O que é um ataque distribuído de negação de serviço (DDoS)?
Um ataque distribuído de negação de serviço (DDoS) torna um sistema inoperante, deixando-o indisponível para usuários legítimos.
O que é DDoS? DDoS é um ataque malicioso que degrada um sistema e o torna inutilizável para usuários legítimos. Em muitos casos, DDoS é uma campanha coordenada na qual vários dispositivos comprometidos são usados para sobrecarregar um alvo com enormes volumes de tráfego, tornando seus serviços inacessíveis aos usuários a que se destinam.
Como funciona um ataque DDoS?
Um ataque DDoS compromete a infraestrutura ao inundar o recurso-alvo com tráfego, sobrecarregando-o até torná-lo inoperante, ou ao enviar uma mensagem especificamente elaborada para prejudicar o desempenho da aplicação. Os ataques DDoS podem ter como alvo infraestruturas de rede, como tabelas de estado de firewall, bem como recursos de aplicações, como servidores e CPUs. Esses ataques podem ter consequências graves, comprometendo a disponibilidade e a integridade dos serviços online e causando interrupções significativas, com potencial para gerar perdas financeiras e danos à reputação. Eles também podem ser usados como cortina de fumaça para desviar a atenção das equipes de segurança e risco durante a exfiltração de dados.
Um ataque DDoS é como milhares de pessoas tentando passar por uma porta ao mesmo tempo. O resultado é que ninguém consegue atravessá-la, nem mesmo quem tem um motivo legítimo para chegar ao outro lado. O ataque também pode ser comparado a uma única pessoa que tem uma chave e tranca a porta depois de passar, impedindo a entrada de qualquer outra pessoa.
Ataques como esse geralmente são coordenados por meio de um grande número de computadores clientes e outros dispositivos conectados à rede. Esses recursos controlados pelo invasor podem ter sido configurados especificamente para essa finalidade ou, mais provavelmente, infectados com um malware que permite ao invasor controlar o dispositivo remotamente e usá-lo em ataques.
Como o ataque vem de tantas fontes diferentes, pode ser extremamente difícil bloqueá-lo. Imagine, novamente, uma multidão de pessoas se aglomerando na entrada. Simplesmente impedir a passagem de uma pessoa não autorizada (ou de uma fonte de tráfego malicioso) não ajudará, pois há milhares de outras prontas para ocupar seu lugar. Os avanços nas estruturas de automação permitem que os ataques falsifiquem endereços IP, números de sistemas autônomos (ASNs), agentes de usuário dos navegadores e outros dados de telemetria para contornar os controles de segurança tradicionais.
É importante distinguir entre ataques distribuídos de negação de serviço (DDoS) e ataques de negação de serviço (DoS). Ambos são tipos de ataques cibernéticos que visam interromper a disponibilidade de um sistema ou uma rede, mas diferem na forma como são realizados.
Um ataque de DoS geralmente é lançado a partir de uma única origem ou de um pequeno número de origens. O invasor sobrecarrega o sistema ou a rede-alvo com um grande volume de tráfego ou solicitações, excedendo sua capacidade de processá-los.
Os ataques DDoS, por outro lado, envolvem várias fontes ou uma botnet, que é uma rede de computadores ou dispositivos comprometidos sob o controle do invasor. O invasor coordena essas diversas fontes para lançar simultaneamente o ataque contra o alvo. Em geral, os ataques DDoS são mais difíceis de mitigar do que os ataques DoS, pois partem de várias fontes, o que dificulta a distinção entre o tráfego legítimo e o malicioso.
Tipos comuns de ataques DDoS
Embora o cenário de ameaças de DDoS esteja em constante evolução, a F5 constatou que a maioria dos ataques se enquadra nas seguintes categorias gerais.
Ataques volumétricos estão entre os tipos mais comuns de ataques DDoS. Esses ataques visam sobrecarregar a largura de banda da rede do alvo, inundando-a com um volume enorme de dados ou tráfego. Essas técnicas incluem inundações de UDP (Protocolo de Datagrama do Usuário), inundações de ICMP (Protocolo de Mensagens de Controle da Internet) e ataques de reflexão que utilizam protocolos como NTP (Protocolo de Tempo de Rede), Memcached e DNS para amplificar o volume de tráfego recebido pelo alvo. A enorme quantidade de tráfego satura a infraestrutura de rede do alvo, tornando-a indisponível para usuários legítimos. Os ataques de inundação geralmente têm como alvo as camadas 3, 4 ou 7, sendo a inundação SYN um ataque muito comum que pode sobrecarregar firewalls de rede e outras infraestruturas críticas de rede.
