Definição e objetivo de um DDoS
Ataque DDoS (Distributed Denial of Service) é uma tentativa de interromper ou degradar um serviço ao gerar tráfego ou requisições em volume e/ou padrão que exploram limitações do ambiente. Em vez de ser feito por uma única origem, o ataque costuma ser distribuído entre muitas fontes, o que dificulta o bloqueio por IP ou por origem isolada.
Funcionamento em um modelo simples
Um DDoS geralmente mira um “ponto de gargalo” do caminho entre clientes e o serviço: rede, sistema operacional, balanceadores, web servers ou a aplicação. Quando o volume e a taxa de requisições se aproximam ou excedem a capacidade disponível, podem ocorrer sintomas como aumento de latência, falhas intermitentes, timeouts e, em casos extremos, indisponibilidade.
Mesmo quando a largura de banda não é o fator principal, ainda pode haver exaustão por padrões de requisição (por exemplo, chamadas repetitivas, conexões simultâneas elevadas ou comportamento que força trabalho caro no backend). Por isso, DDoS não é apenas “muito tráfego”: é tráfego com impacto em recursos específicos.
Principais partes envolvidas
Em termos práticos, você pode pensar em três componentes:
- Origem do tráfego: muitas máquinas (reais ou comprometidas) geram requisições.
- Caminho/infraestrutura: enlaces de rede, roteadores, balanceadores e camadas intermediárias.
- Serviço alvo: portas, filas, capacidade de processamento, limites de sessões e comportamento do código.
A combinação de caminho e serviço é o que determina como o ataque se manifesta. Por exemplo, um mesmo volume pode ser tolerável em um cenário e causar degradação em outro, por diferenças de configuração, escalabilidade e limites.
Limitações e exceções que mudam o resultado
Há limites importantes para o que se pode concluir apenas “olhando o volume”:
- Tráfego alto pode ser legítimo: promoções, eventos, lançamentos ou falhas em caching podem gerar picos semelhantes. A confirmação depende de padrões (distribuição de fontes, taxa por rota, comportamento temporal).
- Nem todo impacto é DDoS: problemas de capacidade internos, filas travadas, bugs e dependências (como banco de dados) podem causar sintomas parecidos. DDoS é uma hipótese, não um diagnóstico automático.
- Nem todo DDoS é bloqueável por IP: por ser distribuído, bloquear algumas origens raramente resolve sozinho. Além disso, ataques podem variar padrões para reduzir eficácia de filtros simples.
- Mitigações reduzem, mas não “zeram” risco: controles como rate limiting e filtragem podem diminuir o impacto, porém a efetividade varia conforme o tipo de ataque e a configuração.
Essas limitações são a principal razão de abordagens de resposta dependerem de verificação e evidência.
Diferenças entre ataques volumétricos e de aplicação
Em geral, DDoS pode ser categorizado por como afeta recursos:
- Volumétrico: foca em esgotar capacidade de rede ou links. O sintoma costuma ser saturação e perda de pacotes.
- De protocolos/conexões: busca exaurir estados de infraestrutura, como conexões simultâneas e recursos de handshake.
- De aplicação: tende a explorar rotas e operações caras no backend. Mesmo com menos volume total, pode gerar grande carga de CPU/memória e muitas falhas de lógica de negócio.
Na prática, pode haver mistura de estilos. Por isso, a análise de métricas e de rotas afetadas é essencial para identificar o que realmente está “limitando” o serviço.
Verificações práticas para confirmar impacto
Sem depender de suposições, você pode checar indicadores que ajudem a diferenciar pico normal de ataque e a entender o componente afetado:
- Métricas de disponibilidade: taxa de erros (4xx/5xx), timeouts e latência por endpoint/rota.
- Taxas e padrões: evolução temporal (subida súbita ou gradual), distribuição geográfica e diversidade de fontes.
- Recursos do alvo: uso de CPU/memória, saturação de filas, esgotamento de conexões, crescimento de sessões.
- Logs de aplicações e middleware: quais rotas foram mais chamadas, quais códigos de erro apareceram e se há sinais de repetição anômala.
- Capacidade e limites: se existem políticas de rate limiting, limites de conexões e regras de filtragem, verifique se elas estão sendo acionadas.
Se a degradação está concentrada em endpoints específicos e coincide com padrões repetitivos, a hipótese de ataque de aplicação fica mais plausível. Se a saturação é acompanhada de perda e gargalo de rede, a hipótese volumétrica/protocolar ganha peso.
Conceitos relacionados e como eles se conectam
Alguns conceitos aparecem junto com DDoS:
- DoS (Denial of Service): variação feita a partir de uma única origem. DDoS usa múltiplas origens.
- Modelo de ameaça: ajuda a organizar hipóteses de atacante, objetivos e pontos de falha (capacidade de rede, estado de conexões e custo de processamento na aplicação).
- Mitigação por camadas: frequentemente envolve combinar controles de rede, balanceadores, regras de aplicação e ajustes de capacidade.
A relação entre esses conceitos é que eles orientam onde investigar e quais evidências coletar.
Quando buscar ajuda especializada
Se houver recorrência frequente, impacto em produção ou sinais que não batem com tráfego normal, vale envolver times com experiência em resposta a incidentes e proteção contra indisponibilidade.