O que é DDoS: tipos, diferença para DoS e como reduzir o impacto
Serviços conectados à Internet dependem de redes e aplicações disponíveis para seus usuários. Um ataque de negação de serviço distribuído (DDoS) tenta interromper essa disponibilidade por meio de tráfego ou requisições vindos de múltiplas origens.
Afinal, o que é DDoS?
Distributed Denial of Service significa negação de serviço distribuída. O objetivo é tornar um site, aplicação ou serviço de rede indisponível ou degradar seu funcionamento para usuários legítimos. A sobrecarga pode atingir banda, equipamentos de rede, protocolos ou recursos da aplicação.
Uma botnet de dispositivos comprometidos é uma das formas de coordenar o ataque, mas DDoS também pode usar serviços de reflexão e amplificação ou outras fontes distribuídas. A presença de uma botnet não faz parte da definição. O impacto para uma empresa depende do serviço afetado, da duração e da capacidade de resposta.
Qual é a diferença entre DoS e DDoS?
DoS é a tentativa de negar a disponibilidade de um serviço. Na distinção usual, um ataque DoS parte de uma origem, enquanto o DDoS distribui o tráfego entre múltiplas fontes. Ambos podem explorar falhas ou esgotar recursos; a distribuição, sozinha, não determina a intensidade nem a técnica usada. Para entender os efeitos de uma origem isolada, consulte também nosso artigo sobre ataques DoS.
Camadas de rede e tipos de ataque
Ataques DDoS podem visar a capacidade de rede, protocolos de transporte ou recursos de aplicações. O modelo OSI ajuda a descrever onde surgem os efeitos, mas não é um conjunto de caminhos de ataque. A mitigação precisa ser adequada ao tipo de tráfego e à arquitetura protegida. Orientações da CISA.
Quais são os tipos de ataques DDoS?
Uma classificação prática agrupa ataques DDoS em volumétricos, direcionados a protocolos e à camada de aplicação. As categorias podem se sobrepor, e um incidente pode combinar mais de um vetor.
Conheça os três tipos:
Ataques volumétricos
O objetivo é consumir capacidade de rede ou dos enlaces que chegam ao destino. Botnets podem gerar parte desse tráfego, mas não são a única fonte possível.
Proprietários de dispositivos comprometidos podem não perceber que eles participam de uma botnet. Por isso, manter dispositivos atualizados e monitorar sinais de abuso ajuda a reduzir o risco.
Do lado do serviço atacado, a primeira indicação pode ser lentidão, erros ou indisponibilidade. Métricas de tráfego e de aplicação ajudam a distinguir sobrecarga de outras falhas.
Em uma aplicação de investimentos, por exemplo, a indisponibilidade impediria o acesso dos clientes durante o incidente. O impacto real dependeria do momento e da duração da falha.
Reflexão e amplificação por serviços como DNS, SSDP ou CLDAP são exemplos de vetores volumétricos. O atacante pode falsificar o endereço da vítima para direcionar respostas a ela; a técnica não exige infectar cada servidor usado como refletor.