O que é um ataque DDoS
Ataque DDoS (Distributed Denial of Service, ou Negação de Serviço Distribuída) é uma tentativa de tornar um serviço indisponível, degradando sua capacidade de responder a usuários legítimos. Em vez de um único emissor, o tráfego malicioso vem de muitos pontos ao mesmo tempo, o que torna mais difícil “bloquear tudo” de forma simples.
Em termos gerais, a ideia é consumir algum recurso: largura de banda (capacidade do caminho de rede), processamento do servidor (CPU), estado de conexões (memória/quadros), ou recursos específicos da camada de aplicação (por exemplo, tempo de resposta em rotas críticas). O resultado esperado pelo atacante é aumentar filas, aumentar latência, elevar taxa de erros e, em casos graves, derrubar o serviço.
Como funciona (modelo simples)
Um DDoS costuma seguir um padrão conceitual: o atacante gera tráfego (ou solicitações) em volume e/ou padrão suficiente para superar a capacidade do alvo. Como não há garantia de “uma única receita”, os métodos podem variar, mas um modelo simples ajuda a entender.
- Muitos emissores: em vez de um computador, existem vários dispositivos ou redes contribuindo para as requisições.
- Saturação ou exaustão: o alvo chega ao limite de algum componente. Às vezes o limite é de rede (banda), às vezes é de sessão/conexão (tabelas e estados) ou de aplicação (trabalho por requisição).
- Efeito em cadeia: quando a capacidade é excedida, o sistema passa a responder mais lentamente ou com mais falhas, o que piora o desempenho geral.
É importante reconhecer limitações do “modelo”: sistemas reais têm mecanismos de proteção, balanceamento de carga, caches, filas, limites de taxa e comportamento adaptativo. Então, o ataque pode não “derrubar” totalmente; pode apenas degradar. Além disso, algumas condições do ambiente (eventos legítimos, falhas de integração, bugs) também causam sintomas parecidos com DDoS.
Tipos e diferenças com outros problemas
DDoS não é sinônimo de “qualquer tráfego alto”. Uma grande diferença prática é se o aumento vem de padrões suspeitos e se a causa está no comportamento e nos efeitos no serviço.
- Volume (camada de rede): tende a evidenciar aumento acentuado de uso de banda e perda de pacotes/entrega. O alvo pode não conseguir “receber” ou “absorver” o tráfego.
- Saturação por conexões/estado: pode refletir aumento de conexões simultâneas, consumo de recursos de sessão e degradação progressiva.
- Exaustão na aplicação: pode não parecer “absurdamente volumoso”, mas ainda assim derrubar rotas específicas por exigir trabalho caro (consulta complexa, chamadas internas, renderização, etc.).
Comparação útil: enquanto falhas internas (por exemplo, bug) também elevam erros e latência, em DDoS costuma haver um componente “externo” repetitivo e distribuído, com padrões consistentes por origem e escalonamento alinhado ao começo do ataque. Essa distinção não é perfeita e depende de métricas e logs.
Exceções e limites do que você consegue inferir
Mesmo que você suspeite de DDoS, pode não ser possível afirmar a origem exata. Sem telemetria e correlação suficientes, um pico de tráfego pode ser evento legítimo (campanha, notícia viral, release), efeito de uma integração mal configurada ou varredura automatizada inofensiva. Por isso, o melhor caminho é avaliar sinais e impacto, não apenas “quantidade”.
Verificações práticas para avaliar suspeita e impacto
A seguir, um conjunto de checagens que ajudam a entender se o comportamento é compatível com DDoS e quais limitações esperar. A ideia é ser objetivo e observável.
- Métricas de capacidade e saturação
- Observe latência (picos e mediana), taxa de erro (4xx/5xx, timeouts) e sinais de filas.
- Verifique se existe correlação entre aumento de tráfego e degradação. Se o serviço fica lento antes de qualquer pico, pode ser outro problema.
- Distribuição de origem e padrão de requisições
- Compare a quantidade de origens ativas ao mesmo tempo.
- Avalie se há muitas origens com padrões repetitivos (mesmo tipo de requisição, mesmas taxas por origem, mesmo espaçamento temporal). Tráfego distribuído com comportamento homogêneo é um sinal.
- Taxa por endpoint e “rotas caras”
- Se apenas algumas rotas ou operações sofrem mais impacto, isso sugere exaustão focada na aplicação.
- Analise se o aumento é concentrado em operações que exigem mais CPU, I/O, dependências externas ou lógica complexa.
- Comportamento de sessão/conexões
- Se houver aumento anormal de conexões simultâneas ou estados pendentes, pode haver saturação de recursos de rede/transportes.
- Compare duração média de conexões e número de handshakes/negociações, quando aplicável.
- Tentativas de mitigação e “sinais de melhora”
- Se você aplica bloqueios, limites de taxa, regras no firewall ou ajustes operacionais, verifique se há melhora mensurável: redução de latência, queda de erros e estabilização do consumo de recursos.
- Caso as métricas não melhorem apesar de ajustes, pode indicar que o ataque está atingindo um recurso diferente ou que a mitigação não está atingindo o tráfego relevante.
- Checagem de eventos legítimos
- Verifique cronologia: houve mudança recente (deploy, migração, promoção, erro em integração)?
- Confirme se o tráfego cresce de maneira coerente com comportamento esperado de usuários reais (por exemplo, diversidade de navegação e ritmo compatível). Ataques costumam ter consistência artificial, mas isso também pode ser enganoso.
Conclusão: entenda o alvo, não só o rótulo
Ataques DDoS são sobre impacto: quando um serviço não consegue responder adequadamente por excesso de demanda e/ou exaustão de recursos. Para avaliá-los corretamente, trate como um problema de capacidade e comportamento observável: métricas de latência e erros, distribuição de origem, concentração em rotas caras e correlação temporal.
Se você precisa agir, a regra prática é alinhar as verificações com o “tipo” de saturação que está acontecendo (rede, conexões/estado ou aplicação) e lembrar que nem todo aumento de tráfego é DDoS. Sem telemetria e contexto, conclusões absolutas podem ser incorretas.