Entendendo Ataques DDoS na AWS

Um ataque de negação de serviço distribuída (DDoS) inunda um alvo com tráfego proveniente de muitas fontes ao mesmo tempo, tentando esgotar sua capacidade para que usuários legítimos não consigam se conectar. Como o tráfego vem de milhares de hosts distribuídos, não basta bloquear um único IP; é necessário absorver ou filtrar a inundação.

Os ataques volumétricos buscam saturar a largura de banda da rede com um volume intenso de tráfego, medido em gigabits ou terabits por segundo. Exemplos incluem inundações UDP e ataques de reflexão ou amplificação, que rebatem o tráfego em servidores abertos (DNS, NTP) para multiplicar seu tamanho. Esses ataques operam na camada 3.

Os ataques de protocolo (camada 4) esgotam os recursos de estado das conexões, e não a largura de banda. Um exemplo clássico é a inundação SYN, que envia uma tempestade de handshakes TCP semiconcluídos que consomem a tabela de conexões do alvo até que nenhuma nova sessão possa ser estabelecida.

Os ataques na camada de aplicação (camada 7) enviam muitas solicitações aparentemente válidas, como uma inundação de solicitações HTTP GET para uma página que exige muito processamento, a fim de esgotar CPU, memória ou conexões de banco de dados. Eles usam muito menos largura de banda e se misturam ao tráfego real, o que dificulta sua detecção em comparação com inundações volumétricas.

A AWS absorve DDoS em sua borda global. Serviços como CloudFront, Route 53 e Global Accelerator operam em muitos locais de borda com enorme capacidade agregada, diluindo as inundações antes que cheguem à sua origem. Projetar a arquitetura na borda já é uma defesa contra DDoS.

O AWS Shield Standard é habilitado para todos os clientes sem custo adicional e defende automaticamente contra os ataques mais comuns às camadas de rede e transporte. Você não precisa configurá-lo; ele protege todos os recursos da AWS, especialmente os que estão atrás de serviços de borda, contra inundações típicas das camadas 3 e 4.

O Shield Standard concentra-se nas camadas de rede e transporte. As inundações na camada de aplicação são tratadas com regras do AWS WAF baseadas em taxa e o Shield Advanced. É por isso que a defesa contra DDoS combina o Shield para lidar com o volume com o WAF para a filtragem no nível das solicitações, uma combinação frequentemente cobrada no exame.

Além do tempo de inatividade, um DDoS pode aumentar os custos de escalabilidade automática e largura de banda, à medida que sua infraestrutura tenta atender à inundação. Esse impacto financeiro, às vezes chamado de negação econômica de sustentabilidade, é uma das razões pelas quais o Shield Advanced oferece créditos de proteção de custos para a escalabilidade acionada por ataques.

Os sinais de um DDoS incluem picos repentinos de tráfego, latência elevada e aumento nas taxas de erro. As métricas do CloudWatch sobre contagens de solicitações e o console do Shield revelam anomalias. O Shield Advanced acrescenta visibilidade dos ataques quase em tempo real e notificações para que você saiba que há um ataque em andamento, e não apenas que a aplicação está lenta.

A melhor postura contra DDoS é projetada desde o início, não adicionada posteriormente. Colocar as cargas de trabalho atrás do CloudFront e do Route 53, usar escalabilidade automática e minimizar a superfície exposta permite que a AWS absorva as inundações na borda. O Shield e o WAF lidam então com o que resta. A resiliência vem da arquitetura em conjunto com esses serviços.

A seguir, você comparará o Shield Standard e o Shield Advanced, aprenderá o que a equipe de resposta a DDoS e a proteção de custos acrescentam e estudará como projetar uma arquitetura resiliente. Compreender os tipos de ataque apresentados aqui prepara você para escolher a defesa adequada em cada camada.

Classifique o tipo de ataque.

O DDoS inunda um alvo a partir de muitas fontes. Os ataques volumétricos (camada 3) saturam a largura de banda por meio de inundações UDP e amplificação; os ataques de protocolo (camada 4), como inundações SYN, esgotam o estado das conexões; os ataques na camada de aplicação (camada 7) enviam solicitações aparentemente válidas para consumir recursos computacionais. Os serviços de borda da AWS diluem as inundações, o Shield Standard defende automaticamente as camadas 3 e 4, e as regras do WAF baseadas em taxa lidam com a camada 7.