O que é ataque DDoS? Tipos, volumetria e como mitigar

Existe uma categoria de ataque que não invade, não rouba e não criptografa nada. Ele simplesmente pede — muito, ao mesmo tempo, de todo lugar — até que o serviço não consiga mais atender ninguém. É o DDoS, sigla de Distributed Denial of Service, e a coisa mais desconcertante nele é que cada requisição isolada é perfeitamente legítima. O crime está no volume.

A analogia que funciona: cem mil pessoas entram na sua loja ao mesmo tempo, todas perguntando o preço de um produto. Nenhuma delas está fazendo nada de errado. Mas o cliente que queria comprar não consegue entrar pela porta.

A tese em uma frase: DDoS não é problema de servidor, é problema de capacidade — e como a capacidade que satura raramente é a sua, a defesa quase nunca está dentro da sua infraestrutura.

As duas famílias de ataque DDoS

Quase toda confusão sobre DDoS vem de tratar como uma coisa só o que são duas coisas bem diferentes, com defesas diferentes.

O volumétrico é força bruta. O objetivo é entupir o link até que nada mais passe. A técnica clássica é a amplificação: o atacante manda um pedido pequeno para um servidor mal configurado — de DNS, NTP ou memcached — forjando o endereço da vítima como remetente. O servidor responde com um pacote muito maior, e a resposta vai para a vítima. Com um fator de amplificação de 50×, o criminoso transforma 1 Gbps de banda própria em 50 Gbps de tráfego no alvo.

O de camada 7 é cirúrgico. Em vez de volume bruto, ele mira o endpoint mais caro que você tem: a busca do site, a tela de login, o checkout, a API que consulta o banco de dados. Poucas requisições por segundo derrubam uma aplicação se cada uma delas custa uma consulta pesada. É mais difícil de detectar, porque o tráfego parece gente de verdade — e é por isso que um WAF ajuda aqui e um firewall de rede tradicional, não.

O ataque contra o DNS: elegante e cruel

Vale um parágrafo separado para o NXDOMAIN, também chamado de DNS water torture, porque é a técnica que mais gente subestima.

O truque explora a única coisa que um resolvedor de DNS não consegue cachear: a resposta "esse domínio não existe" para nomes sempre novos. O atacante gera subdomínios aleatórios — a8f3k2.seusite.com.br, x9p1m4.seusite.com.br — e cada consulta, por ser inédita, atravessa todo o caminho até o servidor autoritativo. O cache, que é a defesa natural do DNS, deixa de funcionar por construção.

O resultado não é um pico dramático, é um gotejar constante. A Akamai documenta casos em que a campanha se estendeu por um mês inteiro contra a infraestrutura de DNS de um único cliente. E quando o DNS cai, tudo cai junto — site, e-mail, VPN, integrações — porque nada resolve mais o nome.

A defesa é chata e eficaz: usar um DNS autoritativo com rede anycast e capacidade de absorção, em vez de rodar o seu próprio numa VPS. Se você já usa um provedor grande de DNS, provavelmente já está protegido sem saber.

A escala mudou, e mudou rápido

Os números de 2025 dão o tamanho do problema. Segundo o relatório de DDoS da Cloudflare, foram 47,1 milhões de ataques no ano, uma alta de 121%. Ataques acima de 100 milhões de pacotes por segundo cresceram 600%.

O recorde público é de dezembro de 2025: 31,4 Tbps, sustentados por 35 segundos. A campanha, batizada de "The Night Before Christmas", começou em 19 de dezembro e foi atribuída à botnet Aisuru/Kimwolf.

E aqui está a parte que interessa ao leitor brasileiro. Essa botnet não é feita de servidores comprometidos — ela reúne mais de 2 milhões de dispositivos Android, majoritariamente TV boxes de marca genérica, aqueles aparelhos baratos que ninguém atualiza e que muita gente tem em casa. Um equipamento que o dono considera inofensivo, ligado 24 horas por dia numa conexão residencial, é exatamente o tijolo ideal para construir uma arma dessas.

Duas consequências práticas disso:

• Bloquear por reputação de IP parou de funcionar. O tráfego vem de endereços residenciais legítimos, de operadoras reais, muitas vezes tunelado por redes de proxy residencial. Não existe lista negra que dê conta.
• A duração encolheu. Rajadas de dezenas de segundos são o padrão, porque bastam para derrubar e são curtas demais para uma resposta manual. Se a sua mitigação depende de alguém abrir um chamado, ela chega depois do fim do ataque.

