Ataques de Negação de Serviço

Um ataque de DoS (negação de serviço) tenta tornar um serviço indisponível para usuários legítimos ao sobrecarregá-lo. Diferentemente dos ataques que roubam dados, um DoS tem como alvo a disponibilidade, o terceiro pilar da tríade CIA.

Ao inundar um servidor ou uma rede com mais tráfego ou solicitações do que eles conseguem processar, o atacante esgota os recursos até que os usuários reais não consigam acessar o serviço.

Um DoS comum vem de uma única fonte. Um DDoS (negação de serviço distribuída) vem de muitas fontes ao mesmo tempo, geralmente milhares, o que o torna muito mais difícil de interromper.

Bloquear um único IP atacante é fácil; bloquear o tráfego de dezenas de milhares de endereços espalhados, muitos deles pertencentes a máquinas sequestradas e inocentes, é o verdadeiro desafio que torna o DDoS tão perigoso.

Os ataques DDoS geralmente são realizados por uma rede de bots: uma rede de computadores e dispositivos de IoT infectados por malware, controlados remotamente pelo atacante. Cada máquina infectada, um bot ou zumbi, envia tráfego de ataque sob comando.

Os proprietários muitas vezes não fazem ideia de que seus dispositivos estão participando. Dispositivos de IoT inseguros, como câmeras, já formaram redes de bots enormes, capazes de gerar volumes massivos de ataques.

Os ataques volumétricos simplesmente inundam o alvo com um volume enorme de tráfego para saturar sua largura de banda da internet. Se o canal estiver cheio de lixo, o tráfego legítimo não conseguirá passar.

Exemplos incluem inundações de UDP e de ICMP (ping). A defesa consiste em ter capacidade suficiente ou usar uma limpeza de tráfego no provedor para absorver ou filtrar a inundação antes que ela preencha o seu enlace.

Os ataques de protocolo esgotam os recursos do servidor ou do dispositivo explorando o funcionamento dos protocolos. Um exemplo clássico é a inundação de SYN: o atacante inicia muitas conexões TCP (enviando pacotes SYN), mas nunca as conclui, preenchendo a tabela de conexões do servidor.

O servidor espera por negociações que nunca terminam até não conseguir aceitar novas conexões, negando o serviço aos usuários reais.

Os ataques na camada de aplicação têm como alvo o próprio software, usando solicitações aparentemente legítimas que são caras de processar, como pesquisas complexas ou carregamentos repetidos de páginas. Eles usam muito menos largura de banda e, por isso, são mais discretos.

Como cada solicitação parece normal, é difícil distinguir o tráfego do ataque do tráfego de usuários reais. Isso torna esses ataques especialmente difíceis de detectar e filtrar sem prejudicar os visitantes legítimos.

Os ataques de amplificação multiplicam o poder de ataque do atacante. Ele envia pequenas solicitações com um endereço de origem falsificado (o da vítima) para servidores que respondem com respostas muito maiores, como servidores DNS ou NTP configurados incorretamente.

Uma solicitação minúscula provoca uma resposta enorme direcionada à vítima. Assim, o atacante multiplica muitas vezes o próprio tráfego enquanto se esconde por meio da falsificação de identidade.

Sinais de um DoS incluem picos repentinos de tráfego, serviços lentos ou que atingem o tempo limite, uso de recursos excepcionalmente alto e uma inundação de conexões provenientes de muitos endereços. O monitoramento e as referências de comportamento normal ajudam a identificar rapidamente o aumento anormal.

A detecção rápida é importante: quanto antes você reconhecer um ataque em vez de um pico normal de tráfego, mais cedo a mitigação poderá começar e menor poderá ser o tempo de indisponibilidade.

As defesas são combinadas em camadas:

• Limitação de taxa restringe o número de solicitações por origem.
• Firewalls e IPS filtram padrões de ataque conhecidos.
• Os serviços de limpeza de tráfego DDoS na nuvem absorvem grandes inundações antes que elas cheguem à rede.
• As CDNs (redes de distribuição de conteúdo) distribuem a carga entre muitos servidores.

A filtragem contra falsificação de identidade na internet também reduz os ataques de amplificação na origem.

O DoS é particularmente difícil de impedir porque o tráfego do ataque pode parecer legítimo e chegar de inúmeras fontes. Não é possível simplesmente bloquear tudo, ou você mesmo negará o serviço.

A defesa mais resiliente combina capacidade suficiente, limpeza de tráfego antes que ele chegue à rede, boa filtragem e um plano de resposta a incidentes, reconhecendo que a prevenção absoluta é impossível e que a resiliência é o objetivo realista.

Um DoS ataca a disponibilidade ao sobrecarregar um alvo; um DDoS faz isso a partir de muitas fontes por meio de uma rede de bots. Os tipos incluem ataques volumétricos, de protocolo (como inundações de SYN), na camada de aplicação e de amplificação. As defesas combinam limitação de taxa, firewalls, CDNs e limpeza de tráfego na nuvem, além de medidas contra falsificação de identidade para conter a amplificação.

Teste seus conhecimentos sobre DoS.

Um DoS sobrecarrega um serviço para negar a disponibilidade; um DDoS usa muitas fontes de uma rede de bots. Os tipos de ataque incluem inundações volumétricas, ataques de protocolo como inundações de SYN, ataques discretos na camada de aplicação e amplificação por meio de falsificação de identidade. As defesas combinam limitação de taxa, firewalls, CDNs e limpeza de tráfego DDoS na nuvem.