O que é a proteção contra DDoS e como ela funciona?

Um ataque DDoS (negação de serviço distribuída) tenta tirar um serviço do ar inundando-o com mais tráfego do que ele aguenta. Veja como esses ataques funcionam, o que a proteção contra DDoS faz e o que ela não consegue fazer.

Os três tipos de ataque

• Os ataques volumétricos enchem o próprio canal de rede com lixo, medido em gigabits por segundo. Exemplos são UDP floods e amplificação de DNS ou NTP.
• Os ataques de protocolo abusam do modo como as conexões funcionam, como os SYN floods que esgotam a tabela de conexões do servidor.
• Os ataques de camada de aplicação enviam muitas requisições de aparência legítima, como milhares de buscas ou logins por segundo, para esgotar CPU e bancos de dados.

Em termos de rede, os dois primeiros são ataques de camada 3 e 4 (L3/L4) e o último é de camada 7 (L7).

Como funciona a proteção em nível de rede

1. O tráfego para o seu endereço IP passa primeiro pelo hardware de filtragem do provedor.
2. O sistema aprende como é o tráfego normal e sinaliza anomalias.
3. Pacotes maliciosos, como origens falsificadas ou pacotes malformados, são descartados antes de chegar ao seu servidor.
4. O tráfego limpo segue normalmente, geralmente sem atraso visível.

Todo VPS da nossa plataforma inclui proteção L3/L4, que cobre os ataques volumétricos e de protocolo que causam a maioria das quedas.

O que a proteção L3/L4 não impede

Os floods de camada 7 parecem visitantes reais, então os filtros de rede nem sempre conseguem distingui-los. Você lida com eles no nível da aplicação:

• Coloque uma CDN ou proxy reverso na frente dos sites e use cache de forma agressiva.
• Use limitação de taxa no Nginx (limit_req_zone) nas páginas de login e busca.
• Use o fail2ban para bloquear quem reincide.
• Sirva páginas estáticas sempre que puder; elas custam quase nada para entregar.

Reduza a sua exposição

• Mantenha o IP da origem privado se usar uma CDN e não o vaze no histórico de DNS nem nos cabeçalhos de e-mail.
• Feche todas as portas que você não usa.
• Mantenha o software atualizado para que os atacantes não usem um pequeno bug para derrubá-lo.
• Monitore o uso de recursos para perceber problemas cedo.

O que fazer durante um ataque

1. Confirme que é um ataque: verifique os gráficos de banda e o ss -s para ver a contagem de conexões.
2. Fale com o suporte do seu host para que ele possa ajustar a filtragem.
3. Ative limites de taxa ou coloque o site atrás de um proxy.
4. Não pague exigências de extorsão. O pagamento não impede ataques repetidos.