Um ataque DDoS é uma das razões mais comuns para um website ficar offline sem aviso. Todos os servidores têm um limite para o número de pedidos que conseguem tratar ao mesmo tempo. Um ataque DDoS ultrapassa esse limite enviando um número enorme de pedidos a partir de milhares de dispositivos diferentes, todos ao mesmo tempo, até o servidor ficar sem capacidade e os visitantes reais não conseguirem passar.
Ao contrário da maioria dos outros ataques web, um ataque DDoS não tenta entrar num website nem roubar-lhe nada. Tenta deitá-lo abaixo. Perceber como isto funciona é o que torna claro porque é que a proteção contra ele é muito diferente das outras medidas de segurança.
DDoS significa Distributed Denial of Service, ou seja, negação de serviço distribuída. "Negação de serviço" quer dizer que o objetivo é tornar o site inutilizável. "Distribuído" quer dizer que o ataque vem de milhares de sítios diferentes ao mesmo tempo, e não de uma única origem. É essa dispersão que o torna difícil de parar. Não podes bloquear um endereço IP e acabar com ele. Para o panorama completo dos tipos de ameaças que os websites enfrentam e de porque é que a proteção importa em todos os sites, lê o artigo sobre porque é que a segurança do website é importante.
Como funciona um ataque DDoS
O atacante não envia todo esse tráfego sozinho. Usa uma grande rede de dispositivos que foram tomados em silêncio por software prejudicial: computadores domésticos, routers, câmaras e tudo o mais que esteja ligado à internet. Os donos dos dispositivos, normalmente, não fazem ideia de que algo está a acontecer.
A mecânica do ataque
- O atacante dá instruções a todos estes dispositivos para enviarem pedidos ao site alvo ao mesmo tempo
- Como os pedidos vêm de milhares de locais diferentes, o servidor vê um pico enorme do que parece tráfego real
- O servidor tenta tratar a carga e fica sem capacidade antes de conseguir acompanhar
- Os pedidos dos visitantes reais perdem-se na inundação e nunca recebem resposta
- O site parece offline durante todo o ataque
O que o torna difícil de parar
A parte distribuída de um ataque DDoS é o que o distingue de uma simples inundação a partir de uma única origem. Se um só dispositivo enviasse todo o tráfego, bloquear esse dispositivo acabava com o ataque. Quando há milhares de dispositivos envolvidos, cada um a enviar uma pequena quantidade de tráfego, bloquear um deles quase não faz diferença. O que causa o problema é o volume total, e travá-lo exige filtragem a um nível acima do site individual.
O que um ataque DDoS faz a um website
O site fica em baixo
Quando o servidor fica sobrecarregado, deixa de responder. Quem tenta carregar qualquer página recebe uma mensagem de erro ou um tempo de ligação esgotado. O site não está avariado e nada foi apagado. Simplesmente não consegue responder a pedidos porque está a tratar um volume impossível de pedidos falsos.
Para o dono do site, isto aparece como alertas a disparar em todas as ferramentas de monitorização, mensagens de apoio ao cliente a chegar e um painel inacessível porque o servidor não responde a nada.
Os visitantes reais não conseguem passar
O servidor não consegue distinguir um visitante real de um dos pedidos do ataque. Tenta tratar todos e acaba por não tratar nenhum com eficácia. Uma pessoa que quer mesmo ler uma página, fazer uma encomenda ou entrar em contacto fica tão bloqueada como a inundação de pedidos falsos. O site fica às escuras para toda a gente até o ataque parar ou ser filtrado.
Quanto tempo duram os ataques
Alguns ataques acabam em minutos. Outros duram horas e, em casos mais graves, prolongam-se por dias. É o atacante que controla quando pára. Quanto mais tempo dura, mais custa ao dono do site em tráfego perdido, encomendas falhadas e danos no desempenho nas pesquisas causados por uma indisponibilidade prolongada.
