Cyberpediapor Brain
PTDEENESFRITNL

A negação de serviço distribuída (DDoS)

Como milhares de máquinas comprometidas sobrecarregam um serviço, o que o colaborador vê no ecrã e os reflexos da organização.

Em 30 segundos

Onde acontece
Em sites, serviços de correio eletrónico, contas em linha e outros serviços acessíveis pela Internet1.
O que quer o atacante
Tornar o serviço indisponível, por razões políticas, para fazer uma manobra de diversão ou para extorquir dinheiro2.
O reflexo
Avisar o administrador de rede, que verifica se a falha resulta de uma manutenção ou de um incidente interno e que pode vigiar o tráfego para confirmar um ataque1.
Se já aconteceu
O administrador pode contactar o fornecedor de acesso e aplicar regras de firewall; o resto da rede deve continuar sob vigilância, porque o ataque serve por vezes de diversão1.

Do que se trata

Um ataque de negação de serviço (DoS) impede utilizadores legítimos de aceder a um site, a um serviço de correio eletrónico, a uma conta em linha ou a outro serviço. O atacante inunda o alvo com tráfego até este deixar de conseguir responder ou avariar1.

Na sua forma distribuída (DDoS), várias máquinas atuam em conjunto contra o mesmo alvo1. Para o colaborador, o resultado nota-se sobretudo como lentidão ou como uma página que já não abre. Estes sinais podem parecer um problema de disponibilidade sem intenção maliciosa, mas também podem indicar um ataque DoS ou DDoS1.

Perguntas diretas

O que é uma botnet?

É um grupo de dispositivos ligados que um atacante desviou e controla com um software de comando e controlo. Os dispositivos infetados são também eles vítimas do ataque1. Uma botnet pode ser alugada a terceiros, muitas vezes por serviços «attack-for-hire» que permitem a utilizadores sem competências lançar um DDoS1.

Porque é mais difícil de travar do que um ataque vindo de uma só máquina?

O tráfego chega de muitas origens, o que o torna mais difícil de distinguir do tráfego legítimo3. O DDoS torna também mais difícil identificar a origem real do ataque1. Nos piores casos, cada máquina envia apenas uma pequena quantidade de tráfego, e distingui-lo do dos clientes legítimos torna-se extremamente difícil4.

Como saber se é um ataque ou uma simples avaria?

Os sintomas assemelham-se aos de um problema comum ou de uma manutenção. A CISA indica três sinais que podem apontar para um ataque: uma rede anormalmente lenta, um site específico que deixa de responder, ou a impossibilidade de abrir qualquer site1. A melhor forma de decidir é a vigilância do tráfego de rede1.

Uma rede pode ser afetada sem ser visada?

Sim. Se o fornecedor de acesso ou o fornecedor de cloud de uma rede for atacado, essa rede também perde o serviço1.

Um ataque DDoS rouba dados?

As fontes consultadas descrevem uma perda de disponibilidade. O NCSC britânico observa que um site público indisponível pode perturbar a atividade (vendas perdidas, colaboradores que já não conseguem trabalhar), mesmo sem efeito na confidencialidade ou na integridade dos dados3. A CISA assinala, em contrapartida, que há atacantes que lançam um DDoS para desviar a atenção e realizar ataques secundários contra outros serviços da rede1.

1Na pele do atacante2 min

O atacante precisa de volume. Pode construir a sua própria botnet ou alugar uma pelo tempo de utilização4. Os objetos ligados, que muitas vezes mantêm a palavra-passe de origem, são vulneráveis: a infeção passa muitas vezes despercebida ao proprietário, e centenas de milhares de dispositivos podem ser comprometidos sem que ele o saiba1.

Pode também ocultar ou falsificar o endereço de origem dos pacotes. Isto torna a filtragem por endereço de origem menos eficaz, ou até inútil, para os defensores2.

Este artigo agrupa-os em três famílias, uma escolha de apresentação que não decorre de uma classificação das fontes.

