Glossário: Termos e definições de segurança cibernética

O que é mitigação de DDoS?

Os ataques de negação de serviço distribuído (DDoS) podem ameaçar a disponibilidade da aplicação, por isso, é fundamental ter uma solução de mitigação de DDoS.

Ataques de negação de serviço distribuída (DDoS) são um tipo de ataque cibernético que tem como alvo aplicativos ou sites específicos com o objetivo de esgotar os recursos do sistema alvo, tornando-o inacessível ou inalcançável para usuários legítimos. Em 2023, os ataques à camada de aplicação aumentaram 165% , com o setor de tecnologia assumindo o primeiro lugar como o mais atacado de todos os setores verticais. É por isso que ter uma solução abrangente de mitigação de DDoS é essencial para manter o tempo de atividade e a resiliência.  

Conceitos-chave em ataques de DDoS

Antes de mergulhar nos métodos e soluções de mitigação de DDoS, é importante entender profundamente as ameaças DDoS atuais. Um ataque de negação de serviço distribuído (DDoS) degrada a infraestrutura ao inundar o recurso de destino com tráfego , sobrecarregando-o até o ponto de inoperabilidade. Um ataque DDoS também pode enviar uma mensagem especificamente criada que prejudica o desempenho do aplicativo. Ataques DDoS podem ter como alvo infraestrutura de rede, como tabelas de estado de firewall, bem como recursos de aplicativos, como servidores e CPUs. 

Ataques DDoS podem ter consequências graves, comprometendo a disponibilidade e a integridade de serviços online e causando interrupções significativas, com potencial para perdas financeiras e danos à reputação. Esses ataques também podem ser usados como uma distração para que criminosos possam acessar dados importantes. 

Ataques DDoS são um tipo de ataque de negação de serviço (DoS) , que buscam interromper o funcionamento normal de uma rede, servidor ou site sobrecarregando-o com tráfego. Por outro lado, um ataque DDoS usa vários dispositivos para inundar o alvo com tráfego. Como um ataque DDoS envolve vários sistemas atacando um único sistema, eles representam uma ameaça muito maior e mais complicada de ser frustrada. 

Estes são os tipos comuns de ataques de DDoS vistos no modelo Open Systems Interconnection (OSI) de sete camadas:

  • Ataques volumétricos são projetados para sobrecarregar uma rede com um volume de tráfego tão grande que a rede se torna inoperante. Esses ataques geralmente são executados usando uma botnet, que é uma rede de dispositivos comprometidos controlados por um único invasor.
  • Ataques de protocolo têm como alvo a camada de rede do modelo OSI e exploram vulnerabilidades em protocolos de rede como TCP/IP, ICMP e UDP. Esses ataques são projetados para sobrecarregar os recursos de dispositivos de rede, como firewalls, roteadores e balanceadores de carga, causando interrupção do serviço. Esses também são conhecidos como ataques “computacionais”.
  • Ataques na camada de aplicação têm como alvo a camada de aplicação do modelo OSI e exploram vulnerabilidades em aplicativos da web, como HTTP, HTTPS e DNS. Esses ataques são projetados para esgotar os recursos dos servidores web, causando assim a interrupção do serviço.

Vetores de ataque comuns usados em ataques de DDoS:

  1. Inundação UDP: Este ataque inunda o servidor de destino com pacotes UDP (User Datagram Protocol), o que pode fazer com que o servidor trave ou pare de responder. 
  2. Inundação TCP SYN: Este ataque explora o processo de handshake de três vias usado pelo Protocolo de Controle de Transmissão (TCP) para estabelecer uma conexão entre dois dispositivos. O invasor envia um grande número de pacotes SYN para o servidor de destino, o que pode fazer com que ele pare de responder.
  3. Inundação HTTP: Este ataque tem como alvo servidores web enviando um grande número de solicitações HTTP ao servidor de destino, o que pode fazer com que ele pare de responder.
  4. Amplificação de DNS: Este ataque explora o Sistema de Nomes de Domínio (DNS) para inundar o servidor de destino com pacotes de resposta DNS, o que pode fazer com que ele pare de responder. 
  5. Amplificação NTP: Este ataque explora o Network Time Protocol (NTP) para inundar o servidor de destino com pacotes de resposta NTP, o que pode fazer com que ele pare de responder. 
  6. Amplificação SSDP: Este ataque explora o Protocolo Simples de Descoberta de Serviço (SSDP) para inundar o servidor de destino com pacotes de resposta SSDP, o que pode fazer com que ele pare de responder. 
  7. Inundação SYN-ACK: Este ataque explora o processo de handshake de três vias do TCP enviando um grande número de pacotes SYN-ACK para o servidor de destino, o que pode fazer com que ele pare de responder. 
  8. Leitura lenta de HTTP: Este ataque envia solicitações HTTP ao servidor de destino, mas lê a resposta lentamente, o que pode fazer com que o servidor pare de responder. 
  9. Ping da morte: Este ataque envia um pacote ping muito grande para o servidor de destino, o que pode fazer com que ele trave ou pare de responder. 
  10. Ataque dos Smurfs: Este ataque explora o Protocolo de Mensagens de Controle da Internet (ICMP) para inundar o servidor de destino com solicitações de ping de várias fontes, o que pode fazer com que ele pare de responder. 
  11. URL pesada: Durante a fase de reconhecimento do planejamento do ataque, um invasor procura os URLs computacionalmente mais caros de um site e os usa como parte de um ataque DDoS. Elas são conhecidas como URLs “pesadas” porque colocam uma carga maior no servidor quando solicitadas.  
  12. Baixo e lento: O objetivo desses ataques DDoS é derrubar recursos de aplicativos de forma silenciosa e furtiva, usando muito pouca largura de banda. Por isso, são difíceis de detectar e, como ocorrem na camada de aplicação onde uma conexão TCP já está estabelecida, as solicitações HTTP parecem legítimas.
Tabela de proteção de DDoS

Portanto, a ameaça de ataques DDoS é enorme, podendo deixar as empresas mais vulneráveis a ataques cibernéticos. Isso significa que é essencial entender como os ataques DDoS acontecem para que você possa tomar medidas para mitigá-los.

Por que é fundamental implementar a mitigação de DDoS em uma disponibilidade de política de segurança cibernética:

Os ataques de DDoS podem causar tempo de inatividade significativo e interromper a disponibilidade de serviços, levando a perdas financeiras e danos à reputação.

Proteção: Ao incorporar medidas de mitigação de DDoS, sua empresa reduz o risco de tráfego malicioso atingir sua infraestrutura de rede, ao mesmo tempo em que garante que usuários legítimos possam acessar seus sites e aplicativos web. Ataques DDoS às vezes são usados como cortina de fumaça para distrair equipes de segurança de uma campanha de ataque coordenada que pode levar à violação de dados. E alguns tipos de ataques simplesmente não podem ser “codificados” .

Resiliência: Investir em tecnologia eficaz de mitigação de DDoS aumenta a resiliência de uma organização contra adversários de estados-nação e outros agentes maliciosos, tornando-a um alvo menos atraente.

Economia de custos: A mitigação rápida de ataques DDoS pode economizar tempo e dinheiro para as organizações.

Ao incluir a mitigação de DDoS em uma política de segurança cibernética, as organizações podem proteger proativamente seus recursos , manter a disponibilidade do serviço e minimizar o impacto de potenciais ataques DDoS.

Técnicas de mitigação de DDoS

Agora entendemos o que está em risco ao ser vulnerável a ataques DDoS, incluindo dados e aplicativos essenciais aos negócios, e por que é essencial implantar uma solução de mitigação de DDoS. Agora podemos analisar os tipos de mitigação de DDoS para que você possa determinar a melhor solução para suas necessidades.