- Como exemplo de ataque DDoS volumétrico, em 2018, o GitHub, plataforma de desenvolvimento de software, sofreu um ataque DDoS volumétrico de grandes proporções que interrompeu seus serviços. O ataque atingiu um pico sem precedentes de 1,35 TBps, tornando-se um dos maiores ataques DDoS já registrados até então. Como resultado, o site e os serviços do GitHub sofreram interrupções intermitentes e degradação de desempenho.
Ataques de protocolo, como aqueles que exploram vulnerabilidades na pilha de protocolos TCP/IP, que é a base da comunicação pela Internet. Esses ataques visam especificamente à capacidade da infraestrutura de rede de monitorar e processar o tráfego. Por exemplo, os ataques de inundação SYN sobrecarregam o alvo com uma enxurrada de pacotes TCP SYN, comprometendo sua capacidade de estabelecer conexões legítimas. Eles também são conhecidos como ataques “computacionais”, pois frequentemente sobrecarregam a capacidade de processamento de dispositivos de rede, como roteadores e firewalls.
- Em novembro de 2021, a F5 detectou e mitigou o maior ataque de protocolo já observado pela empresa. A ofensiva, direcionada a um cliente do setor de serviços financeiros, durou apenas quatro minutos e atingiu sua largura de banda máxima de ataque, de quase 1,4 TBps, em apenas 1,5 minuto.
Ataques que exploram vulnerabilidades de aplicações, também conhecidos como ataques de camada 7, visam especificamente à camada de aplicação da pilha de rede. Esses ataques buscam explorar vulnerabilidades de software nas aplicações ou nos serviços executados no servidor de destino para esgotar os recursos do servidor, como CPU, memória ou conexões com bancos de dados. Exemplos de ataques à camada de aplicação incluem inundações de HTTP GET (envio de um grande número de solicitações HTTP), ataques slowloris (manutenção de conexões abertas com solicitações parciais), inundações de HTTP POST, renegociação de TLS e consultas DNS.
- Um importante grupo hacktivista pró-Rússia conhecido como Killnet lançou um sofisticado ataque DDoS de camada 7 contra uma grande organização europeia em fevereiro de 2023. O ataque tinha como objetivo sobrecarregar os servidores da empresa com enormes volumes de tráfego, dificultando o acesso dos usuários ao site, com o tráfego malicioso atingindo um pico de 120.000 solicitações por segundo. Esse ataque DDoS específico foi distribuído entre 35 endereços IP diferentes e 19 países e teve como alvo a camada de aplicação.
Ataques assimétricos, também conhecidos como ataques de reflexão ou amplificação, exploram a funcionalidade de determinados protocolos de rede para ampliar o volume do tráfego de ataque. Em um ataque DDoS assimétrico, o invasor envia uma pequena quantidade de pacotes de rede especialmente elaborados para uma rede ou um serviço vulnerável, geralmente usando um endereço IP de origem falsificado. Esses pacotes desencadeiam a geração de respostas muito maiores pelo sistema ou pela rede alvo, resultando em um efeito de amplificação significativo.
- Em fevereiro de 2021, agentes de ameaças intimidaram uma empresa de tecnologia que presta serviços de segurança da informação a organizações dos setores de jogos e apostas, ameaçando realizar um ataque DDoS caso a empresa não pagasse um resgate. Os invasores lançaram imediatamente um ataque de inundação SYN de 4 Gbps como advertência; cinco dias depois, teve início o cerco DDoS. Durante quase um mês inteiro, os ataques continuaram ininterruptamente, enquanto os agentes de ameaças acrescentavam cada vez mais vetores. Por fim, os ataques atingiram um pico de 500 Gbps e incluíram uma ofensiva multivetorial composta por ataques UDP volumétricos, reflexão LDAP, reflexão DNS, reflexão NTP e fragmentação UDP.
Ataques multivetoriais, que utilizam mais de um dos métodos mencionados acima, estão se tornando cada vez mais comuns. Ao empregar mais de uma técnica de ataque, os invasores conseguem ampliar o impacto e dificultar a defesa simultânea contra múltiplos vetores de ataque.
- Em outubro de 2016, a Dyn, uma provedora de DNS que gerencia e direciona o tráfego da Internet, sofreu um ataque DDoS de grandes proporções que interrompeu o funcionamento de diversos sites e serviços populares, incluindo Twitter, Reddit, Netflix e Spotify. Os invasores empregaram uma combinação de diferentes técnicas de DDoS, incluindo ataques de reflexão e amplificação de DNS, além de botnets. O ataque explorou dispositivos de IoT vulneráveis, como webcams e roteadores, que tinham medidas de segurança fracas ou credenciais de acesso padrão. Ao comprometer esses dispositivos, os invasores criaram uma enorme rede de botnets capaz de gerar volumes gigantescos de tráfego.
