Existe um tipo de ataque que não rouba arquivo, não criptografa banco de dados e não pede resgate. Ele faz algo mais simples e, com frequência, mais caro: ocupa a fila de atendimento do seu sistema com visitantes falsos até que o cliente de verdade desista de esperar. É a negação de serviço distribuída, o conhecido DDoS, e ela voltou ao noticiário porque mudou de escala e de tática.
O portal CISO Advisor noticiou o lançamento de um recurso da NETSCOUT voltado a esse problema. Para quem dirige uma empresa, o nome do produto importa pouco. Importa o diagnóstico embutido na notícia: os picos de tráfego malicioso já ultrapassam trinta terabits por segundo, e barreiras antes tidas como suficientes, entre elas as redes de distribuição de conteúdo, as CDNs, deixaram de dar conta sozinhas. Se o seu faturamento passa por um site, um sistema web, uma agenda on-line ou um aplicativo, a conversa sobre proteção contra DDoS também é sua.
O ataque que não arromba a porta, apenas entope a entrada
Pense na recepção da sua clínica numa segunda-feira de manhã. Cinco pessoas na fila, duas atendentes, tudo sob controle. Agora imagine que, em dez minutos, quatro mil pessoas entram no mesmo corredor sem nenhuma intenção de marcar consulta. Ninguém quebrou a fechadura e ninguém levou nada da gaveta. Ainda assim, o paciente que ia pagar a consulta não chega ao balcão. É isso que uma negação de serviço faz com um site, um servidor ou um link de internet: enche o caminho de requisições falsas até não sobrar capacidade para quem é real.
Na reportagem do CISO Advisor, Christopher Rodriguez, diretor de pesquisa em segurança e confiança da IDC, resume o efeito prático. As motivações dos criminosos variam bastante, diz ele, mas o desfecho é sempre o mesmo: drenar os recursos da organização escolhida como alvo. Extorsão, sabotagem encomendada, cortina de fumaça para outra invasão, ativismo. O motivo muda; a conta, não. Enquanto o ataque dura, a empresa está fechada.
Por que a CDN sozinha não é uma rede de segurança
Uma CDN espalha cópias do conteúdo do seu site por servidores instalados em vários pontos do planeta. A página carrega mais rápido para quem acessa de longe e, de quebra, boa parte do tráfego hostil é absorvida e filtrada antes de chegar ao servidor onde o sistema realmente roda. É uma camada útil. O erro está em tratá-la como a única.
Scott Iekel-Johnson, responsável pela gestão de produtos da NETSCOUT, faz a ressalva na mesma matéria: nenhuma empresa deveria supor que colocar uma CDN diante da aplicação cobre todas as rotas que um invasor pode percorrer até ela. E os invasores aprenderam a usar as outras rotas. Três caminhos aparecem com frequência.
- Bater direto na origem. Quando o endereço do servidor real vaza em um registro antigo de DNS, num certificado, num subdomínio esquecido ou no cabeçalho de um e-mail automático, o atacante ignora a CDN e vai pela porta dos fundos.
- Parecer gente. Em vez de despejar volume bruto, o ataque imita o comportamento de quem usa o serviço de verdade: navega, clica, pesquisa, tenta entrar na conta. Passa pelo filtro porque, à primeira vista, é indistinguível de um cliente.
- Atacar o que não está no site. Link de internet, VPN da equipe, servidor de e-mail, sistema de frente de caixa, câmeras, integração com a adquirente de cartão. Nada disso fica atrás da CDN.
A direção apontada na reportagem é levar a defesa para além da CDN e aproximá-la da própria aplicação, protegendo o que é crítico com mais precisão e sem derrubar junto o cliente legítimo que só queria comprar.
O que muda quando a defesa fica perto da aplicação
O recurso anunciado pela NETSCOUT, chamado Arbor Edge Defense, atua como um filtro na porta de entrada do sistema. Conforme a fabricante, ele consegue enxergar através da camada da CDN e apontar de onde parte o ataque mesmo quando o invasor se esconde no meio do tráfego normal de milhares de pessoas. Como acompanha os dois trajetos, o que passa pela CDN e o que vai direto à infraestrutura, separa tipos de atividade e barra somente o que oferece risco, sem travar quem está ali para comprar, entrar na própria conta ou usar o serviço.
