seus próprios usuários.
4. Não pague extorsão: não há garantia de que o ataque pare, e você vira alvo recorrente.
5. Depois, registre o que aconteceu e ajuste regras, limites e o plano.

Como a DataHead pode ajudar

No datacenter da DataHead em Londrina, a proteção DDoS detecta tráfego anômalo e mitiga ataques volumétricos, com alertas para você acompanhar. Combinada com o firewall gerenciado, ela cobre as camadas de rede e de protocolo para servidores em VPS ou dedicados. Se você vende pela internet, vale ler também sobre servidor para e-commerce. Para avaliar a exposição do seu ambiente, fale com a gente pelo fale conosco.