Blindando Aplicações Web contra Ataques DDoS: Arquitetura Edge Serverless e WAF Inteligente

Edson Feitosa de Oliveira Júnior

Fundador & Desenvolvedor Full Stack

Um ataque de DDoS (negação de serviço distribuída) inunda um site com tráfego falso vindo de milhares de dispositivos ao mesmo tempo, até ele sair do ar. Antes, isso era problema só de grandes empresas. Hoje, ataques podem ser contratados por valores baixos e atingem lojas virtuais, sistemas e sites de pequenas empresas. Este guia explica como funciona a proteção moderna e o que a arquitetura do seu site tem a ver com isso.

Tipos de ataque

• Volumétricos: enviam um volume enorme de dados para congestionar a conexão do servidor.
• De protocolo: exploram o funcionamento das conexões de rede (como SYN flood) para esgotar recursos do servidor ou do firewall.
• De aplicação (camada 7): imitam visitantes reais, abrindo páginas pesadas, buscas ou tentativas de login em grande quantidade. São os mais difíceis de distinguir de tráfego legítimo.

Por que um servidor sozinho não aguenta

Um servidor tradicional tem uma conexão e uma capacidade limitadas. Um ataque volumétrico pode passar facilmente dessa capacidade. Nenhuma configuração dentro do servidor resolve se o "cano" já está cheio antes de o tráfego chegar.

A proteção na borda

Serviços como Cloudflare, AWS Shield e similares ficam na frente do site, com uma rede distribuída em centenas de cidades. Por meio de Anycast, o mesmo endereço é anunciado em todos esses pontos, e o tráfego de ataque é dividido entre eles e filtrado perto da origem. O servidor real só recebe o tráfego limpo.

Em sites hospedados na própria borda (serverless), nem existe um servidor central para derrubar: o site roda distribuído pela rede. Veja hospedagem serverless.

WAF: o firewall de aplicação

Um WAF (Web Application Firewall) analisa as requisições HTTP e bloqueia padrões maliciosos: tentativas de injeção de SQL, robôs conhecidos e excesso de requisições. Recursos úteis:

• Limitação de taxa (rate limiting): bloqueia quem faz requisições demais em pouco tempo, protegendo login e formulários.
• Gerenciamento de bots: diferencia buscadores legítimos de robôs maliciosos.
• Desafios: verificações automáticas que bloqueiam bots sem incomodar visitantes reais.
• Regras por país ou caminho: por exemplo, restringir o painel administrativo.

Protegendo o DNS

Se o DNS do domínio cair, o site some mesmo estando no ar. Use um provedor de DNS robusto e distribuído, ative o DNSSEC para impedir respostas falsificadas e proteja a conta do registro do domínio com verificação em duas etapas. Veja como escolher domínio.

Não exponha o endereço de origem

De nada adianta a proteção na frente se o atacante descobrir o IP real do servidor e atacá-lo diretamente. Por isso:

• configure o firewall do servidor para aceitar conexões web só da rede de proteção;
• não aponte subdomínios (como ftp ou mail) para o mesmo IP sem proteção;
• troque o IP do servidor após ativar a proteção, se ele já foi exposto.

Plano para um ataque em andamento

1. Ative o modo de proteção reforçada do serviço (como o modo "Under Attack").
2. Identifique nos registros o padrão do ataque: caminho, país, agente de usuário.
3. Crie regras de bloqueio ou limitação para esse padrão.
4. Avise clientes pelos canais alternativos, se houver instabilidade.
5. Depois, revise o que aconteceu e mantenha as regras úteis.

Inclua esse roteiro no seu checklist de segurança.

Para pequenas empresas

A boa notícia é que a proteção básica contra DDoS está incluída gratuitamente em vários serviços de borda. Um site institucional bem construído em arquitetura serverless, com DNS protegido e WAF básico, já fica muito mais resistente do que um site em hospedagem compartilhada tradicional. Veja também certificado SSL e como testar a velocidade do site.

Perguntas frequentes