Principais conceitos de DDoS
A seguir, apresentamos alguns conceitos-chave e definições relacionados a ataques DDoS, mitigação e prevenção.
- Botnets são redes de computadores, servidores ou dispositivos comprometidos que estão sob o controle de um invasor. Esses dispositivos comprometidos, muitas vezes chamados de bots ou zumbis, são usados em conjunto para lançar ataques DDoS. O invasor pode comandar remotamente a botnet para inundar o alvo com tráfego ou solicitações, ampliando o impacto do ataque.
- Spoofing envolve falsificar ou disfarçar a verdadeira origem ou identidade de pacotes de rede ou comunicações. Em ataques DDoS, o spoofing é frequentemente usado para ocultar a origem do tráfego do ataque.
- Inundação de SYN é um ataque DDoS que explora o processo de handshake de três vias do TCP para sobrecarregar os recursos do alvo. O invasor envia um grande volume de pacotes SYN ao alvo, mas não responde aos pacotes SYN-ACK ou falsifica os endereços IP de origem. Isso faz com que o sistema-alvo aguarde pacotes ACK que nunca chegam, consumindo seus recursos e impedindo o estabelecimento de conexões legítimas.
- A inundação UDP (User Datagram Protocol) é um tipo de ataque DDoS direcionado ao protocolo UDP, que não utiliza conexão nem exige handshake. Nesse ataque, o invasor envia um grande volume de pacotes UDP para a rede ou os serviços do alvo, sobrecarregando seus recursos.
- Amplificação de DNS (Sistema de Nomes de Domínio) é um tipo de ataque DDoS que explora vulnerabilidades em servidores DNS para gerar um volume significativo de tráfego malicioso. O invasor envia pequenas consultas DNS com endereços IP de origem falsificados para resolvedores DNS abertos vulneráveis. Sem saber da falsificação, esses resolvedores enviam respostas DNS maiores, amplificando o volume de tráfego direcionado ao alvo, sobrecarregando seus recursos e podendo causar interrupções no serviço.
- Mitigação de DDoS refere-se às estratégias e técnicas empregadas para se defender contra ataques DDoS e minimizar seu impacto. As soluções de mitigação podem envolver uma combinação de atualizações da infraestrutura de rede, filtragem de tráfego, limitação de taxa, detecção de anomalias e desvio de tráfego para absorver e mitigar o tráfego do ataque. As soluções de mitigação de DDoS fornecidas pela nuvem são particularmente eficazes para detectar e mitigar ataques antes que eles atinjam a infraestrutura de rede e as aplicações. No entanto, diante do recente aumento dos ataques de DoS na camada de aplicação/L7, os controles de segurança também precisam ser implantados próximos aos recursos protegidos.
- Resposta a incidentes refere-se ao processo de detectar, analisar e responder a ataques DDoS. Isso envolve identificar sinais de um ataque em andamento, investigar a origem e a natureza do ataque, implementar medidas de mitigação e restaurar as operações normais. Os planos de resposta a incidentes ajudam as organizações a lidar de forma eficaz com ataques DDoS e a minimizar seu impacto.
O impacto dos ataques DDoS
Ataques DDoS podem ter consequências graves para empresas, organizações e indivíduos.
Ataques DDoS podem causar perdas financeiras significativas. Quando os serviços são interrompidos ou ficam inacessíveis, as empresas podem sofrer impactos na receita devido a transações interrompidas, à redução do engajamento dos clientes ou à perda de oportunidades. Além disso, as organizações podem incorrer em custos relacionados à mitigação do ataque, à execução de atividades de resposta e recuperação de incidentes e a possíveis penalidades regulatórias.
Ataques DDoS bem-sucedidos podem prejudicar a reputação de uma organização e abalar a confiança dos clientes. Se os serviços de uma empresa forem repetidamente interrompidos ou ficarem indisponíveis, os clientes poderão perder a confiança na capacidade da organização de oferecer serviços confiáveis. Reconquistar a confiança e restaurar uma reputação prejudicada pode ser um processo desafiador e demorado.
Os ataques DDoS podem causar graves interrupções operacionais. Organizações altamente dependentes de serviços online podem sofrer perdas de produtividade, pois os funcionários ficam impossibilitados de acessar sistemas essenciais ou colaborar de forma eficaz. As interrupções de serviço podem afetar as cadeias de suprimentos, o suporte ao cliente e as operações comerciais em geral, resultando em atrasos, ineficiências e aumento dos custos operacionais.
