O que é ataque DoS e DDoS?: qual a diferença, camadas, métricas e SLA

Entender o que é um ataque DoS e DDoS, quais as diferenças entre os dois e como essas ameaças afetam a disponibilidade de aplicações, é essencial para tocar uma operação sem vulnerabilidades.

Em ambientes digitais, a indisponibilidade nem sempre começa com uma falha interna. Muitas vezes, ela vem de fora, em forma de tráfego malicioso, requisições automatizadas e exaustão deliberada de recursos.

Em poucos minutos, um portal pode ficar lento, uma API pode deixar de responder e um serviço crítico pode se tornar inacessível para clientes legítimos.

É nesse cenário que ataques DoS e DDoS ganham relevância estratégica.

Embora os dois tenham o mesmo objetivo final, derrubar ou degradar um serviço, a forma como operam, a escala do impacto e a dificuldade de mitigação são diferentes.

| Ao longo deste conteúdo, você vai entender:

• O que é um ataque DoS e DDoS;
• Qual a diferença entre um ataque DoS e DDoS;
• Como esses ataques se distribuem entre as camadas L3, L4 e L7;
• Como prevenir ataques DoS e DDoS;
• Como o SLA de mitigação influencia a resiliência do ambiente.

O que é ataque DoS?

DoS é a sigla para Denial of Service, ou negação de serviço. Trata-se de um ataque cibernético com objetivo de consumir recursos de um servidor, aplicação, link ou equipamento de rede até torná-lo lento, instável ou indisponível para usuários legítimos.

Como acontece um ataque DoS?

Na prática, um ataque DoS costuma partir de uma única origem: um computador, servidor ou sistema envia um volume de tráfego ou de requisições acima da capacidade normal de processamento do alvo.

Com isso, o ambiente começa a falhar, seja por saturação de banda, consumo de recursos, esgotamento de sessões ou travamento de serviços.

Esse é um dos principais perigos para ambientes e operações digitais, afinal, se o recurso tem capacidade finita para responder, basta sobrecarregá-lo para interromper a operação.

Qual a diferença entre ataque DoS para o ataque DDoS?

A diferença entre DoS e DDoS é que, enquanto o ataque DoS parte de um único local (de sistema para sistema), um ataque DDoS acontece quando vários sistemas atacam um único alvo.

Vamos nos aprofundar nas diferenças em breve. Continue por aqui.

O que é ataque DDoS?

DDoS significa Distributed Denial of Service, ou negação de serviço distribuída. Ele segue o mesmo princípio do DoS, mas ao invés de partir de uma única máquina, o ataque é distribuído por múltiplas origens ao mesmo tempo.

Como acontece um ataque DDoS?

Na maioria dos casos, esse tráfego vem de uma botnet – o famoso bot –, uma rede de dispositivos comprometidos que passam a obedecer comandos de um operador malicioso.

Esses dispositivos podem incluir computadores, servidores, roteadores, câmeras IP e equipamentos IoT. O atacante transforma esse conjunto em um exército distribuído, capaz de gerar tráfego massivo e simultâneo contra um único alvo.

Essa característica torna o DDoS muito mais perigoso e difícil de conter.

Como as requisições vêm de vários IPs, regiões e ASNs (Autonomous System Number), distinguir tráfego legítimo de tráfego malicioso exige uma defesa mais sofisticada.

Qual a diferença entre DoS e DDoS?

A principal diferença entre DoS e DDoS está na origem dos ataques. Investidas DoS normalmente partem de uma única fonte. O DDoS, por sua vez, é distribuído e utiliza diversos dispositivos simultaneamente para atingir o mesmo alvo.

Essa distinção afeta diretamente o potencial de dano e a complexidade da resposta. Um ataque DoS tende a ser mais fácil de identificar, rastrear e bloquear, já que a origem é mais concentrada. Já o DDoS espalha o tráfego por múltiplos pontos, o que dificulta a filtragem sem afetar usuários legítimos.

As diferenças também se encontram em quatro fatores centrais: escala, velocidade, rastreabilidade e custo de mitigação.

Um DDoS pode se espalhar mais rápido, consumir muito mais largura de banda e exigir ações coordenadas entre borda, roteamento, scrubbing, WAF e operação 24x7.

