Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista

Resumo

• O alvo quase sempre é um IP só, muitas vezes de um assinante que joga online, mas o estrago atinge o link inteiro.
• Ataque maior que o link só se contém antes do seu roteador, com blackhole na operadora ou limpeza de tráfego.
• Ataque menor que o link pode ser filtrado na borda, desde que o roteador ainda tenha CPU livre para isso.
• Reiniciar a borda ou o CGNAT não para o ataque e apaga os contadores que mostram quem está sendo atacado.

O que é um ataque DDoS no provedor

É um ataque de negação de serviço distribuído, em que milhares de máquinas mandam tráfego ao mesmo tempo para um alvo até ele parar de responder. No provedor regional, o alvo costuma ser um único IP, mas quem sofre é o link inteiro.

DDoS vem do inglês distributed denial of service. O tráfego sai de computadores, câmeras e roteadores infectados ou de servidores mal configurados que respondem a pedidos forjados, e chega de muitos lugares ao mesmo tempo, o que impede bloquear uma origem só.

Quando o volume passa da capacidade do link de trânsito, o link lota antes de o tráfego chegar ao seu roteador. Nesse ponto, todos os assinantes sentem a lentidão, mesmo que o ataque mire um cliente só. Com o ataque acontecendo agora, o caminho é a mitigação emergencial de DDoS ou o atendimento de emergência na rede.

Há ainda ataques que não lotam o link, mas mandam milhões de pacotes pequenos por segundo. Eles sobrecarregam a CPU do roteador de borda e do concentrador, e o efeito para o assinante é parecido: páginas que não abrem e jogos travando.

Ataque por volume ou por pacotes?

Os dois tipos pedem respostas diferentes, então vale separar logo no começo. O gráfico da interface de trânsito e o gráfico de CPU da borda mostram qual dos dois está acontecendo.

• Por volume: a interface de entrada bate no limite contratado, e a CPU da borda pode até estar tranquila.
• Por pacotes: o link tem folga, mas a CPU da borda ou do CGNAT dispara; veja o guia de roteador de borda com CPU a 100%.
• Misto: o link lota e a CPU sobe junto, o que é comum em ataques de amplificação grandes.

Ataque DDoS no provedor: qual é a causa mais comum?

A causa mais comum em provedor regional é briga entre jogadores online, seguida de ataques contra IPs do CGNAT, extorsão e disputa comercial. Saber o motivo ajuda a prever se o ataque vai voltar e com que frequência.

• Briga entre jogadores: alguém descobre o IP do adversário e contrata um ataque de poucos minutos, que custa pouco e é fácil de achar.
• IP do CGNAT como alvo: o ataque mira um assinante atrás do CGNAT e atinge todos os que dividem o mesmo IP público.
• Extorsão: o atacante derruba a rede e manda mensagem pedindo dinheiro para parar.
• Disputa comercial: ataques repetidos no horário nobre, sem pedido de dinheiro, contra a rede do provedor.
• Sua rede usada como arma: CPEs com serviços abertos respondem a pedidos forjados e mandam tráfego de amplificação para fora, ocupando o seu próprio link.

Por que jogos aparecem tanto

Jogos online expõem o IP de cada jogador para os outros da partida, e ataques curtos são oferecidos abertamente em fóruns e grupos. Um link de cidade do interior lota com um ataque que um provedor grande nem perceberia.

O padrão típico é de ondas curtas à noite e nos fins de semana, contra o mesmo assinante ou contra o mesmo IP público do CGNAT. Se a lentidão afeta só jogos e não tem cara de ataque, o problema pode ser outro; veja o guia de CGNAT travando jogos.

Quando há pedido de dinheiro

Se chegou mensagem pedindo pagamento para parar, trate como crime e guarde tudo. O guia de extorsão com ataque DDoS mostra como agir sem pagar e o que registrar para a polícia.

Como saber se é mesmo DDoS?

Confirme pelo padrão do tráfego: subida em segundos, quase tudo indo para um IP e muito UDP de portas conhecidas. Link cheio também acontece por cache fora do ar ou por backup de cliente empresarial.

