{"id":273,"date":"2026-07-03T15:36:55","date_gmt":"2026-07-03T18:36:55","guid":{"rendered":"https:\/\/flowspec.net.br\/blog\/?p=273"},"modified":"2026-07-03T18:33:53","modified_gmt":"2026-07-03T21:33:53","slug":"o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat","status":"publish","type":"post","link":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/","title":{"rendered":"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso."},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">DDoS em ISPs: quando o ataque vem de fora, mas tamb\u00e9m pode sair de dentro da sua pr\u00f3pria rede<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ataques DDoS em provedores de internet n\u00e3o podem mais ser tratados apenas como \u201cmuito tr\u00e1fego contra um IP\u201d. Em redes de ISPs, principalmente em ambientes com CGNAT, PPPoE, IPoE, m\u00faltiplos upstreams, IX, CDN, BNG\/BRAS e mitiga\u00e7\u00e3o via BGP Flowspec, a an\u00e1lise precisa ser muito mais profunda.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Um ataque pode estar entrando pela borda da rede.<br>Pode estar explorando portas espec\u00edficas.<br>Pode estar usando pacotes SYN, DNS, fragmenta\u00e7\u00e3o ou tr\u00e1fego inv\u00e1lido.<br>Pode estar mascarado em um padr\u00e3o aparentemente leg\u00edtimo.<br>E, em muitos casos, pode estar saindo da pr\u00f3pria rede do provedor por meio de clientes comprometidos atr\u00e1s do CGNAT.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esse \u00faltimo ponto \u00e9 um dos mais perigosos para ISPs.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Quando um cliente infectado, CPE comprometido, roteador com firmware vulner\u00e1vel, DVR, c\u00e2mera IP ou equipamento exposto participa de um ataque, o tr\u00e1fego sai pelo ASN do provedor. Para quem recebe o ataque, a origem pode parecer ser o IP p\u00fablico do provedor. Sem logs CGNAT, Radius Accounting e visibilidade de rede, o provedor fica sem resposta t\u00e9cnica r\u00e1pida.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Foi exatamente esse tipo de cen\u00e1rio que analisamos em um conjunto recente de eventos DDoS: m\u00faltiplas anomalias simult\u00e2neas, ataques externos, tr\u00e1fego SYN, eventos classificados como SSH, DNS, INVALID, FRAGMENT e, principalmente, origens internas CGNAT gerando tr\u00e1fego agressor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por confidencialidade, os destinos atacados n\u00e3o ser\u00e3o expostos neste artigo. O objetivo \u00e9 demonstrar a import\u00e2ncia da visibilidade, da mitiga\u00e7\u00e3o granular e da opera\u00e7\u00e3o especializada em redes de provedores.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">O erro comum: olhar apenas para o IP atacado<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Em muitos ISPs, a an\u00e1lise de DDoS ainda come\u00e7a com perguntas limitadas:<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">\u201cQual IP est\u00e1 sendo atacado?\u201d<br>\u201cQual cliente caiu?\u201d<br>\u201cVamos aplicar blackhole?\u201d<br>\u201cVamos bloquear o destino?\u201d<br>\u201cVamos abrir chamado com a operadora?\u201d<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Essas perguntas fazem parte do processo, mas n\u00e3o s\u00e3o suficientes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Uma opera\u00e7\u00e3o anti-DDoS profissional precisa responder tamb\u00e9m:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Quais s\u00e3o os IPs de origem?<\/li>\n\n\n\n<li>Quais blocos aparecem de forma recorrente?<\/li>\n\n\n\n<li>Qual porta de origem ou destino est\u00e1 sendo usada?<\/li>\n\n\n\n<li>O tr\u00e1fego \u00e9 TCP, UDP, ICMP ou fragmentado?<\/li>\n\n\n\n<li>O volume est\u00e1 em bits por segundo ou em pacotes por segundo?<\/li>\n\n\n\n<li>O ataque est\u00e1 vindo de fora ou saindo de dentro?<\/li>\n\n\n\n<li>Existe origem CGNAT participando do ataque?<\/li>\n\n\n\n<li>O tr\u00e1fego foi mitigado por Packet Filter, Cluster Filter ou BGP Flowspec?<\/li>\n\n\n\n<li>A regra aplicada foi precisa ou bloqueou tr\u00e1fego al\u00e9m do necess\u00e1rio?<\/li>\n\n\n\n<li>O provedor consegue correlacionar a origem CGNAT com o assinante?<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Sem essa vis\u00e3o, o provedor pode at\u00e9 conter parte do ataque, mas continua operando no escuro.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">O que foi observado na an\u00e1lise<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A an\u00e1lise mostrou dois grupos principais de tr\u00e1fego agressor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O primeiro grupo envolve <strong>origens p\u00fablicas externas<\/strong>, com concentra\u00e7\u00e3o em poucos blocos e participa\u00e7\u00e3o recorrente nos eventos de ataque.