Um DoS é como uma única pessoa tentando bloquear a entrada de um prédio. Um DDoS é como centenas ou milhares de pessoas chegando ao mesmo tempo por todas as entradas, impedindo que quem realmente precisa entrar consiga passar.

DoS vs DDoS: confira uma tabela comparativa

Como ataques DDoS e DoS funcionam?

Todo serviço digital possui limites, com número finito de conexões simultâneas, sessões, processamento de pacotes, largura de banda e capacidade de resposta da aplicação. Os ataques de negação de serviço (DoS e DDoS) exploram exatamente esse limite.

Em um cenário mais básico, o alvo recebe mais tráfego do que consegue absorver. Em outro, mais sofisticado, o sistema até recebe pouco volume em Gbps, mas enfrenta solicitações de falsos usuários pesadas o suficiente para derrubar banco de dados, origin servers, autenticação ou APIs.

Isso significa que o problema não está apenas na quantidade de tráfego, mas também no custo de processar as requisições.

Por isso, nem todo DDoS é puramente volumétrico. Muitos ataques modernos combinam camadas. Eles podem começar em L3/L4 para pressionar a borda e, em seguida, explorar L7 para atacar a aplicação, driblar cache e consumir recursos nobres do ambiente.

O que são camadas e quais as mais afetadas em ataques DoS e DDoS?

Para entender como ataques DoS e DDoS funcionam, e principalmente como reduzir os danos causados por eles, é importante conhecer o conceito de camadas de rede.

Esse conceito vem do modelo OSI (Open Systems Interconnection), que organiza o funcionamento das comunicações digitais em níveis diferentes, cada um responsável por uma parte da transmissão de dados.

De forma simplificada, cada camada cuida de uma função específica. Quando falamos de ataques DoS e DDoS, as camadas mais afetadas costumam ser:

• Camada 3 (rede)
• Camada 4 (transporte)
• Camada 7 (aplicação)

Essas camadas são onde a maior parte do tráfego da internet é processada e, portanto, onde os atacantes tentam explorar limites de capacidade ou de processamento.

Ataques em L3 e L4 (rede e transporte): aqui o foco costuma ser o volume ou a exaustão de protocolos. Aqui entram ataques como UDP flood, ICMP flood, TCP SYN flood e reflexões ou amplificações via DNS, NTP e memcached.

| Pergunte-se: seu ambiente consegue continuar acessível mesmo sob um pico agressivo de Gbps, mpps e conexões por segundo?

Ataques em L7 (camada de aplicação): o ataque deixa de mirar apenas a infraestrutura e passa a explorar o comportamento da aplicação. São comuns HTTP floods, ataques a login, abuso de APIs, cache-busting com URLs únicas, headers maliciosos e payloads grandes que elevam o custo por requisição.

Esse tipo de ataque pode derrubar o serviço mesmo sem volumes absurdos de tráfego. Basta que a aplicação gaste mais CPU, memória, consultas a banco ou chamadas a microsserviços do que consegue sustentar.

Tipos de ataques DDoS e DoS: volumetria, exaustão lógica e borda

Ataques DDoS não são todos iguais, e é por isso que a defesa por camadas é indispensável.

Em L3 e L4, o desafio costuma estar na borda da rede. Floods de UDP, ICMP e SYN, além de técnicas de amplificação, exigem filtros rápidos, políticas de descarte e capacidade para absorver ou desviar tráfego antes que enlaces e equipamentos entrem em colapso.

Em L7, o problema muda de natureza. O atacante tenta forçar a aplicação a trabalhar mais do que deveria, contornando cache, abrindo sessões, multiplicando requisições caras e pressionando endpoints críticos como login, busca, APIs e processos transacionais.

No Brasil, esse cenário ganha importância especial em datas sazonais, eventos promocionais e serviços digitais de grande acesso, como a Black Friday, dia das mães, natal e dia dos namorados.

Nesse contexto, um framework operacional com telemetria detalhada, runbooks bem definidos e responsabilidades claras ajuda a reduzir o caos durante um incidente e acelera a resposta da equipe técnica.

