Durante uma análise recente de eventos DDoS em uma infraestrutura de ISP, identificamos um cenário que ilustra perfeitamente como os ataques evoluíram. Hoje, o desafio não é apenas identificar que existe um ataque em andamento, mas compreender quem está atacando, quais vetores estão sendo utilizados, quais portas predominam e quais padrões se repetem.

Por questões de confidencialidade, todos os prefixos e vítimas foram omitidos. O objetivo deste artigo é compartilhar a inteligência obtida a partir da análise dos agressores e demonstrar como uma operação especializada consegue transformar milhões de pacotes por segundo em informações acionáveis para o NOC/SOC.

---

O ataque começou como SYN Flood, mas não era apenas isso

Os alarmes identificaram diversos vetores simultâneos:

• TCP+SYN
• FLOW+SYN
• TCP+SYNACK
• TCP+RST
• SSH
• IPv4 Flood
• Fragmentation

Ou seja, não era um único ataque volumétrico.

Era uma campanha composta por diversos vetores diferentes ocorrendo praticamente ao mesmo tempo.

Esse tipo de comportamento é extremamente comum atualmente, principalmente em botnets distribuídas.

---

O grande indicador: pacotes por segundo

Embora boa parte do mercado ainda utilize apenas Gbps como métrica de severidade, os maiores impactos observados ocorreram em pacotes por segundo (pps).

Durante o incidente foram observados picos como:

Vetor	Pico observado
FLOW+SYN	10,2 Mpps
IPv4 Flood	10,4 Mpps
TCP+SYN	8.22 Mpps
FLOW+SYN (outro evento)	52,3 Mpps
TCP+SYNACK	45,3 Mpps
SSH	14 Mpps
TCP+RST	12,4 Mpps

Isso demonstra que equipamentos que suportam grandes volumes em Gbps podem apresentar degradação severa quando submetidos a milhões de pacotes pequenos por segundo.

---

Portas identificadas

Uma das informações mais relevantes da análise foi a identificação das portas utilizadas pelos agressores.

TCP 22 (SSH)

O vetor mais recorrente foi classificado como SSH.

Entretanto, tecnicamente, o que chamou atenção foi a enorme concentração de fluxos utilizando:

TCP Source Port 22

Durante o evento foram observados:

• pico superior a 11 milhões pps
• diversas regras automáticas via PacketFilter e FilterCluster

Isso normalmente indica:

• scanners automatizados;
• botnets;
• equipamentos Linux comprometidos;
• servidores expostos utilizados para ataques distribuídos.

---

TCP SYN

Outro vetor extremamente recorrente foi:

• TCP SYN

Característico de:

• SYN Flood
• exaustão de tabelas de conexão
• ataques contra firewalls
• ataques contra load balancers
• ataques contra servidores Web

---

TCP SYN+ACK

Também houve um volume significativo de:

• SYNACK

Esse padrão normalmente aparece quando:

• há spoofing parcial;
• respostas sendo refletidas;
• ataques distribuídos utilizando sessões parcialmente estabelecidas.

---

TCP RST

Outro comportamento observado:

• TCP RST

Esse tipo de tráfego geralmente está associado a:

• scanners agressivos;
• reset de conexões;
• tentativas de derrubar sessões estabelecidas.

---

Principais origens agressoras

A análise mostrou dezenas de IPs diferentes distribuídos globalmente.

Os endereços mais recorrentes foram:

Grupo 1

• 148.135.0.242
• 198.20.82.226
• 5.202.6.67
• 94.182.157.184
• 185.236.37.15

Esses cinco IPs responderam pelos maiores volumes observados no FilterCluster.

Alguns deles ultrapassaram:

• 66 mil pps
• 31,7 Mbps
• dezenas de milhões de pacotes processados

---

Grupo 2

Também apareceram de forma recorrente:

• 103.109.120.110
• 131.221.33.132
• 202.69.171.60
• 67.220.64.66
• 78.110.122.191
• 54.37.226.36
• 74.50.96.173
• 223.84.236.3
• 159.253.56.70
• 179.61.232.3
• 213.176.120.9

Todos apresentando comportamento compatível com campanhas distribuídas.