Ao investir em estratégias robustas de mitigação de DDoS e contratar profissionais de cibersegurança para projetar e implementar medidas de segurança, as organizações podem reduzir significativamente o risco e o impacto de ataques DDoS bem-sucedidos, proteger sua estabilidade financeira e reputação e garantir a continuidade de suas operações.
Mitigação e prevenção de DDoS
A seguir, apresentamos algumas técnicas comuns de mitigação de DDoS usadas na defesa contra ataques. As organizações costumam combinar essas metodologias para criar uma estratégia de defesa em camadas capaz de mitigar efetivamente o impacto dos ataques DDoS. A detecção precoce também é fundamental para iniciar rapidamente as medidas de resposta a incidentes e de mitigação, permitindo que as organizações contenham o impacto antes que ele se agrave.
A filtragem de tráfego envolve a análise do tráfego de rede de entrada e a aplicação de filtros para bloquear ou permitir tipos específicos de tráfego. Essa técnica pode ser empregada em diferentes níveis, como roteadores de borda da rede, firewalls ou dispositivos dedicados à mitigação de DDoS. Ao filtrar o tráfego malicioso ou indesejado, as organizações podem reduzir o impacto dos ataques DDoS e ajudar a garantir que o tráfego legítimo chegue ao destino pretendido.
A limitação de taxa restringe o número de solicitações ou pacotes recebidos de uma determinada origem ou dentro de um período específico. Ao impor limites de taxa, as organizações podem mitigar o impacto de ataques DDoS, evitando um fluxo excessivo de tráfego.
A detecção de anomalias envolve o monitoramento dos padrões e do comportamento do tráfego de rede para identificar desvios em relação aos padrões normais. Ela utiliza análises estatísticas e algoritmos de aprendizado de máquina para estabelecer um comportamento de referência e detectar atividades anômalas que possam indicar um ataque DDoS. Os sistemas de detecção de anomalias podem identificar picos incomuns de tráfego, inundação de pacotes ou outros padrões que indiquem um ataque em andamento.
A análise comportamental se concentra no monitoramento do comportamento de usuários, sistemas ou entidades de rede para detectar e identificar atividades suspeitas ou maliciosas. As técnicas de análise comportamental podem ajudar a diferenciar o tráfego legítimo do tráfego de ataque, permitindo que as organizações respondam de forma eficaz a ataques DDoS e, ao mesmo tempo, minimizem os falsos positivos. Essa análise pode ser realizada tanto no lado do cliente quanto no lado do servidor, por meio de proxies inteligentes que detectam sobrecarga no sistema, o que pode indicar um ataque de negação de serviço.
A implantação de uma rede de distribuição de conteúdo (CDN) pode ajudar a mitigar o impacto de ataques volumétricos e proporcionar maior disponibilidade e desempenho. As CDNs podem usar sua infraestrutura de rede distribuída para identificar e bloquear tráfego malicioso, garantindo que as solicitações legítimas cheguem ao destino.
Balanceadores de cargae controladores de entrega de aplicações (ADCs) também podem atuar como um mecanismo de defesa contra ataques DDoS, distribuindo e gerenciando o tráfego de forma inteligente. Os balanceadores de carga podem detectar e mitigar ataques DDoS aplicando diversas técnicas, como limitação de taxa, modelagem de tráfego ou redirecionamento do tráfego para soluções especializadas de proteção contra DDoS.
A implementação de serviços de proteção contra DDoS baseados em nuvem pode fornecer recursos de mitigação dedicados e escaláveis para a defesa contra ataques DDoS. Ao redirecionar o tráfego por meio desses serviços, as organizações podem se beneficiar de técnicas avançadas de mitigação, inteligência de ameaças em tempo real e da experiência de provedores especializados.
Outras práticas recomendadas para proteção contra ataques DDoS incluem habilitar o gerenciamento de solicitações do Protocolo de Controle de Transmissão (TCP) e do Protocolo de Datagrama do Usuário (UDP) para garantir que apenas solicitações legítimas sejam processadas. O monitoramento e o registro regulares ajudam a detectar ataques antecipadamente e podem mitigar possíveis impactos negativos. Padrões de aumento de tráfego, erros ou atividades incomuns podem acionar alertas para uma investigação mais aprofundada. Criptografar o tráfego entre aplicativos e clientes pode dificultar a interceptação e a modificação do tráfego por um invasor. Atualizações regulares de software garantem que seus sistemas estejam protegidos pelos recursos e patches de segurança mais recentes para mitigar ameaças conhecidas, incluindo ataques DDoS.