Porque é que os websites são alvo de ataques DDoS
Ataques dirigidos
Alguns ataques DDoS visam um site específico. Um concorrente que tenta pôr um rival offline num período de muito tráfego. Alguém com uma queixa contra uma empresa ou figura pública. Uma ação coordenada contra uma organização de grande visibilidade. Estes ataques são deliberados e escolhidos.
Ataques automáticos aleatórios
Uma grande parte dos ataques DDoS não tem nada a ver com o site específico que é atingido. As ferramentas automáticas testam sites e atacam os que podem ser sobrecarregados. O site não precisa de ser um alvo escolhido. Basta ser encontrável e estar num servidor que não consegue absorver a carga que a ferramenta gera.
Pedidos de resgate
Em alguns casos, os atacantes contactam uma empresa antes de iniciarem um ataque e exigem um pagamento para não o fazer. Se o pagamento não chegar, o ataque começa. Este tipo de ataque, por vezes chamado DDoS de resgate, é uma ameaça real para as lojas online e os serviços online em que a indisponibilidade tem um custo financeiro claro e imediato.
Como os websites são protegidos de ataques DDoS
Filtragem de tráfego ao nível da rede
A proteção DDoS mais eficaz acontece ao nível da rede, antes de o tráfego do ataque chegar sequer ao servidor de cada site. Os fornecedores de alojamento e as redes de distribuição de conteúdo vigiam padrões de tráfego invulgares, identificam quando um site está sob ataque e começam a filtrar a inundação antes de ela deitar o servidor abaixo.
Isto funciona porque opera acima do site individual. Um servidor que ficaria sobrecarregado a tratar todo esse tráfego diretamente tem, em vez disso, o volume intercetado e descartado ao nível da rede, antes de chegar.
Limitação de pedidos
A limitação de pedidos (rate limiting) põe um teto ao número de pedidos que uma única origem pode enviar numa janela curta. Um visitante real que carrega uma página envia um pequeno número de pedidos. Uma ferramenta de ataque pode enviar milhares a partir da mesma origem num segundo. A limitação de pedidos identifica e abranda ou bloqueia as origens que se comportam de uma forma que nenhum visitante real alguma vez faria.
A limitação de pedidos não é, por si só, uma defesa completa contra grandes ataques distribuídos, já que estes espalham os pedidos por tantas origens que nenhuma atinge o limite. Mas reduz a carga dos ataques maiores e resolve por completo as tentativas de inundação de menor escala.
Distribuição do tráfego por vários servidores
As redes de distribuição de conteúdo espalham o conteúdo do site por muitos servidores em locais diferentes. Quando um ataque visa um site, o tráfego é distribuído por todos esses servidores em vez de atingir um só. Um volume de ataque que deitaria um servidor abaixo tem de ser grande o suficiente para sobrecarregar muitos ao mesmo tempo, para ter o mesmo efeito.
Uma firewall de aplicações web a funcionar a par de uma CDN acrescenta outra camada, filtrando os pedidos prejudiciais antes de chegarem sequer aos servidores. Para saberes mais sobre como isto funciona, lê o artigo sobre o que é uma firewall de aplicações web e como protege o teu site.
O que fazer durante um ataque DDoS
- Contacta de imediato o teu fornecedor de alojamento. Tem ferramentas ao nível da rede que conseguem detetar e filtrar o tráfego do ataque muito mais depressa do que qualquer coisa que se possa fazer a partir do painel do site
- Regista quando o ataque começou e o que estás a observar. Isto ajuda a equipa de alojamento a perceber com o que está a lidar e de onde vem o tráfego
- Não faças grandes alterações à configuração do site enquanto o ataque estiver ativo. Espera que as coisas estabilizem antes de ajustares o que quer que seja
- Confirma que as cópias de segurança do site estão intactas. Um ataque DDoS não altera nem apaga conteúdo, mas saber que as cópias estão seguras é útil
Para saberes como configurar as cópias de segurança para estarem prontas quando forem precisas, lê o artigo sobre como fazer uma cópia de segurança do teu website. Para o guia completo sobre como proteger o teu site contra todos os tipos de ataques comuns, lê o artigo sobre como proteger o teu website de hackers.