Traduzido para a linguagem da diretoria: proteção contra DDoS não é um produto avulso, é um arranjo de camadas com visibilidade em cada uma delas. Quem tem uma camada só tem um ponto único de falha com nome bonito. E ponto único de falha é o que transforma um incidente de vinte minutos em um dia inteiro parado.
O que a sua empresa pode fazer nas próximas semanas
Não é preciso comprar o mesmo equipamento de uma operadora para sair do zero. É preciso saber onde dói e fechar as frestas mais evidentes. Uma sequência que funciona bem em empresas de porte médio:
- Liste o que para. Se o site e os sistemas ficarem quatro horas indisponíveis, o que deixa de acontecer? Venda, agendamento, emissão de nota fiscal, atendimento, produção? Escreva, com o nome de um responsável por frente.
- Verifique se a origem está exposta. Peça a quem cuida do seu ambiente uma revisão de DNS, subdomínios e certificados. Endereço de origem visível anula boa parte do que se investiu na CDN.
- Revise a borda. Regras de firewall e segurança de perímetro envelhecem mal: a liberação temporária que virou permanente, a porta aberta para um fornecedor que nem é mais fornecedor.
- Garanta caminho alternativo. Dois links de operadoras distintas, com troca automática, resolvem boa parte dos incidentes de conectividade. Isso se decide no projeto de rede corporativa, antes de o problema aparecer.
- Enxergue em tempo real. Sem monitoramento e NOC 24 horas, a empresa descobre a queda pela mensagem de um cliente irritado, e a primeira hora já foi embora.
- Combine a comunicação. Defina quem avisa o cliente, por qual canal e com qual texto, enquanto o time técnico trabalha. Silêncio durante uma queda custa mais caro do que a queda.
Disponibilidade deixou de ser assunto só da TI
Nenhuma empresa escolhe quando vira alvo. Dá para escolher, sim, o tamanho do estrago e o tempo até voltar ao normal. Isso se define antes, em três perguntas secas: quem percebe primeiro, quem age e em quanto tempo o serviço volta. Se as três respostas dependem de uma única pessoa, que pode estar de férias ou dirigindo, o problema maior não é o DDoS.
Vale lembrar o óbvio que costuma escapar: ficar fora do ar não é privilégio de quem sofre ataque. Cabo rompido na rua, falta de energia, atualização malfeita, disco lotado. O preparo que segura uma negação de serviço é o mesmo que segura o dia comum dando errado: rede redundante, alguém olhando os painéis e backup com restauração testada, para quando o incidente for além do tráfego.
Fonte: CISO Advisor — NETSCOUT anuncia novo recurso contra DDoS, acesso em 16 de setembro de 2026.
A Ragnatela IOT Solutions projeta e opera a infraestrutura que sustenta essa continuidade: redes MikroTik e Fortinet, links redundantes, firewall gerenciado, nuvem privada em data center Tier III, backup com restauração testada e NOC com monitoramento 24 horas. Se você quer entender por onde o tráfego da sua empresa entra hoje e o que aconteceria num pico fora do normal, fale com a nossa equipe.
Perguntas frequentes
O que é um ataque DDoS, em linguagem de negócio?
É uma enxurrada de acessos falsos disparada ao mesmo tempo contra o seu site, o seu sistema ou o seu link de internet. Ninguém invade nada: o serviço apenas fica ocupado demais para atender o cliente real. Na prática, a empresa fica fechada enquanto durar.
Minha empresa já usa CDN. Ainda preciso pensar em proteção contra DDoS?
Sim. A CDN é uma camada boa, mas a própria reportagem alerta que ela não cobre todas as rotas até a aplicação. O invasor pode ir direto ao servidor de origem ou imitar o comportamento de usuários legítimos e passar despercebido.
Como sei se o endereço de origem do meu site está exposto?
Peça a quem cuida do ambiente uma revisão de registros de DNS, subdomínios antigos, certificados e cabeçalhos de e-mails automáticos. É ali que o endereço real costuma escapar, e é por ali que a CDN acaba sendo contornada.
Por onde começar se hoje não temos nada disso?
Comece pelo mapa: o que para quando o sistema cai e quem responde por cada frente. Depois vêm as medidas de infraestrutura, como segundo link com troca automática, revisão das regras de firewall e monitoramento que avisa antes do cliente reclamar.
