--- id: CP-066 slug: ataque-ddos-negacao-de-servico-distribuida lang: pt title: A negação de serviço distribuída (DDoS) description: Como milhares de máquinas comprometidas sobrecarregam um serviço, o que o colaborador vê no ecrã e os reflexos da organização. canonical_url: https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «A negação de serviço distribuída (DDoS)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/ (CC BY 4.0) wing: 1 theme: understand_hacking reflex: cr-049 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/ fr: https://startbrain.io/cyberpedia/fr/articles/attaque-ddos-deni-de-service-distribue/ en: https://startbrain.io/cyberpedia/en/articles/ddos-distributed-denial-of-service/ de: https://startbrain.io/cyberpedia/de/articles/ddos-angriff-verteilte-dienstblockade/ es: https://startbrain.io/cyberpedia/es/articles/ataque-ddos-denegacion-de-servicio-distribuida/ it: https://startbrain.io/cyberpedia/it/articles/attacco-ddos-negazione-di-servizio-distribuita/ nl: https://startbrain.io/cyberpedia/nl/articles/ddos-aanval-gedistribueerde-denial-of-service/ sources: - "n": 1 title: Understanding Denial-of-Service Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/understanding-denial-service-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Network Denial of Service, Technique T1498 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/ accessed: "2026-11-03" - "n": 3 title: Denial of Service (DoS) guidance publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection accessed: "2026-11-03" - "n": 4 title: "Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/001/ accessed: "2026-11-03" - "n": 5 title: "Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1498/002/ accessed: "2026-11-03" - "n": 6 title: Endpoint Denial of Service, Technique T1499 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/ accessed: "2026-11-03" - "n": 7 title: "Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1499/002/ accessed: "2026-11-03" - "n": 8 title: Heightened DDoS Threat Posed by Mirai and Other Botnets publisher: CISA url: https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets published: "2016-10-14" accessed: "2026-11-03" - "n": 9 title: "How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack" publisher: Google url: https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack published: "2023-10-10" accessed: "2026-11-03" --- # A negação de serviço distribuída (DDoS) Um ataque de negação de serviço (DoS) impede utilizadores legítimos de aceder a um site, a um serviço de correio eletrónico, a uma conta em linha ou a outro serviço. O atacante inunda o alvo com tráfego até este deixar de conseguir responder ou avariar [1]. Na sua forma distribuída (DDoS), várias máquinas atuam em conjunto contra o mesmo alvo [1]. Para o colaborador, o resultado nota-se sobretudo como lentidão ou como uma página que já não abre. Estes sinais podem parecer um problema de disponibilidade sem intenção maliciosa, mas também podem indicar um ataque DoS ou DDoS [1]. ## Em 30 segundos - Onde acontece: em sites, serviços de correio eletrónico, contas em linha e outros serviços acessíveis pela Internet [1]. - O que quer o atacante: tornar o serviço indisponível, por razões políticas, para fazer uma manobra de diversão ou para extorquir dinheiro [2]. - O reflexo: avisar o administrador de rede, que verifica se a falha resulta de uma manutenção ou de um incidente interno e que pode vigiar o tráfego para confirmar um ataque [1]. - Se já aconteceu: o administrador pode contactar o fornecedor de acesso e aplicar regras de firewall; o resto da rede deve continuar sob vigilância, porque o ataque serve por vezes de diversão [1]. ## Perguntas diretas ### O que é uma botnet? É um grupo de dispositivos ligados que um atacante desviou e controla com um software de comando e controlo. Os dispositivos infetados são também eles vítimas do ataque [1]. Uma botnet pode ser alugada a terceiros, muitas vezes por serviços «attack-for-hire» que permitem a utilizadores sem competências lançar um DDoS [1]. ### Porque é mais difícil de travar do que um ataque vindo de uma só máquina? O tráfego chega de muitas origens, o que o torna mais difícil de distinguir do tráfego legítimo [3]. O DDoS torna também