Transferência, DDoS: É a era da negação de defesa distribuída (DDoD)

Nos últimos anos, houve um aumento significativo no número de ataques de alto volume de natureza altamente sofisticada.

Na verdade, nove dos maiores ataques de DDoS volumétricos mitigados pela plataforma de proteção DDoS da Akamai Prolexic ocorreram nos últimos 36 meses. Esses ataques costumavam ser multivetoriais, multidestino e tinham o potencial de sobrecarregar muitas soluções de DDoS rudimentares, apenas autônomas ou locais, disponíveis no mercado.

Se analisarmos mais de perto a inteligência contra ameaças de DDoS coletada pela Akamai, mais de 30% dos ataques de DDoS mitigados pelo Prolexic no 2º trimestre de 2025 foram sofisticados e horizontais (Figura 1).

Esses ataques de DDoS sofisticados exigem uma abordagem de defesa sofisticada que combine o poder da automação moderna, a experiência humana e a colaboração entre as equipes de segurança de uma organização e o provedor de soluções. É aqui que a estrutura de plataforma-pessoas-processos da Akamai oferece uma postura de segurança robusta de rede. 

Vetores simples e fáceis de atenuar, como inundações de UDP podem ser facilmente bloqueados por qualquer solução de proteção contra DDoS rudimentar. Não importa quantos terabits por segundo (Tbps) de tráfego de ataque são gerados por um invasor. Em muitos casos, até mesmo uma lista de controle de acesso (ACL) simples pode fazer a tarefa. Esses tipos de TTPs (Simple Tactics, Techniques, and Procedures, táticas, técnicas e procedimentos simples) quase não são nada novo ou digno de nota para os profissionais de segurança de rede.

Uma história totalmente diferente são os ataques de DDoS sofisticados realizados por IA que sondam inteligentemente suas defesas, identificam pontos mais fracos em sua postura de segurança e então lançam uma mistura complexa de vetores de ataque com volume moderado. Esses ataques derrubam suas defesas contra DDoS e depois colocam sua rede offline.

Reiteramos esse processo particularmente importante porque o DDoS não é um acaso. A maioria dos ataques de DDoS ocorre quando alguém tenta deliberadamente inundar sua rede com tráfego mal-intencionado que satura a capacidade de sua origem e impede que usuários legítimos acessem seus serviços.

Em alguns casos, pode haver uma negação de serviço (DoS) devido a uma configuração incorreta, uma varredura de rede ou uma análise agressiva de vulnerabilidades. Com ferramentas habilitadas e assistidas por IA, os cibercriminosos podem sondar sua rede para detectar qual parte está relativamente vulnerável e, então, concentrar o ataque de acordo.

Ataques de DDoS sofisticados quase nunca são altos em termos volumétricos. Isso porque o invasor não precisa gerar muito tráfego se puder sobrecarregar suas defesas com uma quantidade relativamente moderada de tráfego mal-intencionado cuidadosamente criado.

Pense nisso desta forma: Se alguém estivesse tentando invadir sua casa, poderia usar força bruta para arrombar a porta da frente, disparar o sistema de alarme residencial e se preparar para enfrentar a polícia… ou poderia identificar como desativar seu sistema de segurança e então usar um esforço moderado para entrar.

Alguns dos ataques de DDoS modernos usam a segunda técnica: Eles desativam seu sistema de segurança e, em seguida, entram em sua rede.

As redes de clientes geralmente têm diferentes níveis de capacidade redundante ou tecnologia integrada para absorver ou desviar o golpe inicial de um ataque. Infelizmente, isso não é suficiente.

Controles ou dispositivos como firewalls sem estado, por exemplo, podem ajudar inicialmente, mas muitas vezes têm capacidade finita para absorver o uso indevido de protocolos e/ou distribuir a carga de forma equilibrada, ao mesmo tempo em que se concentram em atender hosts ou usuários legítimos. Às vezes, tudo o que um invasor precisa é apenas uma capacidade de ataque suficiente para derrubar a infraestrutura e ignorar controles automatizados.

Um relatório de junho de 2025 da FS-ISAC e da Akamai, From Nuisance to Strategic Threat: Os ataques de DDoS contra o setor financeiro, destacam essa tendência de maneira detalhada.

O relatório afirma: "De fato, as campanhas DDoS mais eficazes em 2024 foram caracterizadas por reconhecimento estratégico e execução ágil, em vez de simples volume".

"Em 2024, os agentes de ameaça passaram a empregar cada vez mais estratégias avançadas de DDoS multivetoriais que incorporavam sondagens sistemáticas e táticas adaptativas. Isso demonstra a capacidade de analisar as defesas em tempo real e ajustar dinamicamente os métodos para escapar das proteções automatizadas. Isso marca uma clara evolução na capacidade, nos recursos e na intenção do invasor e aumenta a ameaça de ataques de DDoS contra o setor de serviços financeiros."