---

Outras origens observadas

Também participaram da campanha:

• 89.150.45.50
• 164.37.104.198
• 158.160.138.117
• 159.195.148.238
• 159.195.148.175
• 193.178.226.215
• 178.176.128.128
• 31.129.42.97
• 51.250.118.188
• 62.60.228.183
• 209.42.198.252

Apesar do menor volume individual, apresentaram recorrência em diferentes vetores (FLOW+SYN, SSH, TCP+RST e TCP+SYNACK), indicando uma infraestrutura distribuída.

---

O que esse padrão revela?

Existem alguns indicadores importantes.

Não é um único servidor atacando

Os IPs pertencem a diferentes países, ASNs e provedores.

Isso caracteriza um ataque distribuído.

---

Alta probabilidade de botnet

A enorme dispersão geográfica das origens indica utilização de:

• VPS comprometidas;
• servidores alugados;
• equipamentos IoT;
• CPEs vulneráveis;
• máquinas Linux comprometidas.

---

Diversificação de vetores

O atacante alterna continuamente entre:

• SYN
• SYNACK
• RST
• SSH
• IPv4 Flood
• Fragmentação

Essa mudança constante dificulta a mitigação baseada apenas em ACLs estáticas.

---

Como o BGP Flowspec ajudou

Durante o evento foram criadas diversas regras automáticas de mitigação utilizando:

• PacketFilter
• PacketCluster
• FilterCluster
• BGP Flowspec

Essa abordagem permite bloquear exatamente o comportamento malicioso sem necessidade de indisponibilizar todo o prefixo.

Em vez de simplesmente anunciar blackhole para um destino inteiro, é possível criar regras considerando:

• IP de origem;
• protocolo;
• portas;
• flags TCP;
• fragmentação;
• taxa de pacotes.

Essa granularidade reduz significativamente o impacto sobre tráfego legítimo.

---

O erro que muitos provedores ainda cometem

Ainda é comum encontrar ISPs cuja resposta a um ataque consiste apenas em:

• aplicar blackhole;
• bloquear um IP;
• esperar o ataque terminar.

Essa estratégia já não atende aos ataques modernos.

Hoje é necessário responder perguntas como:

• Qual vetor predominou?
• Quais portas aparecem com maior frequência?
• Existe reincidência das mesmas origens?
• Quais IPs merecem entrar em listas de observação?
• Existe padrão geográfico?
• A mitigação reduziu efetivamente o ataque?

Sem essas respostas, o ISP continua operando de forma reativa.

---

Inteligência operacional vale mais que um firewall

A diferença entre uma rede protegida e uma rede apenas “com firewall” está justamente na inteligência operacional.

Uma operação madura utiliza:

• NetFlow
• sFlow
• IPFIX
• Wanguard
• Packet Filter
• Filter Cluster
• BGP Flowspec
• Dashboards
• Correlação de eventos
• Relatórios pós-incidente

Isso permite responder em segundos, e não em dezenas de minutos.

---

Como a Flowspec Solutions atua

Na Flowspec Solutions, nosso trabalho vai muito além de instalar uma ferramenta.

Nossa equipe atua diretamente em:

• implantação de ambientes anti-DDoS;
• análise de ataques reais;
• tuning de thresholds;
• integração NetFlow/IPFIX;
• BGP Flowspec;
• Packet Filter;
• Cluster Filter;
• mitigação local;
• dashboards técnicos;
• correlação de eventos;
• suporte NOC/SOC durante incidentes.

Nosso objetivo é permitir que o ISP identifique rapidamente:

• quem está atacando;
• qual vetor está sendo utilizado;
• qual regra deve ser aplicada;
• como manter os clientes online durante o ataque.

---

Conclusão

O incidente analisado mostra uma tendência clara dos ataques modernos:

• múltiplos vetores simultâneos;
• milhares a milhões de pacotes por segundo;
• dezenas de origens distribuídas globalmente;
• predominância de TCP SYN, TCP SYNACK, TCP RST e SSH (porta TCP 22);
• mitigação automatizada via PacketFilter, FilterCluster e BGP Flowspec.

A grande lição é que mitigar DDoS não significa apenas bloquear tráfego.

Significa transformar milhões de pacotes em inteligência operacional, reduzir falsos positivos e responder rapidamente com ações precisas.

É exatamente esse modelo de operação que a Flowspec Solutions entrega para ISPs que buscam proteger sua infraestrutura com visibilidade, automação e engenharia especializada.