Sinais de ataque DDoS no provedor comparados com outras causas de link cheio

Sinal	Indica ataque	Indica outra causa
Como o tráfego subiu	Em segundos ou poucos minutos	Aos poucos, acompanhando o horário
Para onde vai	Um IP ou poucos IPs recebem quase tudo	Muitos destinos ao mesmo tempo
Protocolo	UDP de portas como 53, 123, 1900 ou 11211	Tráfego normal de vídeo e páginas
Duração	Picos curtos que se repetem	Constante durante o horário de pico
Origem	Milhares de IPs de fora, de vários países	Servidores de conteúdo conhecidos, como caches e CDNs

As portas da tabela pertencem a serviços que respondem com muito mais dados do que recebem, como DNS, NTP, SSDP e Memcached, e por isso aparecem em ataques de amplificação.

O que parece ataque e não é

Antes de acionar a operadora, descarte as causas comuns de link cheio sem ataque. Elas costumam subir aos poucos e espalhar o tráfego por muitos destinos.

• Cache fora do ar: quando um cache de vídeo para, o mesmo conteúdo passa a vir pelo trânsito e o link lota no horário nobre.
• Atualização grande: lançamento de jogo ou atualização de sistema puxa muito tráfego de uma vez, mas para muitos assinantes.
• Cliente empresarial: backup ou replicação de servidor ocupa o link por horas, sempre para os mesmos destinos.

Se o tráfego subiu com o horário e não tem um alvo claro, o caso é de capacidade; o guia de link de trânsito saturado trata dessa situação.

Ataque DDoS no provedor: o que fazer primeiro

Ache o alvo, meça o ataque contra a capacidade do link e escolha a contenção certa, sem apagar as pistas. A ordem abaixo tira a maioria dos assinantes da lentidão o mais rápido possível.

1. Alvo: pelo NetFlow ou pelos contadores, descubra qual IP recebe o tráfego.
2. Tamanho: compare o volume do ataque com a capacidade contratada do link de trânsito.
3. Ataque maior que o link: anuncie o IP atacado com a community de blackhole da operadora.
4. Ataque menor que o link: bloqueie na borda o padrão do ataque, como a porta de origem ou o protocolo.
5. Operadora: mande o IP atacado, o horário e o tipo de tráfego ao NOC dela e peça filtragem do lado de lá.
6. Registro: anote horários, prints e cada ação feita, para o relatório e para o próximo ataque.

O blackhole é anunciado pelo BGP: o seu roteador marca o prefixo do IP atacado com uma community que a operadora reconhece, e ela descarta o tráfego para aquele destino antes de entrar no seu link. A RFC 7999 define uma community padrão para isso, mas cada operadora informa qual aceita [CONFIRMAR com a operadora].

Blackhole ou filtro na borda?

A escolha depende de onde o tráfego trava: se o link já chega cheio, nenhum filtro no seu roteador resolve. O fluxo abaixo resume a decisão.

1. Medir

   Comparar ataque e link

   Volume do ataque contra a capacidade do link de trânsito, pelo gráfico da interface.

2. Maior que o link

   Blackhole na operadora

   O IP atacado sai do ar, e o resto da base volta a navegar.

3. Menor que o link

   Filtro na borda

   Bloqueio por porta ou protocolo, se a CPU do roteador aguentar a regra.

Ataques grandes e frequentes contra clientes que não podem sair do ar pedem limpeza de tráfego externa, que precisa estar contratada antes do ataque.

Na prática: ondas de ataque numa noite de domingo

Um cenário comum ajuda a ver a ordem funcionando. Num domingo à noite, o link de trânsito bate no limite três vezes em uma hora, e o atendimento recebe reclamação de lentidão de toda a cidade.

1. Alvo: os contadores da fila do CGNAT mostram que quase todo o tráfego vai para um único IP público.
2. Tamanho: o pico passa da capacidade do link, então filtrar na borda não adiantaria.
3. Contenção: o IP é anunciado com a community de blackhole, e o link volta ao normal em poucos minutos.
4. Depois: os assinantes daquele IP são remanejados para outro endereço do CGNAT e o caso é registrado.

O custo do blackhole fica claro aqui: os assinantes que dividiam aquele IP perderam a internet por alguns minutos, mas o resto da base voltou. Sem blackhole configurado, a cidade inteira ficaria lenta até o atacante cansar.