A família volumétrica satura a largura de banda. A MITRE dá o exemplo de 10 Gbit/s de tráfego enviados para um servidor ligado à Internet por uma ligação de 1 Gbit/s2. Uma variante recorre a servidores de terceiros, os refletores: o atacante envia-lhes pacotes com o endereço falsificado da vítima, e as respostas, mais volumosas do que os pedidos, seguem para ela. O DNS e o NTP permitiram amplificações deste tipo; o protocolo memcache mostrou uma amplificação até 51 200 vezes o pacote inicial5.

A família protocolar explora o funcionamento das trocas de rede. Numa inundação SYN, o atacante pede uma ligação sem concluir o handshake em três tempos: a porta fica ocupada e, se os pedidos continuarem, todas as portas abertas ficam saturadas1. A MITRE recomenda ativar os SYN cookies como defesa6.

A família aplicacional visa os servidores e as aplicações. Uma inundação HTTP envia um grande número de pedidos a um servidor web para esgotar os seus recursos7. Um ataque por renegociação SSL/TLS abre uma ligação cifrada e encadeia depois pedidos de renegociação, dispendiosos em capacidade de cálculo7. Estes ataques esgotam a máquina sem saturar a rede6.

2O que vê no ecrã1 min

Segundo a CISA, os sintomas podem parecer problemas de disponibilidade sem intenção maliciosa, mas podem indicar um ataque DoS ou DDoS1. Esses sintomas são uma lentidão invulgar ao abrir ficheiros ou sites, um site específico inacessível, ou nenhum site acessível1. Para um cliente ou um colega, é uma página de erro ou um serviço que não responde.

Estes sinais podem também resultar de uma manutenção ou de um incidente técnico1. O colaborador não tem, por isso, de fazer um diagnóstico: comunica o que observa.

3Por baixo do capôEquipas de TI1 min

Do lado da rede, uma inundação direta usa sobretudo protocolos sem estado, como UDP ou ICMP, mas o TCP também pode ser utilizado4. Quase qualquer protocolo de rede serve4.

Do lado do servidor, os ataques aplicacionais aproveitam estrangulamentos próprios de cada camada: sistema operativo, servidor web, DNS, base de dados ou aplicação6.

Para a defesa, quando o volume excede a capacidade da ligação visada, é preciso filtrar o tráfego a montante, no fornecedor de acesso, numa rede de distribuição de conteúdos (CDN) ou num especialista de mitigação2. Consoante o volume, a filtragem no local é por vezes possível: bloqueio dos endereços de origem, das portas ou dos protocolos visados2.

4AutópsiasCasos reais2 min

Setembro de 2016: a Mirai contra o blogue de Brian Krebs e a OVH

A 20 de setembro de 2016, o blogue de segurança de Brian Krebs sofreu um ataque maciço, um dos maiores registados, acima de 620 Gbit/s. Veio de uma botnet de objetos ligados controlada pelo software malicioso Mirai8. A Mirai varre continuamente a Internet à procura de dispositivos vulneráveis e testa uma lista curta de 62 nomes de utilizador e palavras-passe de origem8. O alegado autor da Mirai afirmou que mais de 380 000 dispositivos tinham sido escravizados durante o ataque ao site de Krebs8.

No fim de setembro, outro ataque Mirai contra o fornecedor de alojamento francês OVH bateu o recorde: pelo menos 1,1 Tbit/s, talvez 1,5 Tbit/s8. Os dispositivos afetados eram sobretudo routers domésticos, câmaras de rede e gravadores de vídeo digitais8. O código-fonte da Mirai foi publicado em linha no fim de setembro, o que abriu caminho a outros ataques8. No fim de novembro de 2016, um software derivado da Mirai varreu a porta TCP 7547 de routers de banda larga vulneráveis8.

Para um dispositivo infetado, a CISA recomenda desligá-lo, reiniciá-lo fora da rede (a Mirai reside na memória de acesso aleatório), substituir a palavra-passe de origem e só depois voltar a ligá-lo8.

