DDoS e DoS são a mesma coisa?

O efeito é o mesmo, a origem muda. No DoS o tráfego vem de uma única fonte, fácil de bloquear. No DDoS vem de muitas máquinas ao mesmo tempo, o que o torna maior e mais difícil de rastrear.

Um ataque DDoS invade ou rouba dados?

Não por si só. Ele só esgota recursos e deixa o serviço indisponível. A CISA alerta, porém, que atacantes às vezes usam o DDoS como distração para outros ataques, então vale observar o resto da infraestrutura.

Quem sofre ataque DDoS?

Qualquer coisa exposta à internet pode ser alvo: lojas, APIs, servidores de jogos, sites pequenos e bots com webhook público. Há alvos escolhidos por motivo (extorsão, rivalidade, protesto) e outros atingidos por simples teste de botnet.

Reiniciar o servidor resolve?

Só alivia por instantes. Enquanto o tráfego malicioso continuar chegando, o servidor volta a saturar. O que resolve é filtrar o tráfego antes de ele consumir seus recursos.

O que é ataque DDoS e como funciona

Todo serviço na internet tem um limite: banda de rede, conexões abertas, CPU, memória. Um ataque DDoS tenta passar desse limite de propósito. Se o servidor gasta tudo respondendo a lixo, não sobra capacidade para quem realmente quer usá-lo.

Para quem hospeda um site, uma API ou um bot com webhook, entender o mecanismo ajuda a separar o que é ataque do que é só um pico de acesso ou um bug, e a saber onde a defesa precisa ficar.

O que significa DDoS?#

DDoS vem de Distributed Denial of Service, ou negação de serviço distribuída. "Negação" porque o usuário legítimo é impedido de usar o serviço. "Distribuída" porque o tráfego não sai de um lugar só: vem de muitas máquinas ao mesmo tempo.

Isso o diferencia do DoS simples. Num DoS, uma única fonte faz o ataque e basta bloquear o IP dela. Num DDoS, bloquear um IP quase não muda nada, porque milhares de outros continuam enviando. Segundo a CISA (agência de segurança cibernética dos EUA), a distribuição torna o ataque maior e mais difícil de rastrear.

Como um ataque DDoS funciona?#

O atacante raramente usa as próprias máquinas. Ele controla uma botnet: uma rede de dispositivos comprometidos, como computadores, roteadores e câmeras, que obedecem a um comando central sem o dono saber. A CISA registra que botnets às vezes são alugadas como serviço de "ataque sob encomenda", o que baixa a barreira de entrada.

O fluxo é simples:

O atacante infecta dispositivos e monta a botnet.
Ele escolhe um alvo (um IP ou um domínio) e dispara o comando.
Cada dispositivo envia requisições ou pacotes ao alvo.
O alvo esgota um recurso (banda, conexões ou CPU) e passa a recusar ou atrasar todos os pedidos, inclusive os legítimos.

Cada dispositivo, sozinho, parece um cliente normal. O ataque só aparece na soma.

Quais são os tipos de ataque DDoS?#

A classificação mais usada separa os ataques pelo recurso que eles esgotam, que também corresponde à camada da rede atacada.

Volumétricos (camadas 3 e 4)#

Tentam encher o link de rede até não passar mais nada. O truque clássico é a amplificação por reflexão: como o UDP não valida o IP de origem, o atacante falsifica o endereço da vítima e manda pedidos pequenos a servidores públicos (DNS, NTP, Memcached). Esses servidores respondem à vítima com pacotes muito maiores. A CISA lista fatores de amplificação de 28 a 54 para DNS, 556,9 para NTP e de 10.000 a 51.000 para Memcached. Na prática, poucos megabits do atacante viram uma enxurrada de gigabits.

De protocolo (camada 4)#

Exploram o funcionamento de um protocolo para esgotar a tabela de conexões do servidor ou de um equipamento de rede. O exemplo mais conhecido é o SYN flood. Uma conexão TCP começa com um SYN; o servidor reserva memória, responde com SYN-ACK e espera o ACK final. No ataque, os SYNs chegam em rajada, muitas vezes com origem falsa, e o ACK nunca vem. As conexões ficam "meio abertas" até encher o limite que o sistema operacional impõe (o backlog), e conexões reais passam a ser rejeitadas (RFC 4987).

De aplicação (camada 7)#

Parecem tráfego legítimo. Um HTTP flood envia milhares de requisições válidas a rotas caras, como busca, login ou uma consulta pesada ao banco. Cada requisição, vista isoladamente, é normal; o dano vem do volume e do custo de processar cada uma. É o tipo mais difícil de distinguir de um pico real, porque exige olhar o comportamento, não só o volume.

Como saber se estou sob ataque DDoS?#

A CISA cita três sintomas: rede ou site muito lentos, um site específico indisponível, ou nenhum site acessível. Só que esses sintomas também aparecem em manutenção, bug ou um post que viralizou. Para separar as causas, olhe:

Origem do tráfego: muitos IPs diferentes batendo nas mesmas rotas, sem relação com usuários reais.
Forma do pico: salto brusco, sem campanha ou lançamento que o explique.
Recursos: CPU, conexões abertas ou banda no limite sem aumento proporcional de usuários.
Logs de acesso: requisições idênticas, User-Agent repetido, uma rota só e nenhuma navegação "humana" (sem carregar CSS, imagens ou scripts).

Segundo a CISA, a forma mais segura de confirmar é monitorar o tráfego com um firewall ou um sistema de detecção de intrusão.

O que fazer quando o ataque começa?#

Não existe botão mágico, mas seguir esta ordem ajuda:

Confirme se é ataque ou manutenção olhando métricas e logs.
Acione quem está à frente do tráfego: seu provedor de hospedagem ou de rede, que pode aplicar filtros, regras de firewall ou redirecionar o tráfego para um serviço de mitigação.
Observe o resto do sistema: o DDoS pode servir de cortina para outro ataque, como tentativas de invasão em paralelo.
Registre horários e amostras do tráfego, úteis para o provedor e para ajustar regras depois.

Medidas preventivas (mitigação na borda, WAF, limite de requisições, cache) estão em como proteger seu site ou bot contra DDoS. Uma CDN e um proxy reverso na frente da aplicação já absorvem parte do problema. Se o site caiu e você ainda não sabe por quê, veja por que meu site está fora do ar.

DDoS é a mesma coisa que invasão?#

Não. Uma invasão busca acesso: roubar dados, executar código, assumir uma conta. O DDoS busca indisponibilidade e não precisa de nenhuma falha no seu código para funcionar. Por isso a defesa também é diferente: senhas fortes e correção de vulnerabilidades não impedem um DDoS, e a mitigação de tráfego não impede uma invasão. São camadas diferentes.

Como fazer isso na Square Cloud#

A defesa contra DDoS volumétrico precisa ficar na borda, onde há capacidade de rede para absorver o tráfego antes de ele chegar à sua aplicação. Na Square Cloud, todos os planos incluem proteção DDoS L3/L4/L7 e WAF, numa rede com CDN Anycast de mais de 200 pontos de presença (baseada na Cloudflare), HTTP/3 e até 10 Gbps por servidor. O tráfego é ilimitado, sem cobrança por banda nem por requisição (política de uso justo).

Suas aplicações rodam em containers isolados, mas a proteção na borda não substitui o cuidado no seu código: limitar requisições, definir timeouts e usar cache continuam sendo responsabilidade sua.

Detalhes da rede, da mitigação e dos limites estão em rede e proteção DDoS.