Estudos de caso de DDoS
À medida que os ataques DDoS continuam crescendo em escala e complexidade, as organizações precisam de várias camadas de proteção para detê-los antes que alcancem a rede corporativa. Muitas vezes, esses ataques combinam tráfego de alto volume com técnicas furtivas, lentas e persistentes, direcionadas a aplicações e executadas por botnets automatizadas ou ferramentas operadas por pessoas. Com o aumento contínuo da frequência desses ataques e do custo das interrupções, a importância de uma defesa holística e em camadas para mitigar esses ataques tornou-se essencial para as operações.
Saiba mais sobre ataques DDoS reais e como eles foram mitigados assistindo ou lendo os estudos de caso a seguir.
- Saiba como a F5 interrompeu um ataque DDoS volumétrico de 26 Gbps contra um provedor de e-mail.
- Leia como o Heritage Bank da Austrália implementou um conjunto de produtos F5 que oferece proteção contra DDoS 24 horas por dia, 7 dias por semana e atende às diretrizes regulatórias do banco.
Tendências emergentes em DDoS
À medida que os ataques DDoS continuam evoluindo, as organizações precisam se manter atualizadas sobre as últimas tendências e novidades.
Uma tendência recente tem sido a crescente prevalência de botnets da Internet das Coisas (IoT). Dispositivos IoT, como câmeras inteligentes, roteadores e eletrodomésticos conectados, muitas vezes contam com medidas de segurança frágeis e são suscetíveis a invasões. Os invasores exploram vulnerabilidades nesses dispositivos para infectá-los com malware e incorporá-los a uma botnet. O poder computacional combinado de milhares de dispositivos IoT comprometidos pode gerar enormes volumes de tráfego de ataques DDoS.
Ataques à camada de aplicação, que visam esgotar os recursos do servidor ou explorar vulnerabilidades em aplicações específicas, muitas vezes imitam o comportamento de usuários legítimos, o que dificulta sua detecção e mitigação. Os ataques à camada de aplicação são particularmente difíceis de combater, pois exigem uma compreensão mais aprofundada do comportamento das aplicações e mecanismos de proteção especializados.
O surgimento das plataformas de DDoS como serviço tornou o lançamento de ataques DDoS mais acessível a pessoas com menos conhecimento técnico. Essas plataformas são encontradas na Dark Web e oferecem interfaces fáceis de usar que permitem aos usuários alugar e implantar recursos para ataques DDoS, muitas vezes utilizando botnets de aluguel.
Como a F5 pode ajudar
Ameaças avançadas de DDoS exigem proteção avançada contra DDoS, e os serviços e as soluções da F5 estão aqui para ajudar. A melhor maneira de se defender de um ataque DDoS é preveni-lo. As soluções da F5 mitigam ataques de negação de serviço de múltiplos vetores que sobrecarregam infraestruturas críticas, visam protocolos essenciais e exploram vulnerabilidades em seus aplicativos ou serviços. As soluções da F5 também protegem contra ataques de amplificação de DNS e outras formas de inundação, validando solicitações de consulta, mitigando comunicações maliciosas e proporcionando visibilidade sobre o DNS e os aplicativos, a fim de maximizar a integridade, a otimização e a proteção deles. As soluções de mitigação de DDoS da F5 oferecem defesas em várias camadas que proporcionam maior profundidade de defesa contra ataques combinados à rede e explorações sofisticadas de aplicativos, além de detectar e eliminar ameaças praticamente em tempo real.
Além disso, F5 NGINX Plus é um proxy reverso, balanceador de carga e gateway de API nativo da nuvem e fácil de usar. Ele oferece proteção contra DDoS por meio de recursos integrados de limitação de taxa, bem como gerenciamento de solicitações TCP e UDP. F5 NGINX App Protect DoS é um módulo dinâmico de segurança de software desenvolvido para ambientes DevOps, executado nativamente no NGINX Plus e que usa a tecnologia eBPF para acelerar a mitigação de ataques DDoS modernos contra aplicações e APIs na camada 7. F5 NGINX App Protect WAF é uma solução moderna e leve de segurança para aplicações e APIs, desenvolvida para ambientes DevOps, executada nativamente no NGINX Plus e que vai além da proteção básica contra o OWASP Top 10, oferecendo segurança avançada que inclui mais de 7.500 assinaturas de ameaças, assinaturas de bots e proteção contra campanhas de ameaças.