Ataque DDoS: o que fazer depois que o tráfego normaliza

Quando o link esvazia, ainda faltam três decisões: quando retirar o blackhole, o que dizer ao assinante atacado e o que guardar para o próximo ataque. Pular essa etapa deixa um IP fora do ar à toa ou apaga a história do incidente.

• Retire aos poucos: tire o anúncio de blackhole depois de um período sem tráfego de ataque e acompanhe a interface; se o pico voltar, anuncie de novo.
• Fale com o assinante: quem ficou sem internet precisa de uma explicação simples, e o atendimento marca o caso para ligar ataques futuros ao mesmo alvo.
• Feche o registro: junte horários, alvo, volume e ações num relatório curto, que serve para a operadora e mostra se o mesmo IP volta a ser atacado.

Erros comuns durante o ataque

Os erros mais comuns parecem reação rápida, mas não param o ataque e ainda apagam o que mostraria o alvo. Alguns também deixam o provedor mais exposto ao próximo.

O último item merece atenção. Gerência exposta pode ser alvo direto do ataque, e uma OLT com a CPU travada reinicia e derruba todas as ONUs; o guia de OLT reiniciando sozinha mostra esse efeito.

Outro erro frequente é tratar cada ataque como o primeiro. Sem registro de horário, alvo e tamanho, o provedor não percebe que o mesmo assinante é atacado toda semana nem consegue mostrar à operadora que o problema se repete.

Quando vale chamar um Especialista?

Vale chamar quando o alvo não aparece em 15 minutos, quando a borda não tem blackhole pronto ou quando os ataques se repetem toda noite. Cada hora de link lotado conta contra o provedor no atendimento e nos cancelamentos.

Esse é um caso típico de suporte técnico N3, porque envolve borda, roteamento e conversa com a operadora ao mesmo tempo. Se as sessões também caíram, o guia de BGP caindo ajuda a entender o que aconteceu depois que o tráfego normalizar.

A Táquion Tech atende ataque em andamento de forma remota, entrando na borda com um acesso criado só para o atendimento, e entrega um relatório com linha do tempo, alvo e recomendações para o próximo ataque.

O peso do ataque no SLA

Clientes empresariais costumam ter SLA de disponibilidade em contrato, e um ataque longo pode estourar a meta do mês inteiro. Por isso vale registrar o horário de início e fim de cada ataque, mesmo os curtos.

Como resolver ataque DDoS no provedor antes do próximo

Ataque não se evita por completo, mas dá para fazer com que ele não derrube a rede. A preparação junta blackhole pronto, detecção por fluxos e, para quem não pode parar, limpeza de tráfego contratada.

Um ataque DDoS no provedor exige decisão em minutos, e a preparação existe para que essa decisão já esteja tomada quando o link lotar.

• Blackhole pronto: community combinada e testada com cada operadora, com o passo a passo escrito; o blackhole BGP e o guia de configuração de RTBH cobrem esse ponto.
• Detecção por fluxos: NetFlow, IPFIX ou sFlow exportados da borda, com alarme de tráfego anormal; veja a implantação de NetFlow.
• Limpeza de tráfego: para clientes que não podem sair do ar, um serviço de scrubbing integrado antes do ataque.
• CPEs fechados: serviços como DNS, SSDP e NTP desligados para a internet nos equipamentos dos assinantes.
• Gerência protegida: acesso à borda, ao CGNAT e à OLT só pela rede de gerência do provedor.

Perguntas frequentes sobre ataque DDoS no provedor

Serviços ligados a este guia

• Perícia técnica em redes para provedores Consultoria e auditoria
• NOC noturno para provedores NOC e operação de rede
• Plano de resposta a incidentes para provedores Segurança e anti-DDoS
• Integração com serviços de scrubbing para provedores Segurança e anti-DDoS
• Implantação de DNS recursivo para provedores Sistemas para provedores

Fontes

1. RFC 7999, BLACKHOLE Community: community padrão para pedir descarte de tráfego à operadora.
2. RFC 5635, Remote Triggered Black Hole Filtering with Unicast Reverse Path Forwarding: como funciona o blackhole acionado por BGP.
3. CISA, UDP-Based Amplification Attacks: protocolos e portas usados em ataques de amplificação.