Mitigação de DDoS no local

Existem vários tipos de soluções e medidas locais que uma organização pode implementar para reduzir o risco de ataques DDoS. Alguns deles também podem ser usados em adição aos baseados em nuvem para construir uma postura geral de defesa mais forte.

  • Fortalecimento da infraestrutura de rede: Esta solução envolve o reforço da infraestrutura de rede para suportar ataques DDoS. Inclui aumento de largura de banda, adição de links redundantes e atualização de dispositivos de rede. 
  • Limitação de taxa e modelagem de tráfego: Essa solução envolve limitar a quantidade de tráfego que pode entrar na rede. Ele pode ser implementado configurando limites de taxa nos dispositivos de rede ou usando técnicas de modelagem de tráfego para priorizar o tráfego.
  • Firewalls e sistemas de prevenção de intrusão (IPS): Esta solução envolve o uso de firewalls e dispositivos IPS para filtrar tráfego malicioso. Firewalls podem bloquear tráfego com base em endereços IP, portas e protocolos, enquanto dispositivos IPS podem detectar e bloquear ataques com base em suas assinaturas.

Mitigação de DDoS baseada em nuvem

Mover os esforços de mitigação de DDoS para a nuvem ou uma solução híbrida ajuda a aumentar a eficiência, a escalabilidade e a eficácia. Algumas soluções baseadas em nuvem podem ser integradas com soluções locais. Soluções de mitigação de DDoS baseadas em nuvem operam em redes de entrega em nuvem, ou CDNs . 

  • O roteamento anycast distribui o tráfego para o data center mais próximo que pode lidar com ele. Ele funciona anunciando a mesma rede em diferentes partes da rede, para reduzir o “tempo de viagem” da rede para chegar a essa rede. Quando uma rede CDN usa roteamento anycast , ela distribui o tráfego de forma mais estratégica, o que aumenta a área de superfície da rede receptora e ajuda a redirecionar altos volumes de tráfego para mais data centers.
  • Os centros de depuração de tráfego são data centers projetados para filtrar tráfego malicioso do tráfego legítimo. Eles são usados para mitigar ataques DDoS filtrando o tráfego de ataque e encaminhando tráfego limpo para os servidores do cliente. Quando ocorre um ataque DDoS, o tráfego é roteado através do centro de depuração , onde é analisado e filtrado. O tráfego limpo é então encaminhado para os servidores do cliente.

Mitigação de DDoS baseada em nuvem híbrida

Mover os esforços de mitigação de DDoS para uma solução híbrida pode trazer o melhor da segurança da nuvem pública e do gerenciamento da nuvem privada ou local. Um modelo híbrido pode permitir que as empresas adaptem ainda mais sua postura de segurança às suas necessidades exclusivas de dados. 

Mitigação de DDoS de aplicações

Os aplicativos são os motores dos negócios modernos, mas são cada vez mais alvos de ataques DDoS. A mitigação tradicional de DDoS é estática e centralizada. Mas como os aplicativos são distribuídos entre nuvens e arquiteturas, eles precisam de uma solução de mitigação de DDoS que seja escalável e flexível para oferecer proteção máxima.  

Componentes da mitigação de DDoS

Uma estratégia abrangente de mitigação de DDoS normalmente inclui vários componentes principais.

Análise e monitoramento de tráfego

O primeiro passo na mitigação de DDoS é detectar possíveis problemas ou riscos. Os dois principais métodos de identificação e alerta sobre ameaças são a detecção baseada em assinaturas e a detecção baseada em anomalias.

A detecção baseada em assinatura depende de uma lista pré-programada de indicadores conhecidos de comprometimento (IOCs) para identificar ameaças. Esses IOCs podem incluir comportamento de ataque de rede malicioso , conteúdo de linhas de assunto de e-mail, hashes de arquivo, sequências de bytes conhecidas ou domínios maliciosos, entre outros problemas. A detecção baseada em assinatura tem alta velocidade de processamento para ataques conhecidos e baixas taxas de falsos positivos, mas não consegue detectar explorações de dia zero.