Nos últimos três meses de 2024, mais de 20 instituições financeiras individuais na região Ásia-Pacífico foram afetadas por uma campanha de ataque de DDoS sem precedentes e altamente sofisticada. Os criminosos virtuais usaram uma infinidade de vetores em um volume relativamente baixo para sondar e testar habilmente o verdadeiro nível de defesas contra DDoS nessas instituições.

Apesar do volume moderado do tráfego de ataque, a mistura complexa de vetores e IPs de destino levou à falha de vários serviços de proteção de DDoS puramente autônomos e locais, resultando em dias de impacto notável e caro para os usuários finais.

É importante observar que o volume de tráfego de ataque estava significativamente abaixo dos limites de capacidade anunciados da maioria das soluções de atenuação de DDoS. Além disso, uma vez que as plataformas de defesa contra DDoS totalmente autônomas e de autoatendimento foram sobrecarregadas, os clientes nem sequer conseguiam acessá-las para tomar qualquer ação. Em nenhum momento, nenhum profissional de segurança de rede quer se sentir tão vulnerável e impotente.

Nos últimos anos, a Akamai tem observado de perto essa tendência emergente de cibercriminosos migrarem do antigo jogo da negação de serviço distribuída para o novo esporte da negação de defesa distribuída. Os ataques na região Ásia-Pacífico cimentaram essa transição.

Quando seu sistema de defesa automatizado contra DDoS está inativo, o invasor não precisa de um alto volume de tráfego mal-intencionado para interromper sua rede.

No exemplo da Ásia-Pacífico, essa abordagem permitiu que o invasor atacasse e perturbasse com sucesso várias empresas ao mesmo tempo e ao longo de semanas. Eles usaram o "poder de fogo" de seus botnets de maneira economicamente eficiente, em vez de esgotar seus recursos com ataques convencionais de grande escala.

O Akamai Prolexic, nossa plataforma de defesa contra DDoS, defendeu confortavelmente os clientes contra esses ataques. Um dos principais motivos é que antecipamos a falha do modelo "somente automação" em nosso design, sempre há uma equipe global de especialistas do Security Operations Command Center (SOCC) monitorando ataques e trabalhando diretamente com o cliente.

Nossos especialistas são pessoas que enfrentam ataques de DDoS todos os dias e contam com um arsenal de ferramentas para empregar caso um ataque consiga superar partes dos mecanismos de defesa automatizados.

Na verdade, a Akamai recebe regularmente solicitações externas de proteção contra DDoS de emergência de organizações cujas defesas contra DDoS totalmente autônomas foram enganadas por um invasor. Mais frequentemente do que não, os fornecedores que dependem de sistemas de defesa totalmente autônomos não oferecem nenhum plano de backup nem acesso à intervenção humana, consulta de emergência ou recursos de suporte.

Um sistema de segurança é tão bom quanto sua capacidade de defender sua rede no momento de um ataque. Qualquer sistema que regularmente experimente interrupções, fique offline ou possa ser facilmente sobrecarregado por um ataque sofisticado é completamente inútil, não importa quão grande seja sua capacidade de defesa "comercializada".

Na era moderna dos ataques de DDoS sofisticados, é relativamente fácil sobrecarregar ou desativar completamente plataformas de defesa contra DDoS puramente autônomas. Isso é particularmente verdadeiro quando a capacidade de defesa contra DDoS de tal plataforma é um recurso compartilhado com outros serviços, incluindo a CDN (rede de Entrega de Conteúdo).

Uma estratégia que os clientes da Akamai têm vindo a adotar é a diversificação. Ter arquiteturas multinuvem de uso específico permite que a equipe de segurança de rede diversifique sua defesa contra DDoS e evite o risco de problemas sistêmicos em uma única plataforma.

Muitas organizações e instituições de nível empresarial em alguns dos setores altamente regulamentados exigem uma estratégia de dois fornecedores de DDoS.

Na verdade, muitos clientes de nível empresarial escolhem um segundo fornecedor "bom o suficiente" para atender aos requisitos de diversidade, mas usam uma solução comprovada e bem projetada para proteger seus ativos críticos. Os outros ativos, muitas vezes incluindo domínios de vaidade, ambientes de perguntas e respostas e outras funções não críticas, ficam reservados para a solução de menor custo.

Entendemos que qualquer solução baseada em tecnologia pode enfrentar paralisações não intencionais e, portanto, afetar os clientes; também já tivemos interrupções no passado. Mas até que ponto você está disposto a colocar ativos de rede-chave ou criticamente definidos atrás de uma solução de DDoS que pode não estar disponível quando você sofrer um ataque?

Se 40% dos seus usuários finais não conseguem acessar seus serviços, mas o provedor de mitigação de DDoS afirma que o serviço voltado à internet está ativo, esse é um resultado razoável? A resposta é um número sólido.

Entre em contato com um especialista da Akamai hoje mesmo para saber mais sobre nossas soluções de segurança abrangentes.