Definição direta de ataque DDoS
Ataque DDoS (Distributed Denial of Service) é uma tentativa de indisponibilizar um serviço, site ou aplicação ao inundá-lo com tráfego e/ou requisições em volume e/ou taxa muito elevados. Por serem gerados a partir de múltiplas fontes, esses sinais tendem a dificultar a contenção apenas com medidas locais no servidor.
Funcionamento em termos simples
Em geral, um DDoS envolve três ideias:
- Tráfego/solicitações em excesso: o atacante força o alvo a gastar recursos (largura de banda, CPU, memória, conexões, filas de requisições) para responder.
- Distribuição das origens: em vez de um único endereço, há muitas origens ou muitos pontos de emissão, o que torna a filtragem “por fonte” menos direta.
- Objetivo de indisponibilidade ou degradação: mesmo quando não derruba totalmente, o ataque pode aumentar latência, gerar erros e degradar a experiência.
O efeito real depende de como o serviço foi dimensionado e de quais componentes respondem ao tráfego (por exemplo, camada de rede, balanceamento, aplicação e banco). Por isso, a mesma “intensidade” de ruído pode causar desde mera lentidão até queda completa, conforme o contexto.
Principais partes do “modelo” do ataque
Um jeito útil de pensar é separar o problema em camadas do caminho:
- Chegada do tráfego: se o volume saturar links ou componentes anteriores, o alvo pode ficar incapaz de receber respostas.
- Tratamento das conexões/requisições: mesmo com tráfego que chega, a aplicação pode colapsar por excesso de trabalho.
- Recursos dependentes do back-end: algum gargalo específico (por exemplo, pool de conexões, filas internas ou rotinas custosas) pode ser o que define o “limite de falha”.
Essa separação também ajuda a explicar por que DDoS pode parecer “misterioso”: às vezes o servidor de aplicação não é a única causa; ele apenas reflete o ponto em que a sobrecarga ficou intolerável.
Limitações e exceções importantes
Nem todo pico de tráfego é DDoS, e nem todo DDoS “parece” igual. Alguns motivos comuns:
- Eventos legítimos: campanhas, lançamentos, mudanças de SEO e efeitos de distribuição podem gerar aumento súbito de acesso.
- Padrões que confundem: ataques que imitam comportamento comum podem aumentar erros sem um volume “absurdo” ao primeiro olhar.
- Capacidade e configuração variam: o que é ataque efetivo para um serviço pequeno pode não causar impacto em outro, e vice-versa.
- Observabilidade limitada: se não houver métricas e logs com boa granularidade, fica difícil correlacionar causa e efeito.
Uma consequência prática é que “ver tráfego alto” não basta: é preciso comparar padrões (taxa, distribuição de origens, tipos de requisição, tempos) e verificar consistência com o que seria esperado de usuários normais.
Verificações práticas para avaliar se há um DDoS
Sem depender de um único sinal, uma abordagem de checagem costuma combinar métricas e comportamento:
- Tráfego e taxa: observe volume (por intervalo) e taxa de requisições, comparando com linhas de base do serviço.
- Erros e latência: acompanhe aumento simultâneo de tempo de resposta, códigos de erro e timeouts.
- Distribuição de origens: verifique se há grande dispersão de IPs/origens e se a “variedade” aumenta em vez de diminuir.
- Padrão por endpoint/caminho: identifique se a pressão está concentrada em rotas específicas ou se é difusa.
- Recursos do sistema: correlacione consumo de CPU, memória, esgotamento de conexões e filas com os intervalos do pico.
Se vários desses indicadores convergem (pico rápido, degradação de serviço, padrões anômalos e correlação com gargalos), a hipótese de DDoS ganha força. Se apenas o volume sobe, mas a latência e erros permanecem estáveis e o comportamento se assemelha ao de usuários, pode ser outro tipo de evento.
Conceitos relacionados que ajudam a diferenciar
Alguns termos aparecem junto de DDoS e é útil entender a relação:
- DoS (Denial of Service): o princípio de indisponibilizar é o mesmo, mas sem a distribuição típica de fontes.
- Amplificação/Reflexão (quando aplicável): certos cenários abusam de respostas maiores para aumentar o impacto percebido pelo alvo.
- Bot e automação: muitas tentativas são geradas por sistemas automatizados, variando na forma de emitir requisições.
Importante: a terminologia pode mudar conforme o contexto (camadas afetadas, forma de tráfego e objetivo). Por isso, ao analisar um caso, o foco deve ser “o que está acontecendo com o serviço” e “em qual etapa o gargalo surge”.