DoS vs. DDoS
Um ataque de negação de serviço (DoS) inunda um servidor com tráfego, tornando um site ou recurso indisponível. Um ataque de negação de serviço distribuído (DDoS) é um ataque de DoS que usa vários computadores ou máquinas para inundar um recurso alvo. Os dois tipos de ataques sobrecarregam um servidor ou aplicativo web com o objetivo de interromper serviços.
Conforme o servidor é inundado com mais pacotes de protocolo de controle de transmissão/protocolo de datagrama do usuário (Transmission Control Protocol/User Datagram Protocol, TCP/UDP) do que ele pode processar, ele pode falhar, os dados podem ser corrompidos e os recursos podem ser mal direcionados ou até esgotados até o ponto de paralisar o sistema.
Qual é a diferença entre ataques DoS e DDoS?
A principal diferença entre um DoS e um DDoS é que o primeiro é um ataque de sistema em sistema, enquanto o último envolve vários sistemas atacando um único sistema. Há outras diferenças, no entanto, que envolvem sua natureza ou detecção, incluindo:
- Facilidade de detecção/mitigação: como um DoS vem de um único local, é mais fácil detectar sua origem e cortar a conexão. Na verdade, um firewall proficiente pode fazer isso. Por outro lado, um ataque DDoS vem de vários locais remotos, disfarçando sua origem.
- Velocidade de ataque: como um ataque DDoS vem de vários locais, ele pode ser implantado muito mais rapidamente do que um ataque DoS que se origina de um único local. O aumento da velocidade de ataque torna a detecção mais difícil, o que significa mais dano ou até mesmo um resultado catastrófico.
- Volume de tráfego: um ataque DDoS emprega várias máquinas remotas (zumbis ou bots), o que significa que ele pode enviar quantidades muito maiores de tráfego de vários locais simultaneamente, sobrecarregando um servidor rapidamente de uma maneira que contorna a detecção.
- Modo de execução: um ataque DDoS coordena vários hosts infectados com malware (bots), criando um botnet gerenciado por um servidor de comando e controle (C&C). Em contraste, um ataque DoS normalmente usa um script ou uma ferramenta para realizar o ataque a partir de uma única máquina.
- Rastreamento de fonte(s): o uso de um botnet em um ataque DDoS significa que rastrear a origem real é muito mais complicado do que rastrear a origem de um ataque DoS.
Tipos de ataques DoS e DDoS
Os ataques DDoS e DoS podem assumir muitas formas e ser usados por vários meios. Pode ser para fazer uma empresa perder negócios, prejudicar um concorrente, desviar a atenção de outros ataques ou simplesmente causar problemas ou fazer uma declaração. Veja a seguir algumas formas comuns assumidas por tais ataques.
Ataque teardrop
Um ataque teardrop é um ataque DoS que envia inúmeros fragmentos de dados de Protocolo de Internet (IP) para uma rede. Quando a rede tenta recompilar os fragmentos em seus pacotes originais, ela não consegue.
Por exemplo, o invasor pode pegar pacotes de dados muito grandes e dividi-los em vários fragmentos para o sistema de destino remontar. No entanto, o invasor muda a forma como o pacote é desmontado para confundir o sistema de destino, que não consegue remontar os fragmentos nos pacotes originais.
Ataque de inundação
Um ataque de inundação é um ataque DoS que envia várias solicitações de conexão para um servidor, mas não responde para concluir o handshake.
Por exemplo, o invasor pode enviar várias solicitações para se conectar como cliente, mas quando o servidor tenta se comunicar de volta para verificar a conexão, o invasor se recusa a responder. Depois de repetir o processo inúmeras vezes, o servidor fica tão inundado com solicitações pendentes que clientes reais não conseguem se conectar e o servidor fica “ocupado” ou até mesmo trava.
Ataque de fragmentação de PI
Um ataque de fragmentação de IP é um tipo de ataque DoS que fornece pacotes de rede alterados que a rede receptora não pode remontar. A rede fica atolada com pacotes desmontados volumosos, usando todos os seus recursos.
Ataque volumétrico
Um ataque volumétrico é um tipo de ataque DDoS usado para atingir recursos de largura de banda. Por exemplo, o invasor usa um botnet para enviar um alto volume de pacotes de solicitação para uma rede, sobrecarregando sua largura de banda com solicitações de eco do protocolo de mensagens de controle da internet (Internet Control Message Protocol, ICMP). Isso faz com que os serviços desacelerem ou até mesmo parem completamente.
Ataque de protocolo
Um ataque de protocolo é um tipo de ataque DDoS que explora os pontos fracos nas Camadas 3 e 4 do modelo OSI. Por exemplo, o invasor pode explorar a sequência de conexão TCP, enviando solicitações, mas não respondendo conforme o esperado ou respondendo com outra solicitação usando um endereço IP de origem falsificado. As solicitações não atendidas usam os recursos da rede até ficarem indisponíveis.
Ataque baseado em aplicativo
Um ataque baseado em aplicativo é um tipo de ataque DDoS que atinge a Camada 7 do modelo OSI. Um exemplo é um ataque Slowloris, no qual o invasor envia solicitações parciais de protocolo de transferência de hipertexto (HTTP), mas não as conclui. Os cabeçalhos HTTP são enviados periodicamente para cada solicitação, fazendo com que os recursos de rede fiquem vinculados.
O invasor continua o ataque até que nenhuma nova conexão possa ser feita pelo servidor. Esse tipo de ataque é muito difícil de detectar porque, em vez de enviar pacotes corrompidos, ele envia pacotes parciais e usa pouca ou nenhuma largura de banda.
Como melhorar a proteção contra ataques DoS e DDoS
Veja a seguir algumas práticas recomendadas de alto nível para proteção contra DDoS e DoS:
1. Monitore sua rede continuamente: isso é benéfico para identificar padrões normais de tráfego e é essencial para detecção e mitigação precoces.
2. Faça testes para simular ataques DoS: isso ajudará a avaliar o risco, expor vulnerabilidades e treinar funcionários em segurança cibernética.
3. Crie um plano de proteção: crie listas de verificação, forme uma equipe de resposta, defina parâmetros de resposta e implante proteção.
4. Identifique sistemas essenciais e padrões de tráfego normais: o primeiro ajuda no planejamento da proteção e o segundo ajuda na detecção precoce de ameaças.
5. Provisione largura de banda extra: pode não interromper o ataque, mas ajudará a rede a lidar com picos de tráfego e diminuirá o impacto de qualquer ataque.
Os ataques DDoS estão evoluindo, tornando-se mais sofisticados e poderosos, de modo que as organizações exigem soluções que usem estratégias abrangentes – como ferramentas de relatórios e análises avançadas – para monitorar inúmeros parâmetros de ameaças simultaneamente. Para proteger uma organização contra ataques conhecidos e preparar-se para possíveis ataques de dia zero, é necessária a proteção contra DDoS em multicamadas, como o FortiDDoS.
O FortiDDoS inclui o dispositivo de mitigação de ataque Fortinet DDoS, que fornece avaliação contínua de ameaças e proteção de segurança para as camadas 3, 4 e 7.
