O que são ataques DoS e DDoS?

O que é um ataque DoS? É uma interferência direcionada na operação de um serviço on-line, com o objetivo de provocar falha na operação e incapacidade de aceitar corretamente o tráfego de entrada no momento. Na prática, funciona assim: provoca-se um aumento de tráfego para um site, aplicativo ou portal, o que leva ao desligamento completo ou bloqueio parcial do objeto do ataque.

Como isso acontece na prática? Objetos na internet têm um número limitado de visitas. Digamos, na ordem de 1.000-2.000 visitantes no momento. Hackers que usam ataques DoS iniciam um aumento no tráfego de entrada, elevando as visitas em dezenas ou centenas de vezes. O objeto do ataque sofre com isso: para de funcionar ou passa a processar de forma incompleta as solicitações de entrada, o que afeta a qualidade e a quantidade das vendas.

Alvos dos ataques DoS e DDoS

Normalmente, os fraudadores têm um ou mais objetivos ao realizar um ataque DoS:

As razões para tais ataques podem ser concorrência desleal, desejo de tirar temporariamente um projeto promissor do jogo, ataque de hackers, motivos políticos ou ideológicos, discordância com informações veiculadas no serviço, mascaramento de uma invasão de maior escala no perímetro de segurança, ou desvio da atenção das equipes de segurança da informação do problema principal.

As vítimas de ataques DDoS costumam ser servidores web de organizações conhecidas, como empresas bancárias, comerciais e de mídia, órgãos governamentais e comerciais, sites oficiais de personalidades famosas da mídia e especialistas, entre outros.

História e estatísticas

Por mais surpreendente que pareça, o primeiro ataque DDoS foi registrado em 1974 por um garoto de treze anos nos Estados Unidos. David Dennis descobriu o fato interessante de que era possível travar os computadores da Universidade de Illinois com um determinado comando. Ele testou sua descoberta em 31 computadores da universidade, e eles pararam de funcionar por um tempo.

Outro fato interessante: um ataque de negação de serviço pode durar muito tempo. É claro que manter carga constante e garantir a implantação ininterrupta exige muitos recursos, mas se tirar um concorrente do jogo por um dia ou mais valer a pena, empresas concorrentes podem recorrer a isso. Por isso não é surpresa que os ataques DoS mais longos tenham ultrapassado 329 horas e 509 horas, respectivamente – ou seja, mais de 13 dias e mais de 21 dias. Isso é bastante tempo.

Aliás, você pode acompanhar o fluxo de ataques DDoS no mundo e sua distribuição regional em tempo real. Como se pode ver, a maioria das fontes está localizada em centros desenvolvidos densamente povoados. E o número de ataques disparados a qualquer momento chega a 4.785.000 unidades.

Qual é a diferença entre ataque DoS e DDoS?

Um DDoS ("Distributed Denial of Service attack") é uma subcategoria do DoS ("Denial of Service attack"), mais geral. Em um ataque DoS, o hacker usa uma única conexão com a rede e a utiliza para gerar entradas em massa. Os ataques DDoS mudam de escala e usam milhares (até milhões) de dispositivos conectados, frequentemente unidos em rede (botnets).

A eficácia do DoS atualmente é extremamente baixa. Esse tipo de implantação opera segundo um princípio linear simples de 1:1 – uma fonte de ameaça e uma vítima. Além disso, um ataque isolado é bastante perceptível pelo conteúdo do arquivo de log e pelo IP, e pode ser facilmente barrado pelo firewall. É por isso que os ataques DDoS em massa que usam botnets se tornaram mais populares recentemente. Como eles funcionam?

Botnets

As botnets são a principal forma de executar ataques DDoS distribuídos. Um invasor cria uma rede ponto a ponto controlada de dispositivos que realizam ataques DDoS maliciosos contra uma vítima. O número dessas máquinas pode variar de algumas dezenas a centenas de milhares. Tudo depende da escala da campanha. Um fragmento de código malicioso, ou malware, chamado bot, é instalado em um computador comprometido. Juntos, os computadores infectados formam uma rede chamada botnet. O invasor então instrui a botnet a realizar logins simultâneos no dispositivo ou servidor da vítima. Isso significa que um grande número de solicitações de conexão é enviado simultaneamente, superando em muito a capacidade de processamento disponível. É como um único ataque feito por todas as abelhas ao mesmo tempo (veja o diagrama abaixo).