Como saber se estou sofrendo um ataque DoS ou DDoS?

Em muitos casos, o sintoma inicial parece apenas lentidão, mas para ter certeza de que a operação está sob ataque de negação de serviço alguns sinais costumam se repetir. Veja:

• O site, sistema ou API passa a responder lentamente de forma abrupta, sem explicação aparente de carga legítima;
• Aumento anormal de conexões incompletas;
• Queda nas taxas de estabelecimento TCP;
• Crescimento repentino de erros 429, 502 ou 503;
• Consumo elevado de banda, CPU ou sessões;
• Picos de requisições vindas de múltiplos IPs ou regiões incomuns ou inesperadas.

Outro indício importante aparece quando a borda parece saudável, mas a aplicação degrada rapidamente. Isso pode indicar ataque L7.

Em cenários mais maduros, a correlação entre NetFlow, logs HTTP, métricas do WAF e dashboards de latência ajuda a identificar se o problema é puramente de volumetria, se há exaustão lógica ou se o ataque é híbrido.

Botnets, IoT e DDoS as a Service

Uma parte importante da evolução do DDoS está no uso massivo de botnets. Atualmente, o atacante não precisa mais depender apenas de máquinas potentes, pois dispositivos simples, como câmeras, DVRs, roteadores domésticos e outros equipamentos IoT inseguros, podem ser comprometidos e utilizados como origem do ataque.

Esse cenário reduz a barreira de entrada e amplia a escala possível de distribuição – agora imagine essa situação potencializada com inteligência artificial.

Além disso, o mercado criminoso passou a oferecer DDoS as a Service, também conhecido como booter. Com esse mecanismo, até agentes com pouca capacidade técnica podem contratar ataques prontos, ampliando o risco para empresas de todos os portes.

Por esses perigos, é recomendável que a defesa não dependa apenas de firewalls convencionais. É preciso combinar camada de rede, camada de aplicação, operação, processos e acordos técnicos bem estabelecidos com provedores.

Como parar ataques DoS e DDoS em múltiplas camadas?

Mitigar DoS e DDoS exige preparação anterior ao incidente, já que não existe uma tecnologia única que resolva todos os vetores.

A defesa precisa combinar borda, roteamento, telemetria, aplicação e operação contínua. Para isso, empresas costumam contar com serviços de SOC gerenciado, um centro de operações de segurança de profissionais de TI dedicados a monitorar a infraestrutura e operações de segurança de uma organização em tempo real, oferecidos por provedores como a HostDime Brasil.

Um ponto muitas vezes subestimado em discussões sobre DDoS é a infraestrutura de rede. A capacidade de mitigação depende de uma arquitetura de conectividade robusta.

Porte de trânsito, redundância, presença em pontos de troca de tráfego, rotas mais curtas e menor dependência de caminhos longos ajudam a reduzir jitter, melhorar latência e aumentar previsibilidade sob ataque.

Participação em IX locais, como o IX.br, pode contribuir para rotas mais eficientes e menor exposição a caminhos excessivamente longos em determinadas situações.

Em operações em que o mesmo time acompanha telemetria, ajusta borda e coordena resposta 24/7, as mudanças tendem a acontecer com mais velocidade. Isso encurta o tempo entre detecção, decisão e mitigação. É isso que o serviço de SOC faz.

O que significa SLA em mitigação de DDoS?

SLA (Service Level Agreement), é o acordo formal que define os níveis esperados de serviço.

Em redução de danos em ataques DDoS, o SLA serve para que, ao contratar um serviço de segurança e monitoramente, o cliente tenha mais do que promessas genéricas quando o assunto é garantia de disponibilidade.

Um SLA maduro deve contemplar tempos máximos para detecção, acionamento e ativação da mitigação, limites de latência aceitáveis durante o ataque, janelas de indisponibilidade toleradas por mês, capacidade de absorção contratada e regras operacionais para escalonamento, comunicação e decisão.

Na prática, um bom SLA de mitigação precisa responder com clareza:

• Quando o processo de mitigação é ativado?;
• Qual o threshold em Gbps, mpps ou padrão comportamental?;
• Existe scrubbing sob demanda, automático ou híbrido?;
• Quais serviços ficam protegidos por padrão?;
• Há suporte a RTBH, Flowspec, communities BGP e engenharia de tráfego?;
• Qual a latência residual aceitável durante a contenção?;
• Com que frequência são realizados testes e drills?
  

