Ataques Dos ou DDoS: o que são e como proteger sua empresa

Os ataques DDoS (Distributed Denial of Service) são ataques de negação de serviço distribuída, caracterizados pela sua grande quantidade e proporção. São práticas utilizadas pelos cibercriminosos para sobrecarregar servidores e indisponibilizar os serviços aos clientes.

Os cibercriminosos conseguem gerenciar até milhões de desktops por meio do computador-mestre, fazendo com que todos eles requisitem o mesmo recurso de um servidor simultaneamente. Tendo em vista que os servidores web possuem uma limitação de usuários que podem ser atendidos ao mesmo tempo, o grande número de tráfego gerado maliciosamente impossibilita que os alvos sejam capazes de suportar a alta demanda. Eles podem, assim, reiniciar ou até mesmo ficarem paralisados, dependendo do recurso afetado pelo computador-mestre.

GitHub sofreu o maior ataque DDoS em 2018

Em 2018, a empresa americana GitHub sofreu o maior ataque DDoS: dessa vez, foram 1,35 terabit por segundo de tráfego, por meio de um método que não requer botnet. 

O site da empresa ficou instável durante apenas 6 minutos, graças à intervenção da Akamai que o protegeu e encaminhou o tráfego para centros de depuração. Em 2015, a empresa já tinha passado por uma situação semelhante. Entretanto, o ataque durou 6 dias seguidos.

A GitHub conta com uma grande plataforma de hospedagem de código-fonte, utilizada pelos programadores para o desenvolvimento de projetos privados ou códigos abertos.

Os tipos mais comuns de ataques DDoS

Confira os seis tipos mais comuns de ataques DDoS para não cair em armadilhas do gênero:

• Ataques volumosos: é o recurso mais utilizado para ataques DDoS, por ser muito simples e gerar uma enorme quantidade de tráfego indiretamente pelo hacker. O atacante envia solicitações legítimas para um servidor DNS ou NTP por meio de um endereço de IP falso, que responde aos pedidos;

• UDP Flood: os atacantes utilizam pacotes IP com UDP para sobrecarregar portas aleatórias ao servidor de destino, já que o protocolo de conexão dos canais UDP são menos burocráticos. Ele checa os aplicativos associados ao UDP e, quando observa que não há comunicação nessas portas, responde com a informação de que o destino está indisponível. O objetivo do cibercriminoso com esse ataque é superar os firewalls e outros componentes mais resilientes da estrutura de rede;

• NTP Flood: o ataque é feito com o envio de pacotes válidos, porém falsificados, de NTP a um alvo, originados de um grande número de IPs. Os servidores NTP ficam tentando responder a essa inundação de solicitações que parecem verdadeiras, mas que acabam esgotando seus recursos, entrando em modo offline ou sendo reinicializados;

• SYN Flood: afetam o processo de comunicação TCP de três vias. O atacante, geralmente via botnets, envia pacotes SYN para o alvo (um servidor de destino), a partir de IPs falsos. A memória de conexão do servidor entra em colapso, tentando armazenar e processar os pacotes recebidos. Sem resposta, o sistema fica inacessível, inviabilizando o acesso para qualquer usuário. O invasor pode atacar defesas de perímetro para sobrecarregar sua capacidade de desativá-los por desconexão, queda de pacotes de tráfego legítimos ou reinicialização;

• VoIP Flood: é uma variação do UDP Flood. Ao invés de bombardear portas aleatórias, os ataques atingem especificamente protocolos do tipo VoIP. A solução do servidor é o reinício automático, mas como as solicitações são incessantes, o sistema fica lento, sobrecarregado e esgota em pouco tempo toda sua largura de banda;

• POD (Ping of Death): afeta diretamente os protocolos de IP. Geralmente, um ping tem 64 bytes (65B) de dados. O POD tem uma quantidade de pacotes de IP tão grandes que supera facilmente esse limite. O alvo, então, é incapaz de processar os dados do pacote, resultando na sobrecarga e na falha do sistema.

Saiba como se defender de ataques DDoS

Como o alvo dos ataques DDoS são os servidores, que têm estruturas e recursos variados caso a caso, garantir sua proteção é uma tarefa desafiadora e sem garantia absoluta. Porém, algumas medidas são necessárias para minimizar os riscos e os prejuízos financeiros diretos e indiretos da perda de acesso aos sistemas e serviços. 

Basicamente, é impossível impedir que alguém persista em derrubar o seu sistema, mas é fundamental evitar que o ataque seja bem-sucedido, com a prática regular de auditorias e de segurança básica. 

Conhecer o perfil do seu tráfego é o primeiro passo para acompanhar quaisquer alterações na sua rede. Investir em um aumento da largura de banda é uma ação preventiva, para que não haja sobrecarga e se possa trabalhar com um grande fluxo de solicitações. Além disso, ferramentas de firewall UTM e NGFW são capazes de identificar solicitações zumbis e diferenciá-las de requisições autênticas de usuários a partir do comportamento padrão de requisição. Elas são configuradas para resetar as conexões volumosas advindas de um mesmo IP e impedir novos acessos, fazendo com que, assim, os ataques se tornem ineficazes.

Como cada caso é um caso, é importante a elaboração de um plano de resolução do problema junto a uma equipe de especialistas, que possa conhecer e analisar a estrutura da aplicação atacada e utilizar as ferramentas adequadas para o contra-ataque. Para saber mais, entre em contato conosco, clicando aqui.