Questão de Segurança da Informação — Negação de Serviço (DoS) — VUNESP 2025

HTTP flood DDoS

Gabarito: letra B. O HTTP flood é uma variação do ataque de negação de serviço distribuído (DDoS) que consiste em sobrecarregar um servidor web com um grande volume de requisições HTTP que aparentam ser legítimas, consumindo recursos como CPU, memória e conexões, até causar degradação de desempenho ou indisponibilidade do serviço. As demais alternativas descrevem outros tipos de ataque: falsificação de certificado (A), injeção de SQL (C), injeção de JavaScript/XSS (D) e envio de e-mails falsos/phishing (E).

O ataque de negação de serviço (DoS) é uma técnica na qual um atacante utiliza um computador para tirar de operação um serviço, um computador ou uma rede conectada à Internet. Quando essa técnica é executada de forma coordenada e distribuída, ou seja, quando um conjunto de computadores é utilizado no ataque, recebe o nome de negação de serviço distribuído, ou DDoS (Distributed Denial of Service). O objetivo central é esgotar os recursos do alvo — como largura de banda, memória, processamento ou conexões simultâneas — para que ele não consiga mais atender aos usuários legítimos.

O HTTP flood é uma modalidade específica de DDoS que atua no nível de aplicação (camada 7 do modelo OSI). Em vez de explorar vulnerabilidades de protocolo como o SYN flood (que atua na camada de transporte), o atacante envia requisições HTTP completas e aparentemente válidas — como GETs e POSTs — para páginas do servidor. Como essas requisições são "bem formadas" e simulam o comportamento de usuários reais, elas são mais difíceis de distinguir do tráfego legítimo, o que dificulta a mitigação por firewalls e sistemas de detecção de intrusão tradicionais. O servidor, ao processar cada requisição, consome recursos até atingir seu limite e deixar de responder.

Na prática, imagine um site de e-commerce que suporta 10 mil conexões simultâneas. Um atacante, utilizando uma botnet com milhares de máquinas zumbis, dispara 100 mil requisições HTTP por segundo para a página de login. O servidor tenta processar todas, esgota sua capacidade de conexão e de processamento, e os clientes reais passam a receber erros de timeout ou a página simplesmente não carrega. O serviço fica indisponível — exatamente o objetivo do ataque.

A distinção que importa aqui é entre os diferentes tipos de ataque cibernético. O HTTP flood é um ataque de disponibilidade (negação de serviço), enquanto a injeção de SQL, o XSS e o phishing são ataques que visam a confidencialidade ou integridade dos dados. A banca explora justamente essa confusão: o candidato que não conhece a definição precisa de cada ataque pode se perder entre as alternativas que mencionam HTTP, formulários e e-mails.

A pegadinha desta questão é que todas as alternativas descrevem ataques reais, mas apenas uma corresponde ao HTTP flood. O candidato que sabe que HTTP flood é um ataque de negação de serviço no nível de aplicação acerta de imediato; o que não sabe, pode ser atraído por alternativas que mencionam "HTTP" (como a C e a D), mas que descrevem outros tipos de ataque. Guarde a fronteira: HTTP flood = sobrecarga de requisições HTTP legítimas para derrubar o serviço — é nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Descreve um ataque de falsificação de certificado digital SSL/TLS, também conhecido como ataque do homem no meio (man-in-the-middle) ou criação de site falso com certificado forjado. Esse ataque visa enganar o usuário para que ele acredite estar acessando um site legítimo, capturando suas credenciais ou dados. Não tem relação com sobrecarga de servidor ou negação de serviço.

Alternativa B — ✅ Correta ⟵ GABARITO

Define com precisão o HTTP flood DDoS: sobrecarregar um servidor web com requisições HTTP que parecem legítimas, consumindo recursos do sistema e causando degradação de desempenho ou queda do serviço. É exatamente o mecanismo desse ataque, que se enquadra na categoria de negação de serviço distribuída.

Alternativa C — ❌ Incorreta

Descreve o ataque de injeção de SQL (SQL Injection), que consiste em inserir comandos SQL maliciosos em campos de formulários para manipular o banco de dados. Embora utilize o protocolo HTTP como vetor de transporte, o objetivo é comprometer a integridade e a confidencialidade dos dados, não causar indisponibilidade do serviço.

Alternativa D — ❌ Incorreta

Descreve o ataque de Cross-Site Scripting (XSS), que consiste em injetar código JavaScript malicioso em páginas web para executar ações em nome de outros usuários. O XSS visa comprometer a confidencialidade das sessões dos usuários, não sobrecarregar o servidor.

Alternativa E — ❌ Incorreta

Descreve o phishing, uma técnica de engenharia social que utiliza e-mails falsos para enganar usuários e obter dados pessoais ou financeiros. O phishing não é um ataque de negação de serviço; seu objetivo é a coleta de informações sensíveis.

Gabarito: letra B.