Agosto de 2023: o ataque HTTP/2 «Rapid Reset»

A Google descreveu, a 10 de outubro de 2023, um ataque DDoS HTTP/2 inédito, cujo pico data de agosto. O maior ultrapassou 398 milhões de pedidos por segundo, muito acima de qualquer ataque de camada 7 anteriormente comunicado9. Foi em grande parte travado na periferia da rede da Google pela sua infraestrutura de balanceamento de carga, sem falha9.

O princípio: o cliente abre muitos fluxos de uma só vez e cancela logo cada pedido, enviando uma trama RST_STREAM, sem esperar pela resposta9. O servidor tem, no entanto, de fazer um trabalho considerável para os pedidos cancelados, enquanto o cliente quase não paga esse custo9. A Google coordenou a divulgação com parceiros do setor e reservou o identificador CVE-2023-44487 para acompanhar as correções9. Recomenda que se apliquem as correções o mais depressa possível9.

Outros casos datados

Em 2016, o APT28 realizou um DDoS contra a Agência Mundial Antidopagem2. Em 2019, o Sandworm Team perturbou temporariamente sites georgianos depois de comprometer um fornecedor de alojamento web6. Uma série de incidentes em 2012 visou grandes bancos norte-americanos4.

5O que faz a organização1 min

A CISA indica que nenhum meio evita por completo ser visado. Os administradores podem subscrever um serviço de proteção que deteta fluxos anormais e filtra o tráfego, e preparar um plano de recuperação de desastres1. O NCSC britânico retoma quatro práticas: conhecer o seu serviço, conhecer as suas defesas, criar um plano de resposta e testá-lo3.

Da parte do colaborador, dois gestos: comunicar depressa ao administrador de rede uma lentidão ou uma indisponibilidade invulgar, e alterar as palavras-passe de origem dos dispositivos ligados, incluindo em casa18.

Ficha

Identificador
CP-066
Ala
1. Ataques e técnicas
Competência Brain
Perceber o hacking (understand_hacking)
Reflexo Brain
cr-049
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
9 fontes verificadas em 3 de novembro de 2026
Fontes9 fontes
  1. CISA, «Understanding Denial-of-Service Attacks», 1 de fevereiro de 2021. https://www.cisa.gov/news-events/news/understanding-denial-service-attacks (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Network Denial of Service, Technique T1498 - Enterprise». https://attack.mitre.org/techniques/T1498/ (consultado em 3 de novembro de 2026)
  3. NCSC (Royaume-Uni), «Denial of Service (DoS) guidance». https://www.ncsc.gov.uk/collection/denial-service-dos-guidance-collection (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Network Denial of Service: Direct Network Flood, Sub-technique T1498.001 - Enterprise». https://attack.mitre.org/techniques/T1498/001/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Network Denial of Service: Reflection Amplification, Sub-technique T1498.002 - Enterprise». https://attack.mitre.org/techniques/T1498/002/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Endpoint Denial of Service, Technique T1499 - Enterprise». https://attack.mitre.org/techniques/T1499/ (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Endpoint Denial of Service: Service Exhaustion Flood, Sub-technique T1499.002 - Enterprise». https://attack.mitre.org/techniques/T1499/002/ (consultado em 3 de novembro de 2026)
  8. CISA, «Heightened DDoS Threat Posed by Mirai and Other Botnets», 14 de outubro de 2016. https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets (consultado em 3 de novembro de 2026)
  9. Google, «How it works: The novel HTTP/2 ‘Rapid Reset’ DDoS attack», 10 de outubro de 2023. https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «A negação de serviço distribuída (DDoS)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/

BibTeX 
@misc{brain_cp066_pt_2026,
  author = {Brain},
  title = {A negação de serviço distribuída (DDoS)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/ataque-ddos-negacao-de-servico-distribuida/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0