A detecção baseada em anomalias , por outro lado, é capaz de alertar sobre comportamento suspeito desconhecido. A detecção baseada em anomalias envolve primeiro treinar o sistema com uma linha de base normalizada e, então, comparar a atividade com essa linha de base; quando algo fora do comum é detectado, um alerta é acionado. A detecção baseada em anomalias pode ter taxas maiores de falsos positivos. 

Desvio de tráfego em tempo real

Proteger os recursos de DNS é essencial para os negócios. Duas soluções de desvio de tráfego em tempo real podem ajudar. 

  • O redirecionamento de DNS envolve o redirecionamento de consultas DNS de um nome de domínio para outro. Isso pode ser útil em situações em que um site foi movido para um novo nome de domínio ou quando uma empresa deseja redirecionar o tráfego de um nome de domínio para outro. O redirecionamento de DNS pode ser implementado usando um registro CNAME no arquivo de zona DNS. Quando uma consulta DNS é recebida para o nome de domínio original, o servidor DNS responde com um registro CNAME apontando para o novo nome de domínio. O cliente então envia uma nova consulta DNS para o novo nome de domínio.
  • O BGP Anycast envolve anunciar o mesmo endereço IP de vários locais na Internet. No BGP Anycast, o Border Gateway Protocol (BGP) é usado para anunciar o endereço IP de vários locais. Quando um cliente envia uma consulta DNS para um endereço IP Anycast, a consulta é roteada para o local mais próximo que está anunciando o endereço IP. Isso pode ajudar a melhorar o desempenho e a disponibilidade dos serviços DNS reduzindo a latência. O BGP Anycast é normalmente usado por grandes organizações que têm vários data centers localizados em diferentes regiões geográficas.

Filtragem e limpeza de ataques

À medida que o tráfego se move em direção e através da sua rede, você precisa de uma solução de mitigação de DDoS que a monitore continuamente em busca de atividades maliciosas.

  • A identificação de tráfego malicioso funciona examinando o tráfego proveniente do cliente antes que ele seja enviado para a camada de aplicação, garantindo que o tráfego malicioso nunca passe pela barreira do proxy. O tráfego que retorna do servidor pode ser examinado completamente antes de ser considerado aceitável para ser passado de volta ao cliente. Isso ajuda a garantir que dados confidenciais, como números de cartão de crédito ou PII, nunca sejam transmitidos pela barreira de proxy.
  • Algoritmos e técnicas de limpeza são usados para encontrar e excluir tráfego malicioso conforme ele entra na sua rede. Os centros de depuração são a primeira parada do tráfego; nos centros, o tráfego é triado com base nas características do tráfego e possíveis metodologias de ataque. O tráfego continua sendo verificado enquanto atravessa o centro de limpeza para confirmar que o tráfego malicioso foi totalmente removido. Esse controle de segurança é essencial porque ataques DDoS podem facilmente sobrecarregar os canais de entrada no ambiente do cliente.

Fatores de mitigação de DDoS a serem considerados ao escolher um provedor

Ao considerar a solução certa de mitigação de DDoS para as necessidades da sua organização, você vai querer pesar os seguintes fatores com a trajetória de crescimento do seu negócio e a possível superfície de risco em mente. E quando e se você estiver considerando um serviço de nuvem, agora você tem a opção de escolher entre várias nuvens públicas (AWS, Google Cloud, Microsoft Azure e Alibaba Cloud), bem como empresas de nuvem privada.

Fatores a considerar ao escolher um provedor de mitigação de DDoS

 

Práticas recomendadas para mitigação de DDoS

Uma solução abrangente de mitigação de DDoS ajuda a proteger sua rede preventivamente, com resposta a incidentes em tempo real e testes e revisões contínuos para garantir o mais alto desempenho.

