O que é proteção DDoS?

• Volumétrico (inundações L3/L4). Saturação de largura de banda bruta: inundações UDP, amplificação DNS/NTP, os clássicos de botnet estilo Mirai. Medido em gigabits — ataques modernos rotineiramente excedem 100 Gbps, muito além do uplink de qualquer servidor único. Apenas capacidade de filtragem upstream responde a isso.
• Ataques de protocolo. Esgotamento do estado de conexão em vez de largura de banda: inundações SYN, truques de pacotes fragmentados, esgotamento da tabela de conexão. Menor em volume, mais letal por pacote; filtrado por inspeção stateful na borda.
• Camada de aplicação (L7). Inundações de requisições HTTP de aparência legítima direcionadas a endpoints caros — páginas de busca, formulários de login, chamadas de API. Mais difícil de filtrar genericamente porque cada requisição parece um usuário real; mitigado por limitação de taxa, desafios e cache na borda da aplicação.

Uma pilha de proteção real aborda todas as três; “protegido contra DDoS” que significa apenas uma ACL de roteador não aborda nenhuma.

O pipeline é detecção → desvio → filtragem → reinjeção. Telemetria de fluxo (NetFlow/sFlow) monitora cada IP de cliente em busca de anomalias — uma linha de base de tráfego subitamente multiplicada, um mix de protocolo que corresponde a uma assinatura de ataque conhecida. Em segundos, o prefixo alvo é desviado para capacidade de filtragem: hardware de filtragem que descarta fontes falsificadas, limita fluxos por taxa, valida o comportamento do protocolo e passa o que resta. O tráfego limpo re-entra na rede em direção ao seu servidor, que em sua maioria não percebe nada. Os dois números que importam são tempo até mitigação (segundos vs minutos decide se jogadores/usuários notam alguma coisa) e folga de filtragem (um filtro de 10 Gbps enfrentando uma inundação de 400 Gbps é decoração). “Always-on” significa que o tráfego é analisado permanentemente inline em vez de ser desviado apenas após danos; para cargas de trabalho propensas a ataques essa diferença é o produto.

A proteção incluída (incluindo a nossa) cobre as camadas de rede: absorção volumétrica e filtragem de protocolo em escala de múltiplos centenas de gigabits, always-on, sem custo extra, em todos os locais. O que nenhum filtro em nível de rede pode cobrir completamente é a eficiência do seu próprio aplicativo: se uma única requisição HTTP barata faz seu app executar uma consulta de banco de dados de cinco segundos, um atacante precisa apenas de algumas centenas de requisições por segundo — indistinguíveis de usuários — para prejudicá-lo. Resiliência L7 é trabalho compartilhado: o host filtra as inundações; você faz cache agressivamente, limita a taxa de endpoints caros e (se quiser páginas de desafio) usa um CDN na frente. Hosts honestos dizem isso; desconfie de qualquer um que prometa “impossível de hackear”.

Existe um padrão feio na hospedagem tradicional: ser atacado, ser suspenso. A política DDoS real de muitos provedores baratos é fazer null-route na vítima — seu IP fica escuro até o ataque parar, o que significa que o atacante vence instantânea e repetidamente. Redes com mitigação séria e uma cultura de não punir vítimas são encontradas desproporcionalmente no canto offshore/tolerante a DDoS do mercado — a Romênia é famosa exatamente por isso. Nossa política é a sensata: ser atacado não é uma violação, a mitigação é acionada automaticamente e ninguém recebe null-route por ser vítima. (Lançar ataques, claro, está do outro lado do AUP.)