Além de SLA, vale trazer o conceito de SLO, ou Service Level Objective. Enquanto o SLA formaliza compromissos, o SLO estabelece metas internas de resiliência e operação.

Para DDoS, alguns SLOs úteis incluem:

• Tempo para detectar anomalias;
• Tempo para acionar mitigação;
• Latência máxima durante ataque;
• Percentual mínimo de disponibilidade do serviço essencial;
• Tempo de retorno ao modo normal.

O ideal é que o time técnico consiga acompanhar em tempo real, enquanto a gestão veja tendência, risco e custo evitado por incidente.

Por que SOC 24/7 faz diferença em ataques DDoS?

Ataques DDoS não respeitam horário comercial e podem começar em finais de semana, madrugadas, datas promocionais ou no exato momento em que a equipe interna está indisponível.

Por isso, a operação SOC gerenciável 24/7 reduz drasticamente o tempo de reação.

Um SOC com monitoramento contínuo consegue identificar desvios de comportamento mais cedo, correlacionar sinais de rede e aplicação, acionar playbooks, coordenar firewall, WAF, roteamento e mitigação externa, além de documentar evidências para análise posterior. Com isso, MTTD (Tempo Médio para Detecção) e MTTR (Tempo Médio para Reparo) tendem a cair.

Um SOC maduro trabalha com contexto e correlaciona picos, quedas de conexões estabelecidas, elevação de 429 ou 503, saturação de filas e padrões anômalos de origem. Isso permite diferenciar falha operacional, pico legítimo e ataque em andamento.

É justamente esse tipo de abordagem em camadas que aumenta a resiliência operacional diante de ameaças conhecidas e inéditas.

Como a integração entre WAF, SOC e mitigação melhora a defesa?

Segurança em camadas é o caminho para combater ataques DDoS e DoS. WAF ((Web Application Firewall) sozinho não resolve volumetria de borda. Scrubbing sozinho não entende a lógica da aplicação. Firewall tradicional isolado não distingue intenção de negócio. E monitoramento sem automação pode reagir tarde demais.

Quando SOC, WAF e times de operação trabalham de forma integrada, a resposta se torna coordenada e DDoS deixa de ser uma ameaça incontrolável.

Boas práticas de preparação antes do ataque DDoS

O maior erro em DDoS é se preparar durante o incidente. Nesse caso, já é tarde demais. Para mitigar ataques, a base precisa estar pronta antes com soluções como SOC, WAF e soluções de monitoramento proativo.

Comece inventariando ativos expostos, serviços críticos, APIs mais sensíveis, dependências externas e limites reais por aplicação.

Em seguida, defina thresholds por serviço, políticas de rate limiting, modos de degradação, proteção de endpoints caros e procedimentos claros de escalonamento.

Depois disso, alinhe operadoras, scrubbing centers, comunidades BGP, políticas de blackhole, dashboards, testes trimestrais e comunicação executiva. Fire drills, tabletop exercises e simulações controladas ajudam a revelar gargalos antes que o atacante o faça.

Resiliência é possível com disciplina, teste e clareza operacional.

HostDime e a proteção em camadas para ambientes críticos

Em ambientes críticos que dependem de alta disponibilidade e resposta rápida, a combinação entre infraestrutura robusta, observabilidade e segurança gerenciada faz diferença na prática.

A HostDime atua com abordagem em camadas para dados, aplicações, usuários, endpoints, rede, perímetro e infraestrutura, integrando monitoramento inteligente 24x7, automação de alertas e metodologias de defesa contínua.

Em um ecossistema de SOC e MDR, tecnologias como SIEM, XDR, SOAR, threat intelligence e DFIR ajudam a acelerar detecção, resposta e coordenação em incidentes de segurança, incluindo cenários de indisponibilidade e abuso de tráfego.

Na prática, isso significa mais visibilidade e maior capacidade de preservar serviços essenciais em situações críticas, especialmente em workloads sensíveis e operações que não podem parar.