Medidas proativas

Projeto de arquitetura de rede: Uma arquitetura de rede bem projetada pode ajudar a prevenir ataques DDoS, garantindo que a rede seja resiliente e possa suportar altos volumes de tráfego. Por exemplo, uma rede projetada com várias camadas de segurança, incluindo firewalls, sistemas de detecção de intrusão e outras medidas de segurança, pode ajudar a impedir que ataques DDoS penetrem na rede. Além disso, a segmentação de rede pode ajudar a limitar o impacto de um ataque isolando as áreas afetadas da rede. 

Balanceamento de carga: O balanceamento de carga pode ajudar a prevenir ataques DDoS distribuindo o tráfego entre vários servidores, o que pode ajudar a evitar que um servidor fique sobrecarregado. Isso pode ajudar a garantir que a rede permaneça disponível mesmo durante um ataque DDoS. Os balanceadores de carga também podem ajudar a detectar e bloquear tráfego malicioso, o que pode ajudar a impedir que ataques DDoS sejam bem-sucedidos. 

SLAs detalhados do fornecedor: Ao considerar um terceiro para proteção contra ataques DDoS, é essencial entender as capacidades do fornecedor em cada cenário de DDoS e ter protocolos, ações e respostas incorporados ao SLA.

Resposta ao incidente

Etapas de tratamento de incidentes DDoS: Existem seis etapas principais envolvidas na resposta rápida e eficaz a um incidente DDoS, embora seja importante afirmar que essas etapas não acontecem de forma linear, mas sim em um loop. 

  1. Preparação : Estabeleça contatos, defina procedimentos e reúna ferramentas para economizar tempo durante um ataque. 
  2. Detecção : Detecte o incidente, determine seu escopo e envolva as partes apropriadas. 
  3. Análise : Analise o tráfego de ataque para determinar suas características e identificar o alvo. 
  4. Contenção : Contenha o ataque filtrando o tráfego e bloqueando o tráfego malicioso. 
  5. Erradicação : Erradique o ataque removendo o tráfego malicioso da rede. 
  6. Recuperação : Recupere-se do ataque restaurando os serviços e revisando o incidente. 

Protocolos de comunicação com provedor de mitigação durante um incidente DDoS: Desde o início, é fundamental que uma empresa e seu provedor de mitigação sigam um protocolo de comunicação rigoroso. Estas são as melhores práticas recomendadas para comunicação durante um incidente: 

  • Estabeleça um plano de comunicação: Estabeleça um plano de comunicação com seu provedor de mitigação de DDoS antes que um ataque ocorra. Este plano deve incluir informações de contato do pessoal-chave, procedimentos de escalonamento e canais de comunicação.
  • Forneça informações detalhadas: Forneça ao seu provedor de mitigação de DDoS informações detalhadas sobre o ataque, incluindo o tipo de ataque, o alvo e a duração do ataque. Essas informações podem ajudar seu provedor a desenvolver uma estratégia de mitigação eficaz. 
  • Colabore com seu provedor: Trabalhe em estreita colaboração com seu provedor de mitigação de DDoS para desenvolver uma estratégia de mitigação adaptada às necessidades da sua organização. Isso pode incluir ajustar o roteamento de tráfego, filtrar tráfego ou bloquear tráfego malicioso. 
  • Monitore a situação: Monitore a situação de perto e forneça atualizações regulares ao seu provedor de mitigação de DDoS. Isso pode ajudar seu provedor a ajustar sua estratégia de mitigação conforme necessário. 
  • Reveja o incidente: Após o ataque ter sido mitigado, revise o incidente com seu provedor de mitigação de DDoS para identificar áreas de melhoria e atualizar seu plano de resposta a incidentes conforme necessário. 

Testes e revisões regulares

As equipes de TI e segurança devem fazer análises e testes regularmente. Um tipo de teste é o teste de equipe vermelha , que envolve a simulação de táticas e técnicas de invasores do mundo real. Nesse caso, os testadores da equipe vermelha tentariam uma variedade de ataques DDoS para monitorar as respostas da solução de mitigação.  