As botnets mais populares atualmente são: Storm, Zeus, Mariposa, Bredolab, Sality, Fast Flux, entre outras. Neste site, é possível ver a distribuição das fontes globais de botnets em tempo real.

O custo dos ataques DDoS em 2025

O serviço de botnet é bastante acessível para compra não apenas na Darknet, mas também na rede convencional. Dependendo da capacidade de processamento adquirida, o custo do serviço pode começar em US$ 50 e chegar a dezenas de milhares. Portanto, não é difícil usar essa ferramenta como fonte de concorrência desleal. Ao mesmo tempo, durante um ataque DDoS, cada minuto de inatividade de uma empresa pequena ou média gera prejuízos que podem chegar a dezenas de milhares de dólares (dependendo do porte), e a restauração dos serviços e das operações após o ataque pode custar em média entre US$ 70.000 e US$ 120.000.

Em 2025, os ataques DDoS em nível de aplicação causaram mais danos aos setores on-line do que qualquer outro tipo de ataque: 131% a mais que no trimestre anterior (e 300% a mais em relação ao ano anterior).

Sintomas do ataque e como reconhecê-lo

Os ataques DDoS não têm sintomas claramente definidos que permitam afirmar de imediato: "Olha, estamos sofrendo um ataque DDoS". Normalmente, a velocidade de carregamento do serviço diminui, o site apresenta erro 502, 503 ou 504, ou fica impossível visualizá-lo, há aumento de spam, conteúdo incomum, aumento no número de acessos simultâneos de usuários aos mesmos recursos do site, problemas de conexão com a internet, visitantes fora do público-alvo e comunicação sobre temas dispersos, entre outros sinais. Também é possível monitorar o volume de tráfego nas portas de conexão e a mudança na carga sobre RAM e CPU, que aumenta muitas vezes.

Os sintomas são ambíguos e nem sempre correspondem, com 100% de certeza, a um ataque contra seu site, rede ou aplicativo. No entanto, se aparecerem, é hora de pensar em segurança.

Como lidar com DoS e DDoS?

Claro, enfrentar essa ameaça exige defesa. E contra ataques DoS e DDoS existem várias opções para garantir a segurança da informação:

Use sistemas de monitoramento de tráfego de rede

Eles fornecerão monitoramento das fontes de tráfego e captarão picos anômalos na rede.

Firewalls

O firewall é um servidor proxy reverso instalado fisicamente entre a internet e os servidores da empresa. Uma vez instalado, o firewall aplica a todo o tráfego de entrada o conjunto de regras estabelecido previamente por um administrador. Assim, todo incidente que não atenda a esses requisitos definidos é automaticamente negado.

Auditoria dos sistemas de segurança e, possivelmente, contratação de hacking DDoS ético

As organizações devem realizar avaliações de risco e auditorias regulares de seus dispositivos, servidores e rede. Realize testes periódicos do tempo de resposta do site para entender o que é normal para você e o que já está fora do padrão, podendo indicar um ataque. Também é útil contratar um hacker ético que dispare um ataque no momento menos esperado em um site e evidencie os pontos fracos das defesas de segurança.

Use IA e software especializado

As ferramentas de inteligência artificial são muito mais adaptáveis do que o software convencional, pois têm capacidade de autoaprendizagem e de agir com base nos dados mais recentes. Redes neurais também são usadas no combate a DDoS; teste as opções disponíveis para você. Além disso, não ignore softwares e serviços de suporte especializados em defesa contra esse tipo de ataque. Aqui, talvez o mais conhecido seja o Cloudflare.

Roteamento para buraco negro (black hole routing)

Outra forma de proteção é o roteamento para buraco negro, em que o administrador de rede (ou o provedor de internet da organização) cria uma rota para um "buraco negro" e direciona o tráfego para lá. Usando essa estratégia, todo o tráfego, bom e ruim, é direcionado para a rota zero e efetivamente removido da rede. Isso pode ser bastante extremo, já que o tráfego legítimo também é interrompido, podendo resultar em perda de negócios.