Como funciona a proteção anti-DDoS em servidores dedicados

Tempo de leitura: 9 minutos

Este artigo é para você se:

• Você opera um servidor dedicado em produção e precisa entender como a proteção anti-DDoS funciona para garantir disponibilidade contínua.
• Sua empresa está avaliando fornecedores de infraestrutura e quer validar se as camadas de proteção oferecidas são adequadas para seus requisitos de segurança.
• Você trabalha com aplicações críticas (e-commerce, SaaS, APIs) e precisa saber como mitigar riscos de ataques DDoS que podem derrubar o serviço.

Neste artigo:

• O que é um ataque DDoS
• Camadas de proteção anti-DDoS
• Firewall e detecção de padrões
• WAF: proteção na camada de aplicação
• Centros de limpeza e redirecionamento
• A abordagem da EVEO
• Perguntas frequentes

O que é um ataque DDoS?Um ataque DDoS (Distributed Denial of Service) é uma tentativa maliciosa de derrubar um servidor ou serviço enviando milhões de requisições simultâneas de múltiplas fontes, consumindo toda a largura de banda e recursos disponíveis, tornando o serviço indisponível para usuários legítimos.

Um ataque DDoS (Distributed Denial of Service) é uma tentativa maliciosa de derrubar um servidor ou serviço enviando milhões de requisições simultâneas de múltiplas fontes. O objetivo é consumir toda a largura de banda e recursos disponíveis, tornando o serviço indisponível para usuários legítimos.

Diferente de um ataque DoS (Denial of Service) que vem de uma única fonte, um DDoS usa uma rede de computadores comprometidos (botnet) para amplificar o ataque. Um único atacante consegue gerar tráfego equivalente a centenas de gigabits por segundo, suficiente para derrubar até mesmo servidores robustos.

Existem três tipos principais de ataques DDoS: volumétricos (inundam com tráfego), de protocolo (exploram vulnerabilidades de rede) e de aplicação (direcionam requisições malformadas para a aplicação). Cada tipo exige uma estratégia de defesa diferente.

Quais são as camadas de proteção anti-DDoS?

Proteção anti-DDoS efetiva funciona em múltiplas camadas, cada uma bloqueando um tipo diferente de ataque. Nenhuma camada isolada é suficiente.

• Camada 1: Rede (L3/L4)

A primeira defesa ocorre no nível de rede, antes do tráfego chegar ao servidor. Roteadores e switches detectam padrões anormais (milhões de pacotes de uma única origem, por exemplo) e descartam o tráfego suspeito. Essa camada protege contra ataques volumétricos puros (UDP floods, ICMP floods).

• Camada 2: Firewall (L4)

O firewall analisa conexões TCP/UDP e bloqueia padrões suspeitos: conexões de múltiplas IPs simultâneas, tentativas de conexão em portas não autorizadas, pacotes malformados. Um firewall anti-DDoS consegue processar milhões de conexões por segundo e descartar as maliciosas em tempo real.

• Camada 3: Aplicação (L7)

O WAF (Web Application Firewall) analisa requisições HTTP/HTTPS e bloqueia padrões de ataque específicos: requisições com payloads maliciosos, SQL injection, XSS, rate limiting (bloqueio de IPs que fazem muitas requisições em pouco tempo). Essa camada protege contra ataques de aplicação que parecem tráfego legítimo.

• Camada 4: Monitoramento 24x7

Equipes de segurança monitoram continuamente o tráfego, detectam padrões anormais e ajustam regras de defesa em tempo real. Durante um ataque, a equipe pode ativar proteções adicionais (redirecionamento para scrubbing centers, bloqueio de regiões geográficas, etc.) em minutos.

Como o firewall detecta e bloqueia ataques DDoS?

Um firewall anti-DDoS usa várias técnicas para detectar padrões anormais e bloquear tráfego malicioso em tempo real.

• Análise de padrões de tráfego

O firewall estabelece um baseline de tráfego normal (quantidade de requisições por segundo, tamanho médio de pacotes, distribuição geográfica de IPs). Quando o tráfego desvia significativamente desse baseline, o firewall ativa proteções adicionais. Exemplo: se normalmente você recebe 1.000 requisições/segundo de 50 países, e de repente recebe 100.000 requisições/segundo de 5 países, o firewall detecta a anomalia.

• Filtragem de pacotes malformados

Ataques de protocolo usam pacotes malformados para explorar vulnerabilidades. O firewall valida cada pacote contra as especificações de protocolo (TCP, UDP, ICMP) e descarta os inválidos. Exemplo: pacotes TCP com flags inválidas, fragmentação excessiva, ou tamanho zero.

