Os ataques anteriores buscavam ler ou desviar tráfego. Esta aula é sobre ataques que buscam derrubar — negar o acesso a um serviço, atacando a disponibilidade (o "D" da tríade CIA, aula A tríade CIA e o modelo AAA: o vocabulário da defesa). O DoS (Denial of Service) e sua versão distribuída, o DDoS (Distributed Denial of Service), estão entre os ataques mais visíveis e disruptivos, capazes de tirar do ar sites, serviços e infraestrutura inteira. Esta aula cobre o conceito e as categorias — com uma nota ética e prática importante, porque DoS é uma área onde testar carrega riscos particulares. Laboratório isolado, e num pentest, apenas com autorização explícita e específica.
Interrupção, não invasão
O conceito é simples de enunciar: um ataque de negação de serviço torna um recurso indisponível para seus usuários legítimos. Diferente dos ataques anteriores, o DoS não busca acesso nem informação — busca interrupção. Isso o torna conceitualmente distinto: não há "invasão", há sobrecarga ou quebra. E há uma consequência ética importante que o diferencia no contexto de pentest: enquanto muitos testes buscam demonstrar sem causar dano, um teste de DoS bem-sucedido é o dano (o serviço cai). Por isso, testes de DoS são frequentemente excluídos do escopo de pentests padrão, ou conduzidos de forma muito controlada e explicitamente autorizada — derrubar o serviço de produção de um cliente sem acordo é um incidente grave, não um achado.
Volumétrico e exaustão de recursos
As categorias de ataque de DoS refletem o que é esgotado. Os ataques volumétricos simplesmente inundam o alvo com mais tráfego do que ele (ou sua conexão) consegue processar — como entupir uma via com carros até o trânsito parar. Os ataques de exaustão de recursos miram recursos específicos do sistema: um exemplo clássico que você já conhece é o SYN flood (aula Protocolos em ação: handshake TCP, DNS e inspeção real), que abusa do three-way handshake TCP — o atacante envia milhares de SYNs sem completar o handshake, e o servidor esgota seus recursos esperando conexões que nunca se concretizam. Os ataques de camada de aplicação exploram operações custosas da aplicação (requisições que consomem muito processamento ou memória), derrubando o serviço com menos tráfego, mirando a lógica cara em vez da largura de banda. E há ataques que exploram vulnerabilidades específicas que causam crash (um pacote malformado que trava o serviço).
O DDoS e a botnet
O DDoS eleva o DoS a outra escala usando muitas máquinas atacantes simultaneamente — tipicamente uma botnet (aula Tipos de malware: o zoológico do código malicioso), a rede de máquinas comprometidas sob controle do atacante. Em vez de um atacante, milhares de máquinas (computadores, servidores, e cada vez mais dispositivos IoT comprometidos — a botnet Mirai, aula Segurança de IoT: os bilhões de dispositivos conectados) atacam o alvo ao mesmo tempo, gerando um volume que nenhum alvo individual consegue absorver, e distribuindo a origem de modo que bloquear um único IP não resolve. O DDoS é a razão de os maiores ataques atingirem escalas massivas — e ilustra por que a segurança de outros dispositivos importa para você: dispositivos mal protegidos pelo mundo viram munição em botnets que atacam terceiros.
Amplificação e reflexão
Uma categoria particularmente engenhosa que vale entender é a amplificação (amplification/reflection). O atacante explora serviços que respondem a uma pequena requisição com uma resposta muito maior (certos serviços de DNS, NTP, e outros). O truque adicional: o atacante forja o endereço de origem da requisição para ser o da vítima — então o serviço amplificador envia a resposta enorme para a vítima, não para o atacante. Resultado: o atacante gera um tráfego pequeno, mas a vítima recebe um volume amplificado muitas vezes maior, vindo de servidores legítimos (que foram usados como "refletores" involuntários). A amplificação é como o DDoS multiplica seu poder com recursos modestos, e explora — mais uma vez — serviços mal configurados que respondem a requisições forjadas.