mais difícil identificar a origem real do ataque [1]. Nos piores casos, cada máquina envia apenas uma pequena quantidade de tráfego, e distingui-lo do dos clientes legítimos torna-se extremamente difícil [4]. ### Como saber se é um ataque ou uma simples avaria? Os sintomas assemelham-se aos de um problema comum ou de uma manutenção. A CISA indica três sinais que podem apontar para um ataque: uma rede anormalmente lenta, um site específico que deixa de responder, ou a impossibilidade de abrir qualquer site [1]. A melhor forma de decidir é a vigilância do tráfego de rede [1]. ### Uma rede pode ser afetada sem ser visada? Sim. Se o fornecedor de acesso ou o fornecedor de cloud de uma rede for atacado, essa rede também perde o serviço [1]. ### Um ataque DDoS rouba dados? As fontes consultadas descrevem uma perda de disponibilidade. O NCSC britânico observa que um site público indisponível pode perturbar a atividade (vendas perdidas, colaboradores que já não conseguem trabalhar), mesmo sem efeito na confidencialidade ou na integridade dos dados [3]. A CISA assinala, em contrapartida, que há atacantes que lançam um DDoS para desviar a atenção e realizar ataques secundários contra outros serviços da rede [1]. ## Na pele do atacante O atacante precisa de volume. Pode construir a sua própria botnet ou alugar uma pelo tempo de utilização [4]. Os objetos ligados, que muitas vezes mantêm a palavra-passe de origem, são vulneráveis: a infeção passa muitas vezes despercebida ao proprietário, e centenas de milhares de dispositivos podem ser comprometidos sem que ele o saiba [1]. Pode também ocultar ou falsificar o endereço de origem dos pacotes. Isto torna a filtragem por endereço de origem menos eficaz, ou até inútil, para os defensores [2]. Este artigo agrupa-os em três famílias, uma escolha de apresentação que não decorre de uma classificação das fontes. A família volumétrica satura a largura de banda. A MITRE dá o exemplo de 10 Gbit/s de tráfego enviados para um servidor ligado à Internet por uma ligação de 1 Gbit/s [2]. Uma variante recorre a servidores de terceiros, os refletores: o atacante envia-lhes pacotes com o endereço falsificado da vítima, e as respostas, mais volumosas do que os pedidos, seguem para ela. O DNS e o NTP permitiram amplificações deste tipo; o protocolo memcache mostrou uma amplificação até 51 200 vezes o pacote inicial [5]. A família protocolar explora o funcionamento das trocas de rede. Numa inundação SYN, o atacante pede uma ligação sem concluir o handshake em três tempos: a porta fica ocupada e, se os pedidos continuarem, todas as portas abertas ficam saturadas [1]. A MITRE recomenda ativar os SYN cookies como defesa [6]. A família aplicacional visa os servidores e as aplicações. Uma inundação HTTP envia um grande número de pedidos a um servidor web para esgotar os seus recursos [7]. Um ataque por renegociação SSL/TLS abre uma ligação cifrada e encadeia depois pedidos de renegociação, dispendiosos em capacidade de cálculo [7]. Estes ataques esgotam a máquina sem saturar a rede [6]. ## O que vê no ecrã Segundo a CISA, os sintomas podem parecer problemas de disponibilidade sem intenção maliciosa, mas podem indicar um ataque DoS ou DDoS [1]. Esses sintomas são uma lentidão invulgar ao abrir ficheiros ou sites, um site específico inacessível, ou nenhum site acessível [1]. Para um cliente ou um colega, é uma página de erro ou um serviço que não responde. Estes sinais podem também resultar de uma manutenção ou de um incidente técnico [1]. O colaborador não tem, por isso, de fazer um diagnóstico: comunica o que observa. ## Por baixo do capô Do lado da rede, uma inundação direta usa sobretudo protocolos sem estado, como UDP ou ICMP, mas o TCP também pode ser utilizado [4]. Quase qualquer protocolo de rede serve [4]. Do lado do servidor, os ataques aplicacionais aproveitam estrangulamentos próprios de cada camada: sistema operativo, servidor web, DNS, base de dados ou aplicação [6]. Para a defesa, quando o volume excede a capacidade da ligação visada, é preciso filtrar o tráfego a montante, no fornecedor de acesso, numa rede de distribuição de conteúdos (CDN) ou num especialista de mitigação [2]. Consoante o volume, a filtragem no local é por vezes possível: bloqueio dos endereços