Mitigação DDoS para aplicações críticas: quando terceirizar e quando internalizar

Durante uma campanha de lançamento, o checkout fica intermitente e a equipe de operações encontra um pico de requisições que não parece legítimo. O negócio perde conversões enquanto as dúvidas se acumulam: a defesa atual falhou? é hora de contratar um proveedor gerenciado? ou devemos reforçar a origem? A tese prática aqui é direta: DDoS não é apenas volume — é uma decisão arquitetural que combina perfil de tráfego, tolerância a latência, custos operacionais e governança. Entender quais camadas protegem o quê é o primeiro passo para não pagar duas vezes por segurança errada.

Quatro cenários de negócio e requisitos de disponibilidade

Ao planejar, foque em jornadas críticas: a) pequena empresa com origem frágil (único datacenter ou origem em cloud sem redundância), b) empresa com origem redundante (multi-region ou múltiplos provedores), c) plataforma de e‑commerce em campanha (picos legítimos elevados) e d) serviço B2B crítico (APIs com SLAs para clientes empresariais). Cada cenário exige prioridades diferentes — custo, latência ou controle — e isso muda a resposta entre terceirização e internalização.

Pequena empresa com origem frágil

Risco máximo de indisponibilidade. Terceirizar mitigação geralmente faz sentido porque reduzir o tempo de recuperação e absorver tráfego na borda evita que a origem seja sobrecarregada. Expectativa: priorizar proteção de disponibilidade imediata sobre controle granular de políticas.

Origem redundante

Se a arquitetura suporta failover entre regiões, investir em hardening de L7 e automação de escala pode reduzir custos a médio prazo. No entanto, manter expertise interno para ajustar políticas é necessário; terceirizar pode ser complementar para absorção de pico.

Plataforma em campanha

Picos legítimos confundem mitigadores automáticos. Aqui se valora um provedor gerenciado que combine mitigação com análise contextual e capacidade de customização, para minimizar falsos positivos durante marketing intensivo.

Serviço crítico B2B

Controle e auditoria importam: logs detalhados, retenção e SLAs operacionais são requisitos. Uma estratégia híbrida costuma ser a melhor resposta — origin hardening com capacidade de roteamento para mitigação gerenciada quando os thresholds forem ultrapassados.

Quais camadas protegem o quê: CDN, WAF/borda, L7 Hardening e origem

Mapear defesa x ameaça evita decisões equivocadas. Abaixo, o que cada camada mitiga melhor e o que não substitui.

• CDN: reduz latência e absorve tráfego distribuído. Ótima contra ataques volumétricos e para cache de conteúdo estático. Não substitui controles de aplicação para requisições dinâmicas autenticadas.
• WAF na borda: bloqueia padrões de ataque de aplicação conhecidos, injeções e alguns abusos de sessão. Não é infalível contra ataques sofisticados que mimetizam tráfego legítimo.
• L7 Hardening (proteção específica de aplicação): define regras de negócio, validação de padrões de API, rate limits adaptativos. É a camada que melhor protege jornadas críticas e autenticação; não absolve necessidade de capacidade de rede para absorver picos massivos.
• Escala da origem: aumenta resiliência quando a carga é legítima; essencial para latência e consistência de dados. Escalar só a origem sem controles de borda pode ser custoso e insuficiente diante de grandes ataques distribuídos.

Critérios decisórios: custo, time, latência, controle e tolerância a risco

Escolha com base em métricas mensuráveis, não em promessas. Considere:

• Custo total de propriedade: compare CAPEX para ampliar origem vs OPEX de um serviço gerenciado.
• Disponibilidade do time: equipes pequenas geralmente não conseguem operar mitigação 24/7 sem terceirização.
• Impacto na latência: soluções de borda podem aumentar um pouco a latência; defina limites aceitáveis para jornadas críticas.
• Controle de políticas: se precisar de regras customizadas por cliente ou compliance rígido, internalizar parte da proteção é preferível.
• Tolerância a falsos positivos: quanto mais sensível a bloqueios, maior a necessidade de validação humana e testes em produção controlada.

Como negociar SLAs e métricas com provedores

Negociação técnica não é sobre promessas vagarosas; é sobre sinais mensuráveis que você pode auditar. Exija cláusulas claras e mensuráveis em contrato.

