Questão de Segurança da Informação — Negação de Serviço (DoS) — INSTITUTO AOCP 2024

Mitigação de Ataques de Negação de Serviço (DoS)

Gabarito: letra E. A estratégia mais apropriada para minimizar o impacto de um ataque DoS é combinar medidas de mitigação ativa — redirecionar o tráfego malicioso, bloquear IPs suspeitos, aumentar a capacidade dos servidores — com a comunicação transparente aos clientes. As demais alternativas ou são ineficazes, ou agravam o problema, ou são eticamente e legalmente reprováveis.

Um ataque de Negação de Serviço (DoS) tem como objetivo tirar de operação um serviço, computador ou rede, consumindo seus recursos (largura de banda, memória, processamento) até que usuários legítimos fiquem impossibilitados de utilizá-los. Quando o ataque é coordenado e distribuído a partir de múltiplos computadores (muitas vezes zumbis), recebe o nome de DDoS (Distributed Denial of Service). A propriedade de segurança da informação diretamente afetada é a disponibilidade — a garantia de que a informação e os serviços estejam acessíveis quando necessário.

A resposta a um incidente de DoS exige um plano de resposta a incidentes bem definido, que envolve detecção, contenção, erradicação e recuperação. A contenção busca limitar o dano e preservar a continuidade do serviço tanto quanto possível. Isso envolve ações como:

• Redirecionamento de tráfego: encaminhar o tráfego malicioso para "buracos negros" (blackholing) ou para serviços de mitigação especializados, que absorvem e filtram o ataque antes que ele chegue aos servidores.

• Bloqueio de IPs suspeitos: identificar e bloquear os endereços de origem do ataque, seja em firewalls, sistemas de prevenção de intrusão (IPS) ou no provedor de rede.

• Aumento de capacidade: provisionar recursos adicionais (largura de banda, servidores) para absorver o excesso de tráfego, ganhando tempo para implementar outras medidas.

• Comunicação com clientes: informar os usuários sobre o incidente, o impacto esperado e as medidas que estão sendo tomadas, mantendo a transparência e a confiança.

A alternativa E é a única que engloba um conjunto coerente e completo de ações de mitigação, abordando tanto o aspecto técnico (redirecionar, bloquear, aumentar capacidade) quanto o aspecto de comunicação com os stakeholders (enviar comunicado aos clientes). As demais alternativas apresentam estratégias incompletas, ineficazes ou prejudiciais.

A pegadinha desta questão está em distinguir medidas de mitigação (que visam reduzir o impacto e manter o serviço operante) de medidas de fuga ou de piora da situação (como ignorar o ataque, desligar servidores ou pagar resgate). A banca explora a tentação de escolher uma ação simples e imediata (como bloquear IPs e reiniciar servidores) sem considerar o contexto mais amplo de uma resposta eficaz a incidentes.

Alternativa A — ❌ Incorreta

Embora bloquear IPs e portas e reiniciar servidores sejam ações de contenção, migrar para outro host não é uma estratégia de mitigação eficaz, pois o ataque pode ser redirecionado para o novo host. Além disso, a alternativa é incompleta: não inclui medidas como redirecionamento de tráfego, aumento de capacidade ou comunicação com os clientes, que são essenciais para uma resposta abrangente. A migração de host pode até ser uma medida de contingência em casos extremos, mas não é a primeira linha de defesa e não resolve o problema se o ataque continuar.

Alternativa B — ❌ Incorreta

Ignorar o ataque e esperar pelo fim dele é uma postura passiva e totalmente inadequada. Um ataque DoS pode durar horas ou dias, causando prejuízos significativos à disponibilidade do serviço e à imagem da organização. A resposta correta é agir ativamente para mitigar o impacto, não esperar passivamente. Essa alternativa contraria o princípio fundamental da resposta a incidentes, que exige ação imediata e coordenada.

Alternativa C — ❌ Incorreta

Pagar o resgate em caso de extorsão (ransomware ou DDoS com pedido de resgate) é uma prática altamente desaconselhada por especialistas em segurança e por órgãos de aplicação da lei. Pagar não garante o fim do ataque, incentiva o crime e financia futuras atividades criminosas. A orientação é nunca pagar e, em vez disso, reportar o incidente às autoridades competentes e implementar medidas de mitigação. Essa alternativa é eticamente e legalmente reprovável.

Alternativa D — ❌ Incorreta

Deixar os servidores desligados até o fim do ataque é uma medida extrema que interrompe completamente o serviço, causando indisponibilidade total para os usuários legítimos. Isso é exatamente o que o atacante deseja: tirar o serviço do ar. A mitigação eficaz busca manter o serviço operante o máximo possível, mesmo durante o ataque, utilizando técnicas como redirecionamento de tráfego e aumento de capacidade. Desligar os servidores é uma medida de último recurso, que só deve ser considerada se o ataque causar danos físicos ou se houver risco de comprometimento de dados, mas não é a estratégia apropriada para "sofrer o menor impacto possível".

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa apresenta a estratégia mais completa e eficaz para mitigar um ataque DoS:

• Redirecionar o tráfego malicioso: encaminhar o tráfego do ataque para "buracos negros" ou serviços de mitigação, impedindo que ele sobrecarregue os servidores.

• Bloquear IPs suspeitos: identificar e bloquear as fontes do ataque, reduzindo o volume de tráfego malicioso.

• Aumentar a capacidade dos servidores: provisionar recursos adicionais para absorver o excesso de tráfego, mantendo o serviço disponível para usuários legítimos.

• Enviar comunicado aos clientes: manter a transparência e a confiança, informando sobre o incidente e as medidas tomadas.

Essas ações combinadas visam minimizar o impacto do ataque, mantendo o serviço o mais operante possível e preservando a confiança dos usuários. É a abordagem recomendada pelas boas práticas de resposta a incidentes de segurança da informação.

Gabarito: letra E