de origem, das portas ou dos protocolos visados [2]. ## Autópsias ### Setembro de 2016: a Mirai contra o blogue de Brian Krebs e a OVH A 20 de setembro de 2016, o blogue de segurança de Brian Krebs sofreu um ataque maciço, um dos maiores registados, acima de 620 Gbit/s. Veio de uma botnet de objetos ligados controlada pelo software malicioso Mirai [8]. A Mirai varre continuamente a Internet à procura de dispositivos vulneráveis e testa uma lista curta de 62 nomes de utilizador e palavras-passe de origem [8]. O alegado autor da Mirai afirmou que mais de 380 000 dispositivos tinham sido escravizados durante o ataque ao site de Krebs [8]. No fim de setembro, outro ataque Mirai contra o fornecedor de alojamento francês OVH bateu o recorde: pelo menos 1,1 Tbit/s, talvez 1,5 Tbit/s [8]. Os dispositivos afetados eram sobretudo routers domésticos, câmaras de rede e gravadores de vídeo digitais [8]. O código-fonte da Mirai foi publicado em linha no fim de setembro, o que abriu caminho a outros ataques [8]. No fim de novembro de 2016, um software derivado da Mirai varreu a porta TCP 7547 de routers de banda larga vulneráveis [8]. Para um dispositivo infetado, a CISA recomenda desligá-lo, reiniciá-lo fora da rede (a Mirai reside na memória de acesso aleatório), substituir a palavra-passe de origem e só depois voltar a ligá-lo [8]. ### Agosto de 2023: o ataque HTTP/2 «Rapid Reset» A Google descreveu, a 10 de outubro de 2023, um ataque DDoS HTTP/2 inédito, cujo pico data de agosto. O maior ultrapassou 398 milhões de pedidos por segundo, muito acima de qualquer ataque de camada 7 anteriormente comunicado [9]. Foi em grande parte travado na periferia da rede da Google pela sua infraestrutura de balanceamento de carga, sem falha [9]. O princípio: o cliente abre muitos fluxos de uma só vez e cancela logo cada pedido, enviando uma trama RST_STREAM, sem esperar pela resposta [9]. O servidor tem, no entanto, de fazer um trabalho considerável para os pedidos cancelados, enquanto o cliente quase não paga esse custo [9]. A Google coordenou a divulgação com parceiros do setor e reservou o identificador CVE-2023-44487 para acompanhar as correções [9]. Recomenda que se apliquem as correções o mais depressa possível [9]. ### Outros casos datados Em 2016, o APT28 realizou um DDoS contra a Agência Mundial Antidopagem [2]. Em 2019, o Sandworm Team perturbou temporariamente sites georgianos depois de comprometer um fornecedor de alojamento web [6]. Uma série de incidentes em 2012 visou grandes bancos norte-americanos [4]. ## O que faz a organização A CISA indica que nenhum meio evita por completo ser visado. Os administradores podem subscrever um serviço de proteção que deteta fluxos anormais e filtra o tráfego, e preparar um plano de recuperação de desastres [1]. O NCSC britânico retoma quatro práticas: conhecer o seu serviço, conhecer as suas defesas, criar um plano de resposta e testá-lo [3]. Da parte do colaborador, dois gestos: comunicar depressa ao administrador de rede uma lentidão ou uma indisponibilidade invulgar, e alterar as palavras-passe de origem dos dispositivos ligados, incluindo em casa [1][8]. ## Fontes 1. CISA, «Understanding Denial-of-Service Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Network Denial of Service, Technique T1498 - Enterprise». https://attack.mitre.org/techniques/T1498/ (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Denial of Service (DoS) guidance». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise». https://attack.mitre.org/techniques/T1498/001/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise». https://attack.mitre.org/techniques/T1498/002/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Endpoint Denial of Service, Technique T1499 - Enterprise». https://attack.mitre.org/techniques/T1499/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise». https://attack.mitre.org/techniques/T1499/002/ (consultado em 3 de novembro de 2026) 8. CISA, «Heightened DDoS Threat Posed by Mirai and Other Botnets», 14 de outubro de 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consultado em 3 de novembro de 2026) 9. Google, «How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack», 10 de outubro de 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.