Como saber se você está sob um ataque DDoS

Antes de comprar solução, é preciso ter certeza do diagnóstico — e muita queda que é atribuída a DDoS era só um deploy ruim. Três checagens resolvem quase sempre:

1. A forma da curva. Tráfego real cresce em rampa; DDoS sobe em degrau, de zero ao teto em segundos. Se o gráfico tem um canto de 90 graus, não é campanha de marketing bem-sucedida.
2. A origem. Olhe o mapa e a distribuição por ASN. Volume relevante de países onde você não vende, ou concentração em poucos sistemas autônomos desconhecidos, é sinal claro.
3. O comportamento. Requisições que não carregam CSS nem imagem, ignoram cookie, não têm referer coerente e batem sempre no mesmo endpoint caro. Gente de verdade navega; bot de DDoS repete.

E o teste que separa as duas famílias: rede saturada com CPU baixa é volumétrico; CPU no teto com tráfego modesto é camada 7. Se você tem um SIEM ou qualquer agregador de logs, essa correlação leva dois minutos.

As defesas que funcionam

Em ordem de retorno sobre esforço, e com uma dose de honestidade sobre o que está fora do seu alcance.

1. Não expor a origem. Essa é a medida mais subestimada. Se o IP do seu servidor é público e conhecido, toda proteção de borda pode ser contornada — o atacante bate direto. Coloque o serviço atrás de um proxy reverso ou CDN, e bloqueie no firewall do servidor qualquer conexão que não venha da faixa do provedor. Se o seu IP de origem já vazou (e ele vaza por registro de DNS antigo, cabeçalho de e-mail e certificado), troque-o.

2. Absorver na borda. Uma rede anycast anuncia o mesmo endereço em dezenas de países, e o tráfego de ataque se distribui entre todos os pontos de presença em vez de convergir para um só. É por isso que provedores globais absorvem dezenas de Tbps e a sua VPS não absorve 10 Gbps: não é qualidade de software, é geografia. Para a maioria dos sites, o plano gratuito de uma CDN já entrega isso.

3. Cachear de forma agressiva. Todo conteúdo servido pelo cache é uma requisição que nunca chega na aplicação. Sites com muito conteúdo estático — blog, institucional, catálogo — podem levar 95% do tráfego na borda. Se você usa WordPress, boa parte disso é configuração de plugin de cache, e o guia do LiteSpeed Cache cobre o essencial.

4. Rate limiting no que é caro. Login, busca, cadastro, recuperação de senha, endpoints de API. Limite por IP, por sessão e por conta. Não precisa ser sofisticado: um teto sensato em cinco rotas resolve a maior parte dos ataques de camada 7 pequenos, que são a esmagadora maioria.

5. Proteger o DNS. Ver a seção do NXDOMAIN acima. DNS autoritativo em provedor com anycast, e nunca o único servidor de nomes rodando na mesma máquina do site.

6. Ter o plano escrito antes. Quem liga para o provedor, qual é o número do contrato, qual é o canal de emergência, o que você comunica ao cliente e em quanto tempo. Um ataque de 35 segundos não dá tempo para descobrir essas respostas — e é a mesma lógica do plano de continuidade que você já deveria ter para outros cenários.

O que não funciona

Vale listar, porque essas ideias aparecem em toda reunião:

• Aumentar o servidor. Contra volumétrico, o gargalo é o link do data center. Você está escalando o lado errado da equação.
• Bloquear IPs manualmente. São milhões, residenciais e rotativos. Enquanto você bloqueia mil, chegam cem mil.
• Bloquear países inteiros. Ajuda em alguns casos e derruba clientes legítimos em outros. Use como medida temporária durante um ataque, nunca como política permanente.
• CAPTCHA em tudo. Empurra o custo para o usuário legítimo e é contornado por serviços de resolução automatizada. Reserve para os endpoints realmente caros.

Extorsão: quando o DDoS vem com boleto

Uma variante que merece nome próprio é o RDDoS (Ransom DDoS): o criminoso manda um e-mail exigindo pagamento e ameaçando derrubar o serviço, às vezes acompanhado de uma "demonstração" de alguns minutos. É o mesmo modelo de negócio do ransomware, sem a parte de invadir.

A recomendação de todos os CERTs do mundo é a mesma: não pague. Pagar identifica você como alvo que paga, e boa parte das ameaças é blefe — grupos oportunistas disparam milhares de e-mails sem ter capacidade real de executar. Encaminhe para o provedor, registre a ocorrência e siga o plano.

O ponto que fica

DDoS é o ataque em que a assimetria trabalha contra o defensor: gerar tráfego é barato, absorver tráfego é caro. Isso significa que a estratégia certa quase nunca é "aguentar" — é fazer o ataque bater em quem tem capacidade de sobra, e garantir que o que passar encontre cache em vez de banco de dados.

Para a maioria das empresas, isso é uma tarde de configuração e zero real de investimento. O que custa é descobrir isso durante o ataque, com o cliente ligando.

Se você está montando a base de proteção do zero, o caminho mais eficiente está no guia de cibersegurança para PMEs — e o combinado de firewall, antivírus e DNS seguro cobre as camadas que este post não cobre.