Todo recurso é finito
O ponto conceitual: o DoS/DDoS ataca a disponibilidade, uma propriedade que os outros ataques do curso geralmente não miram diretamente, e o faz explorando um fato fundamental — todo recurso é finito. Largura de banda, capacidade de processamento, memória, conexões simultâneas: tudo tem um limite, e o DoS busca atingir esse limite. Isso o torna, de certa forma, um ataque "impossível de eliminar completamente" — você não pode ter recursos infinitos —, o que muda a natureza da defesa: não é impedir totalmente, mas absorver, filtrar e resistir.
Mitigação de DDoS é disciplina especializada
Do lado defensivo, a mitigação de DDoS é uma disciplina especializada, e as contramedidas refletem a natureza do ataque: serviços de mitigação de DDoS (empresas especializadas — CDNs e provedores de proteção — que absorvem e filtram o tráfego malicioso antes que ele chegue ao alvo, usando sua capacidade massiva; esta é a defesa dominante para alvos sérios); superprovisionamento e escalabilidade (ter capacidade de absorver picos, especialmente com recursos de nuvem que escalam); filtragem e rate limiting (bloquear tráfego malicioso e limitar requisições por origem); proteções específicas (SYN cookies contra SYN flood, por exemplo); e — na origem do problema — fechar amplificadores (configurar serviços para não responder a requisições forjadas, reduzindo a munição disponível para atacantes). A lição, ecoando a tríade CIA: a disponibilidade é uma propriedade de segurança tão importante quanto a confidencialidade e a integridade, e protegê-la contra DoS exige arquitetura resiliente e, frequentemente, ajuda especializada.
Fontes e leituras recomendadas
- Cloudflare Learning Center — excelentes explicações de DoS/DDoS e amplificação
- MITRE ATT&CK — técnicas de Impact (incluindo Network Denial of Service)
- CISA e US-CERT — guias sobre mitigação de DDoS (defensivo)
- Relatórios anuais de DDoS (Cloudflare, Akamai) — para dimensionar a ameaça
Exercícios
-
O que distingue conceitualmente um ataque de DoS dos outros ataques do curso, e qual propriedade da CIA ele visa?
✓ Resposta:O DoS não busca acesso nem informação, mas interrupção — tornar o recurso indisponível para usuários legítimos. Visa a disponibilidade (o "D" da tríade CIA), diferentemente dos ataques que miram confidencialidade ou integridade.
-
Por que testes de DoS são frequentemente excluídos do escopo de pentests padrão?
✓ Resposta:Porque um teste de DoS bem-sucedido é o dano (o serviço cai), diferentemente de outros testes que demonstram sem causar prejuízo. Derrubar o serviço de produção de um cliente sem acordo é um incidente grave, então o DoS é excluído ou conduzido de forma muito controlada e explicitamente autorizada.
-
Diferencie ataques volumétricos, de exaustão de recursos e de camada de aplicação.
✓ Resposta:Volumétricos inundam o alvo com mais tráfego do que ele consegue processar (esgotam a largura de banda). De exaustão de recursos miram recursos específicos do sistema (ex.: SYN flood, que esgota as conexões pendentes). De camada de aplicação exploram operações custosas da aplicação, derrubando o serviço com menos tráfego ao mirar a lógica cara.
-
O que torna o DDoS mais poderoso que o DoS, e o que é uma botnet nesse contexto?
✓ Resposta:O DDoS usa muitas máquinas atacantes simultâneas, gerando um volume que nenhum alvo absorve e distribuindo a origem (bloquear um IP não resolve). Uma botnet é a rede de máquinas comprometidas sob controle do atacante (incluindo dispositivos IoT) usada para desferir o ataque coordenado.
-
Explique o ataque de amplificação e por que o atacante forja o endereço de origem para ser o da vítima.
✓ Resposta:Na amplificação, o atacante envia pequenas requisições a serviços que respondem com dados muito maiores, forjando o endereço de origem para ser o da vítima. Assim, os serviços amplificadores enviam as respostas enormes à vítima (não ao atacante), que recebe um volume multiplicado vindo de servidores legítimos usados como refletores — o atacante gera pouco tráfego e causa muito.