Modelo de cláusulas/SLAs a negociar (exemplificativo)

• Definição de eventos de mitigação: thresholds de tráfego que disparam ações automáticas.
• Tempo de ativação operativa: prazo para transição de modo monitorado para bloqueio ativo (descreva o processo, não um número).
• Retenção e formato de logs: entregáveis que permitam revisar bloqueios e false positives.
• Comunicação e escalonamento: canais e responsáveis, com disponibilidade durante picos.
• Mecanismo de auditoria: formato e periodicidade do relatório de mitigação.

Quais métricas e logs pedir para validar eficácia

Pergunte por dados operacionais reais que permitam auditar a resposta:

• Padrões de origem do tráfego (IP, ASN), geolocalização e headers relevantes.
• Taxa de bloqueio por regra e razão (por ex., WAF rule id).
• Latência média antes/depois da ativação de mitigação para jornadas críticas.
• Volume de tráfego absorvido na borda vs entregue à origem.
• Eventos de false positive e processos de reversão.

Roteiro de testes seguros para validar mitigação sem causar impacto

Testar é essencial, mas teste malfeitor pode interromper serviços. Use um roteiro controlado:

1. Preparação em janela de baixa criticidade e com stakeholders alinhados.
2. Gerar tráfego sintético com padrões de ataque conhecidos contra endpoints de teste — nunca contra produção sem autorização explícita.
3. Ativar modos de mitigação em seguida: monitor, challenge (ex.: CAPTCHA) e bloqueio, observando métricas predefinidas.
4. Executar rollback automático planejado e validar logs de false positives.
5. Revisar e ajustar políticas com base nos resultados.

Operação durante um ataque: roteiro prático

Operar é coordenar: comunicação, mitigação e recuperação. Um fluxo funcional minimiza decisões ad hoc.

1. Detecção e validação: correlacione métricas de borda e origem para confirmar que não é um pico legítimo.
2. Mitigação inicial em borda/CDN para absorver tráfego volumétrico.
3. Aplicar L7 Hardening para bloquear padrões de abuso identificados sem afetar journeys legítimas.
4. Escalar para roteamento gerenciado se a origem continuar sobrecarregada.
5. Comunicação: informar stakeholders e ativar playbook de incident response.

Checklist pós-incidente e lições aprendidas

• Arquive logs brutos e relatórios do provedor.
• Analise falhas de regras que geraram false positives ou false negatives.
• Atualize limites de alerta e thresholds com base no incidente.
• Reavalie o mix entre borda e origem; registre decisão sobre terceirizar/ internalizar.

Limites da terceirização e sinais para migrar a estratégia

Terceirizar resolve absorção e operação contínua, mas tem limites claros: perda de controle fino, dependência de logs externos e possíveis impactos de latência. Sinais para internalizar parte da mitigação incluem necessidade de regras de negócio muito específicas, requisitos de compliance sobre dados e equipes capazes de manter operação 24/7. Em muitos casos, o caminho ideal é híbrido: origin hardening com capacidade de failover para mitigação gerenciada.

Perguntas frequentes (respostas diretas)

Um WAF é suficiente contra DDoS de aplicação?

Um WAF ajuda a bloquear padrões de aplicação maliciosos, mas sozinho pode não proteger contra ataques L7 que imitam tráfego legítimo em grande volume. Combine WAF com L7 Hardening e capacidade de absorção na borda para cobrir mais cenários.

Como testar a capacidade de mitigação sem causar downtime?

Use endpoints de teste, tráfego sintético controlado e janelas de teste. Nunca execute testes de tráfego de ataque em produção sem plano de reversão e consentimento de todas as áreas afetadas.

Quais SLAs são críticos em contratos de mitigação DDoS?

Priorize SLAs que descrevam: definição de eventos, ativação operacional (processo), entrega de logs e relatórios, e canais de escalonamento. Evite métricas vagas; exija entregáveis verificáveis.

Recursos práticos para decidir agora

• Tabela comparativa (CDN, WAF/borda, L7 Hardening, origem) para baixar e usar em decisões internas.
• Checklist de métricas antes da decisão (padrões de tráfego, latência aceitável, picos legítimos).
• Roteiro de teste controlado para validar mitigação sem impactar produção.
• Modelo de cláusulas/SLAs para negociação com provedores.

Se precisar, a Shield pode ajudar com diagnóstico e proposta de arquitetura que combine L7 Hardening e Website Security gerenciado, além de soluções de DNS & Edge. Baixe a tabela comparativa e solicite uma avaliação técnica de DDoS com a Shield para receber um roteiro de mitigação alinhado ao seu cenário.

L7 Hardening • Website Security gerenciado • MVX DNS & Edge