Como a WEMASY trata da proteção DDoS
O alojamento da WEMASY inclui proteção DDoS e filtragem de tráfego ao nível da rede. Os ataques são detetados e filtrados antes de chegarem a cada site da plataforma. Esta proteção está integrada em todos os planos e não exige qualquer configuração por parte dos donos dos sites.
Os sites na WEMASY não precisam de comprar serviços separados de proteção DDoS. A filtragem ao nível da rede trata das inundações de tráfego de grande volume que deixariam um site offline num alojamento sem proteção, e está ativa por defeito em todos os sites da plataforma.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
O que é um ataque DDoS?
Um ataque DDoS, abreviatura de Distributed Denial of Service, é um ataque que inunda o servidor de um website com tantos pedidos ao mesmo tempo que fica sem capacidade e deixa de responder aos visitantes reais. Os pedidos vêm de milhares de dispositivos diferentes em simultâneo, o que os torna difíceis de bloquear na origem. O site fica offline ou muito lento durante o ataque. Ao contrário do hacking, um ataque DDoS não tenta aceder ao site nem roubar-lhe nada. O objetivo é simplesmente deitá-lo abaixo. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Em que é que um ataque DDoS é diferente do hacking?
O hacking consiste em encontrar uma forma de passar a segurança de um site para aceder, alterar ou roubar algo no seu interior. Um ataque DDoS não faz nada disso. Inunda o servidor com tráfego até o site não conseguir responder a ninguém. O conteúdo, os ficheiros e os dados do site não são tocados. Os visitantes reais simplesmente não conseguem chegar ao site enquanto o ataque decorre. Ambos são ameaças, mas funcionam de formas completamente diferentes e exigem tipos diferentes de proteção.
Um website pequeno pode ser alvo de um ataque DDoS?
Sim. Uma grande parte dos ataques DDoS é automática e não escolhe especificamente os alvos. As ferramentas procuram sites que possam ser sobrecarregados e atingem o que encontram. Um site pequeno, com capacidade de servidor limitada, pode até ser posto offline com mais facilidade do que um site grande, com mais recursos para absorver tráfego. O tamanho não dá proteção. O que conta são as defesas existentes ao nível do alojamento e da rede.
Quanto tempo dura um ataque DDoS?
Depende do atacante. Alguns ataques duram alguns minutos. Outros duram horas ou até dias. O ataque continua enquanto o atacante escolher mantê-lo. Com proteção ao nível da rede, o tráfego do ataque pode ser filtrado antes de chegar ao site, o que significa que o site se mantém online mesmo enquanto o ataque decorre. Sem essa proteção, o site fica offline durante todo o tempo.
O que devo fazer se o meu site estiver a ser atingido por um ataque DDoS?
Contacta de imediato o teu fornecedor de alojamento. Tem ferramentas ao nível da rede que conseguem detetar e filtrar o tráfego do ataque muito mais depressa do que qualquer coisa disponível no painel do site. Regista quando o ataque começou e o que estás a ver. Evita fazer grandes alterações de configuração enquanto o ataque estiver ativo. Quando as coisas estabilizarem, vê se o teu plano de alojamento inclui proteção DDoS e se vale a pena implementar medidas adicionais.
A proteção DDoS vem incluída no meu alojamento?
Depende do fornecedor e do plano. Alguns fornecedores de alojamento incluem a proteção DDoS ao nível da rede em todos os planos, como funcionalidade standard. Outros oferecem-na como extra ou só nos níveis superiores. Consulta a documentação do teu alojamento ou contacta o teu fornecedor para confirmar o que está incluído. As redes de distribuição de conteúdo também oferecem proteção DDoS por conceção, já que distribuir o tráfego por muitos servidores reduz o impacto de qualquer ataque num único local.