Também é fundamental se manter atualizado sobre as tendências de ataques cibernéticos, especialmente porque criminosos do mundo todo continuam mudando seus métodos. Uma solução de mitigação deve ser escalável e adaptável a quaisquer novos tipos de interrupções. 

Estudos de caso de mitigação de DDoS

Organizações de qualquer setor, de qualquer tamanho, operando em qualquer parte do mundo, podem se beneficiar de ter uma solução confiável de mitigação de DDoS. Esses estudos de caso demonstram o quão eficaz uma solução de mitigação de DDoS pode ser em qualquer cenário. Empresas como a sua têm visto resultados mensuráveis ao assumir riscos de DDoS. 

  • Estudo de caso : Saiba como uma seguradora líder frustrou uma tentativa de ataque DDoS e, ao mesmo tempo, ajudou a proteger seus aplicativos e usuários. 
  • Vídeo : Saiba como a F5 ajudou um provedor de e-mail a interromper e consolidar seus equipamentos de rede para reduzir a superfície potencial de ataque e aumentar a segurança operacional. 

Tendências futuras em mitigação de DDoS

Embora os ataques DDoS existam há décadas, os criminosos que os operam estão se tornando cada vez mais sofisticados e agressivos. É importante estar ciente das tendências atuais e futuras na área de DDoS da segurança cibernética . 

Em alto nível, a F5 encontrou estas tendências em 2023:

  • Os ataques na camada de aplicação aumentaram em 165%
  • O setor de tecnologia assume o primeiro lugar como mais atacado em comparação com 2022
  • Os eventos observados em geral caíram –9,7%
  • A largura de banda máxima aumentou 216% em relação a 2020
  • Todos os setores verticais devem esperar ver mais aplicações e DDoS multivetorial

Além disso, há três áreas crescentes que os especialistas em segurança cibernética estão observando:

Inteligência artificial e aprendizado de máquina : À medida que mais empresas estão implantando IA e ML em outras áreas de seus negócios, como manufatura ou atendimento ao cliente, há papéis que elas podem desempenhar na detecção e mitigação de ataques DDoS.  Um estudo recente mostrou que o uso de um método de inteligência artificial para detectar ataques DDoS resultou em mais de 96% de precisão.  

Internet das Coisas (IoT) : A IoT está crescendo, mas proteger as superfícies de computação adicionais envolvidas pode deixar essas soluções mais vulneráveis a ataques. Especialistas sugerem adotar práticas de segurança mais robustas, proteção por senha e uso de firewalls ou VPS, tudo para reduzir o número de dispositivos em risco de ataque.  

Tecnologia Blockchain : A tecnologia blockchain apresenta uma opção interessante para mitigação de DDoS porque, por sua natureza, o blockchain é descentralizado e possui armazenamento distribuído seguro. Isso pode ajudar especialmente com ataques geográficos, onde a segurança também pode ser direcionada geograficamente. 

Embora os ataques DDoS não desapareçam, há mais ferramentas para ajudar a mitigar esses ataques agora e nos próximos anos.

Como a F5 pode ajudar

Ataques de negação de serviço distribuído (DDoS) existem há décadas e não vão desaparecer. É por isso que as empresas precisam pensar no futuro para suas soluções de mitigação de DDoS. Na F5, a segurança cibernética está no centro de praticamente tudo o que fazemos. Nossas soluções de mitigação de DDoS e suporte de excelência dão à sua organização a vantagem necessária para mitigar os riscos de possíveis ataques DDoS. Também é importante garantir que sua solução de mitigação de DDoS possa ser dimensionada e adaptada às necessidades da sua empresa – e à ameaça de adaptação dos malfeitores de DDoS.  

Deixe que a F5 ajude você em todas as formas que você e sua rede possam precisar de proteção contra ataques DDoS . Temos ampla experiência na implementação do tipo certo de mitigação de DDoS para as necessidades da sua organização.