Um ataque DDoS procura tornar um serviço inacessível, afogando-o num volume de tráfego que ele não consegue absorver. Uma proteção anti-DDoS premium coloca uma camada de filtragem à frente do seu servidor: o tráfego malicioso é descartado antes de chegar até ele, e os seus visitantes, clientes ou jogadores continuam a passar.
Este artigo explica o que essa filtragem traz na prática a uma atividade, o que ela não faz e como escolher uma oferta como a VPS Anti-DDoS da Infrawire em função do que você expõe na Internet.
Para que serve uma proteção anti-DDoS
Sem proteção, o seu servidor recebe tudo o que lhe enviarem. Quando a linha fica saturada, nenhum ajuste na máquina muda o resultado: os pedidos legítimos deixam de chegar, mesmo que o servidor esteja em repouso. É o cenário típico de um ataque volumétrico.
A proteção serve, antes de tudo, para manter um serviço acessível durante o ataque: loja online, API, servidor de jogos, área de cliente, VPN. Evita também um efeito colateral comum em hosts sem filtragem, que podem suspender temporariamente o endereço IP visado para preservar o resto da rede. Para uma empresa, o custo real de um ataque mede-se em vendas perdidas, clientes insatisfeitos e tempo gasto a gerir a crise.
Os tipos de ataque que convém conhecer
Nem todos os ataques atingem o mesmo ponto. O nível de filtragem necessário depende do que você oferece online.
| Tipo | Princípio | Exemplo |
|---|---|---|
| Volumétrico | Saturar a largura de banda | Envio maciço de dados não solicitados |
| De protocolo | Esgotar os recursos de ligação do servidor | Falsos pedidos de ligação em rajada |
| Aplicacional | Imitar visitantes reais | Milhares de pesquisas ou de logins na mesma página |
A filtragem de rede a montante trata bem as duas primeiras famílias. A terceira é mais delicada: um pedido bem formado parece-se com um visitante normal, e muitas vezes cabe ao seu site ou à sua aplicação responder a isso.
O que a filtragem faz por si
O princípio é simples. O tráfego de entrada é analisado antes de chegar ao seu servidor, os fluxos que correspondem a um ataque conhecido são rejeitados e só o restante é encaminhado. Não precisa de montar uma arquitetura complexa para enfrentar os ataques de rede mais comuns.
A vantagem de uma oferta dedicada a este fim é que a proteção faz parte da infraestrutura, em vez de ser um módulo acrescentado depois de o problema acontecer. O âmbito exato (portas, protocolos, tipos de ataque tratados) está descrito na página VPS Anti-DDoS. Leia-o antes de implementar um serviço atípico, por exemplo um jogo que use um protocolo proprietário.
O que ela não substitui
Uma proteção de rede não é garantia contra tudo. Alguns pontos surgem com frequência na prática:
- As falhas da sua aplicação: uma função lenta, chamada em ciclo, pode deixar um site de joelhos sem que nenhum tráfego pareça suspeito.
- A exposição do endereço de origem: se o IP do seu servidor for conhecido e acessível diretamente, os atacantes podem visá-lo.
- Os serviços desnecessários: uma base de dados aberta a toda a Internet continua a ser um risco, haja ataque ou não.
- A monitorização: sem indicadores de tráfego e de desempenho, é impossível saber se uma lentidão vem de um ataque ou de um simples bug.
Uma configuração de servidor cuidada, atualizações regulares e uma firewall bem parametrizada continuam, portanto, a ser necessárias. A proteção anti-DDoS soma-se a essas bases, não as substitui.
Escolher a oferta conforme o uso
A escolha certa depende do que está exposto e do que custa uma interrupção.
- Servidores de jogos: alvo frequente de ataques entre jogadores ou comunidades rivais. Um servidor dedicado gaming ou um VPS protegido servem, consoante a carga prevista.
- Sites e APIs: um VPS Anti-DDoS protege o endereço público. Completa-se bem com cache e com um limite de pedidos por visitante.
- Cargas elevadas ou necessidades de rede específicas: um servidor dedicado oferece mais margem de manobra e recursos não partilhados.
Dimensione também a própria máquina. A filtragem retira o tráfego de ataque, mas o seu servidor tem de suportar o tráfego legítimo, incluindo um pico de visitas ou uma campanha comercial.
FAQ
Não. Reduz bastante a exposição a ataques de rede, mas uma falha aplicacional, uma palavra-passe fraca ou um serviço mal configurado continuam a ser riscos. Soma-se à segurança do servidor, não a substitui.
Numa oferta dedicada a este fim, a filtragem está prevista ao nível da infraestrutura. Consulte a página da oferta para conhecer o âmbito exato e depois adapte a configuração do servidor e da aplicação aos serviços que expõe.
Os sinais habituais são um aumento brusco de tráfego sem subida de visitantes reais, um site muito lento ou inacessível e alertas da sua ferramenta de monitorização. Em caso de dúvida, contacte o suporte do seu host com as suas observações: ele poderá confirmar a origem do problema.
Depende da exposição e da importância do site para a sua atividade. Um site institucional pouco visado dispensa-a muitas vezes, enquanto uma loja online ou um site regularmente atacado tem boas razões para se equipar. Em qualquer caso, um sistema de cache e a limitação de tentativas de login reduzem os riscos.