Proteção contra DDoS e disponibilidade

Em parte. A AWS aplica o Shield Standard a todos os clientes sem custo adicional, mas essa camada cobre ataques de rede e de transporte. A Cloudflare informa mitigação automática também na camada de aplicação. Mesmo assim, um volume baixo de requisições com aparência legítima, dirigido às rotas que mais consomem banco e CPU, tende a ficar abaixo dos gatilhos automáticos e exige regras escritas para o seu sistema.

O ataque volumétrico tenta esgotar a banda ou a capacidade de rede com um grande fluxo de pacotes, e costuma ser absorvido pela infraestrutura do provedor. O ataque na camada de aplicação usa requisições HTTP que parecem normais e mira operações caras, como busca, login, exportação e geração de relatório. Poucas requisições por segundo bastam para saturar o banco de dados.

Os três cumprem papéis diferentes. A CDN tira do servidor o conteúdo estático e absorve parte do tráfego. O WAF filtra requisições por padrão, reputação e origem. O rate limiting controla quantas vezes cada usuário ou IP chama cada rota. A ordem certa sai do mapa de rotas caras: primeiro se protege a peça que cede antes.

Pode, se o limite for calibrado sem olhar o tráfego real. Um caso comum é a empresa em que muitos funcionários saem pelo mesmo IP. Por isso os limites são definidos por usuário autenticado sempre que possível e por IP só nas rotas públicas. A resposta usa o código HTTP 429, definido no RFC 6585, com o cabeçalho Retry-After indicando quando tentar de novo.

Depende das regras do provedor. A AWS, por exemplo, proíbe DoS, DDoS e inundação de requisições fora das suas políticas próprias de teste de estresse. Por isso o trabalho usa teste de carga controlado, dentro dessas políticas e com autorização formal do cliente, sem reproduzir um ataque real.

Quando bem planejado, o teste roda em homologação. Em produção, só acontece em janela de baixo uso, com intensidade máxima combinada e alguém da sua equipe acompanhando. Antes de começar, fica definido por escrito como interromper o teste imediatamente se algum indicador sair do previsto.

Pode. A OWASP descreve casos em que um atacante dispara em série uma rota de recuperação de senha que envia SMS e gera milhares de dólares em cobranças de terceiro em poucos minutos. O mesmo vale para funções serverless, armazenamento e APIs cobradas por chamada. Tetos de gasto e alertas de custo fazem parte da proteção.

Seguir o plano de resposta na ordem combinada. Primeiro entram as regras de contenção já preparadas, como desafio para tráfego suspeito e limites mais baixos nas rotas afetadas. Depois se confirma que o custo da nuvem está sob controle e se avisam os clientes pelo canal definido. A investigação da origem vem quando o serviço estiver estável.