Negação de serviço e DDoS

Um ataque de negação de serviço (DoS) tenta tornar um sistema ou recurso de rede indisponível para usuários legítimos, sobrecarregando-o com tráfego ou explorando vulnerabilidades que fazem o serviço parar de funcionar.

O DoS se origina de uma única fonte. O DDoS (DoS distribuído) usa milhares ou milhões de dispositivos comprometidos (redes de bots) ou amplificação para gerar tráfego de ataque. É muito mais difícil bloquear um DDoS porque a origem está distribuída globalmente.

Ataques volumétricos inundam a largura de banda do alvo com tráfego bruto:

• Inundações de UDP — pacotes UDP falsificados saturam a largura de banda
• Inundações de ICMP — pacotes de ping sobrecarregam o alvo
• Amplificação de DNS — pequenas consultas DNS retornam respostas grandes para a vítima

São medidos em Gbps — alguns ataques ultrapassam 1 Tbps.

Ataques de protocolo exploram fragilidades nos protocolos de rede:

• Inundação de SYN — envia milhares de pacotes TCP SYN, esgotando as tabelas de conexões do servidor
• Ping da Morte — envia pacotes ICMP grandes demais, que fazem sistemas vulneráveis pararem de funcionar
• Ataque Smurf — envia ICMP falsificado para a difusão da rede; todos os dispositivos respondem à vítima

Ataques na camada de aplicação (Camada 7) têm como alvo funções específicas do aplicativo usando solicitações com aparência legítima:

• Inundação HTTP — envia milhões de solicitações GET/POST
• Slowloris — envia cabeçalhos HTTP parciais lentamente, ocupando todas as conexões do servidor
• Esgotamento de SSL — explora o custo de CPU da negociação TLS

A amplificação explora protocolos que retornam muito mais dados do que foi solicitado:

• Amplificação de DNS: fator de amplificação de 60 vezes
• Amplificação de NTP: fator de amplificação de 556 vezes
• Amplificação de Memcached: fator de amplificação de 51.000 vezes (em 2018: ataque de 1,7 Tbps)

Os invasores falsificam o IP da vítima como origem — os refletores enviam respostas enormes para a vítima.

Centros de limpeza são infraestruturas especializadas que absorvem e filtram o tráfego DDoS antes que ele alcance o alvo. Os principais provedores (Cloudflare, Akamai, AWS Shield) têm centenas de Tbps de capacidade de limpeza.

Defesas no nível da aplicação:

• Limitação de taxa por IP/usuário
• Desafios CAPTCHA para padrões de tráfego suspeitos
• Desaceleração de conexões
• Bloqueio por reputação de IP (endereços IP de redes de bots conhecidas)

Anycast distribui o tráfego de ataque entre vários centros de dados globais. Em vez de um único alvo absorver todo o tráfego, a carga é distribuída. A Cloudflare e outras CDNs usam anycast para lidar com ataques volumétricos enormes.

O DDoS é comumente usado como ferramenta de guerra cibernética. Principais incidentes:

• Estônia, 2007 — sites governamentais e bancários ficaram fora do ar durante uma crise política
• Ucrânia, 2022 — sites do governo ucraniano foram alvos durante a invasão russa
• Hacktivistas usando DDoS para fazer declarações políticas

As organizações podem testar a resiliência com ferramentas autorizadas de teste de carga:

• siege — teste de carga HTTP
• ab (Apache Bench) — avaliação simples de desempenho HTTP
• Serviços comerciais de teste de estresse (com autorização)

Nunca teste sistemas que não sejam seus ou para os quais não tenha permissão por escrito.

Qual tipo de ataque envia cabeçalhos HTTP incompletos muito lentamente para ocupar todas as conexões disponíveis do servidor?

Ataques DoS/DDoS negam o serviço sobrecarregando os alvos com tráfego ou explorando fragilidades dos protocolos. Os tipos de ataque incluem volumétricos (inundações de UDP/DNS), de protocolo (inundação de SYN) e da camada de aplicação (Slowloris e inundações de HTTP). As defesas incluem centros de limpeza, anycast, limitação de taxa e CAPTCHA. Ataques de amplificação multiplicam o poder do ataque explorando refletores.