• Rate limiting por IP

O firewall limita quantas requisições um único IP consegue fazer por segundo. Se um IP ultrapassa o limite, é bloqueado temporariamente. Isso é efetivo contra botnets que usam poucos IPs para atacar. Limite típico: 100-1.000 requisições/segundo por IP.

• Detecção de comportamento anormal

Machine learning analisa padrões históricos de tráfego e detecta desvios. Exemplo: se um IP normalmente faz 10 requisições/dia, mas de repente faz 10.000 requisições/hora, o sistema detecta a anomalia e bloqueia o IP automaticamente.

O que é WAF e como protege contra ataques de aplicação?

WAF (Web Application Firewall) é um proxy reverso que fica entre o usuário e o servidor, analisando cada requisição HTTP/HTTPS antes de chegar à aplicação.

Como funciona

Quando um usuário faz uma requisição, ela passa pelo WAF primeiro. O WAF analisa: URL, headers, body, cookies, parâmetros. Se a requisição corresponde a um padrão de ataque conhecido (SQL injection, XSS, path traversal), o WAF bloqueia. Se a requisição é legítima, passa para o servidor.

Tipos de ataques que WAF bloqueia

SQL Injection: Requisição tenta inserir comandos SQL maliciosos. Exemplo: `?id=1 OR 1=1`. WAF detecta e bloqueia. XSS (Cross-Site Scripting): Requisição tenta injetar JavaScript malicioso. Exemplo: `?name= `. WAF detecta e bloqueia. Path Traversal: Requisição tenta acessar arquivos fora do diretório permitido. Exemplo: `?file=../../etc/passwd`. WAF detecta e bloqueia. CC Attacks (HTTP Floods): Requisições HTTP válidas, mas em volume anormalmente alto. WAF usa rate limiting para bloquear.

Regras customizáveis

WAF vem com regras pré-configuradas (OWASP Top 10), mas você pode customizar: bloquear requisições de regiões geográficas específicas, exigir autenticação adicional para endpoints críticos, limitar tamanho de upload, etc. A EVEO oferece consultoria para configurar WAF de acordo com sua aplicação.

O que são centros de limpeza (scrubbing centers)?

Centros de limpeza (scrubbing centers) são infraestruturas especializadas em filtrar tráfego DDoS em escala massiva. Quando um ataque volumétrico é detectado, todo o tráfego é redirecionado para o scrubbing center, que filtra o tráfego malicioso e deixa passar apenas o legítimo.

Como funciona o redirecionamento

Normalmente, o tráfego vai direto para seu servidor. Durante um ataque, o provedor de infraestrutura muda o roteamento (via BGP) para enviar todo o tráfego para o scrubbing center primeiro. O scrubbing center filtra o tráfego malicioso (descarta pacotes suspeitos) e envia apenas o tráfego legítimo para seu servidor. Seu servidor continua disponível porque recebe apenas tráfego válido.

Capacidade de processamento

Scrubbing centers modernos conseguem processar centenas de gigabits por segundo. Exemplo: um ataque de 500 Gbps é redirecionado para o scrubbing center, que filtra 450 Gbps de tráfego malicioso e deixa passar 50 Gbps de tráfego legítimo para seu servidor. Seu servidor recebe apenas o tráfego válido e continua funcionando.

Tempo de ativação

Ativação automática: alguns provedores ativam scrubbing centers automaticamente quando detectam um ataque (segundos). Ativação manual: você pode solicitar ativação via painel de controle (minutos). A EVEO oferece ativação automática para clientes com SLA crítico.

A abordagem da EVEO

A EVEO oferece proteção anti-DDoS em múltiplas camadas, com monitoramento 24x7 e SLA de 99,98% de uptime garantido mesmo durante ataques.

Camadas de proteção da EVEO:

• Firewall anti-DDoS na borda: Detecta e bloqueia ataques volumétricos e de protocolo em tempo real, antes de chegar ao seu servidor.
• WAF integrado: Protege contra ataques de aplicação (SQL injection, XSS, CC attacks) com regras customizáveis.
• Scrubbing centers: Redirecionamento automático para centros de limpeza durante ataques volumétricos massivos (100+ Gbps).
• Monitoramento 24x7: Equipe de segurança monitora continuamente e ajusta defesas em tempo real.
• Infraestrutura Tier III: 5 data centers com redundância completa, proteção contra DDoS e SLA de 99,98% de uptime.
• Conformidade LGPD: Soberania de dados garantida, com data centers no Brasil (Cotia, Osasco, Curitiba, Fortaleza) e Miami.
• Suporte técnico em português: Equipe especializada em segurança para ajudar na configuração e resposta a incidentes.

A EVEO não apenas oferece proteção anti-DDoS, mas também consultoria técnica para validar se sua configuração atende aos requisitos de segurança. Cada cliente recebe análise personalizada de risco e recomendações de hardening.

Perguntas frequentes