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O segundo grupo envolve <strong>origens internas CGNAT<\/strong>, indicando tr\u00e1fego agressor saindo da rede do pr\u00f3prio provedor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Essa separa\u00e7\u00e3o \u00e9 fundamental. Ataques de entrada exigem mitiga\u00e7\u00e3o para proteger a rede e os clientes. Ataques de sa\u00edda exigem rastreabilidade, investiga\u00e7\u00e3o, correla\u00e7\u00e3o com assinantes e a\u00e7\u00f5es de conten\u00e7\u00e3o interna.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Endere\u00e7os p\u00fablicos agressores identificados<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">No tr\u00e1fego externo, foi observada forte concentra\u00e7\u00e3o de origens no bloco <code>45.145.56.0\/24<\/code>, al\u00e9m de recorr\u00eancia no bloco <code>195.66.24.0\/24<\/code>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">As principais origens p\u00fablicas agressoras identificadas foram:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Origem agressora<\/th><th>Observa\u00e7\u00e3o t\u00e9cnica<\/th><\/tr><\/thead><tbody><tr><td><code>45.145.56.2<\/code><\/td><td>Origem observada nos eventos FLOW+SYN e SSH<\/td><\/tr><tr><td><code>45.145.56.22<\/code><\/td><td>Origem recorrente, tamb\u00e9m observada em a\u00e7\u00e3o de FilterCluster<\/td><\/tr><tr><td><code>45.145.56.217<\/code><\/td><td>Origem recorrente em eventos FLOW+SYN e SSH<\/td><\/tr><tr><td><code>45.145.56.218<\/code><\/td><td>Origem observada no in\u00edcio do evento<\/td><\/tr><tr><td><code>45.145.56.219<\/code><\/td><td>Uma das origens de maior destaque, com volume expressivo<\/td><\/tr><tr><td><code>45.145.56.220<\/code><\/td><td>Origem recorrente nos eventos SYN\/SSH<\/td><\/tr><tr><td><code>45.145.56.221<\/code><\/td><td>Origem recorrente, tamb\u00e9m observada em FilterCluster<\/td><\/tr><tr><td><code>45.145.56.223<\/code><\/td><td>Origem recorrente nos eventos SYN\/SSH<\/td><\/tr><tr><td><code>45.145.56.224<\/code><\/td><td>Origem observada com alarme ativo<\/td><\/tr><tr><td><code>45.145.56.225<\/code><\/td><td>Origem recorrente nos eventos iniciais<\/td><\/tr><tr><td><code>45.145.56.226<\/code><\/td><td>Origem observada com alarme ativo<\/td><\/tr><tr><td><code>45.145.56.227<\/code><\/td><td>Origem observada nos eventos SYN\/SSH<\/td><\/tr><tr><td><code>195.66.24.22<\/code><\/td><td>Origem recorrente em eventos FLOW+SYN e SSH<\/td><\/tr><tr><td><code>195.66.24.23<\/code><\/td><td>Origem recorrente em eventos FLOW+SYN e SSH<\/td><\/tr><tr><td><code>195.66.24.24<\/code><\/td><td>Origem recorrente com participa\u00e7\u00e3o relevante em FilterCluster<\/td><\/tr><tr><td><code>85.239.149.83<\/code><\/td><td>Origem isolada observada durante o evento<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Esse comportamento indica uma campanha distribu\u00edda com concentra\u00e7\u00e3o em poucos blocos de origem. Em uma opera\u00e7\u00e3o anti-DDoS bem estruturada, esse tipo de padr\u00e3o permite aplicar conten\u00e7\u00f5es tempor\u00e1rias por IP de origem, por prefixo ou por assinatura de tr\u00e1fego, dependendo do risco de falso positivo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Origens internas CGNAT identificadas<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Al\u00e9m das origens p\u00fablicas externas, foram identificadas origens internas CGNAT participando de tr\u00e1fego agressor. Esse ponto \u00e9 extremamente sens\u00edvel para provedores, pois indica que clientes internos podem estar originando ataques para fora da rede.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">As principais origens CGNAT observadas foram:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Origem CGNAT<\/th><th>Severidade operacional<\/th><th>Protocolos\/portas observados<\/th><\/tr><\/thead><tbody><tr><td><code>100.64.11.191<\/code><\/td><td>Cr\u00edtica<\/td><td>UDP, TCP, regras gen\u00e9ricas e tr\u00e1fego UDP\/65535<\/td><\/tr><tr><td><code>100.64.16.151<\/code><\/td><td>Alta<\/td><td>UDP, TCP, regras gen\u00e9ricas e tr\u00e1fego UDP\/65535<\/td><\/tr><tr><td><code>100.64.25.79<\/code><\/td><td>Alta<\/td><td>UDP, TCP, regras gen\u00e9ricas e tr\u00e1fego UDP\/65535<\/td><\/tr><tr><td><code>100.64.13.117<\/code><\/td><td>Alta<\/td><td>UDP\/65535 e UDP\/80<\/td><\/tr><tr><td><code>100.64.15.9<\/code><\/td><td>M\u00e9dia<\/td><td>UDP e TCP<\/td><\/tr><tr><td><code>100.64.11.53<\/code><\/td><td>M\u00e9dia<\/td><td>UDP<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">O endere\u00e7o <code>100.64.11.191<\/code> foi o caso mais expressivo, com grande quantidade de regras BGP Flowspec geradas ao longo do per\u00edodo analisado. Tamb\u00e9m houve recorr\u00eancia em <code>100.64.16.151<\/code>, <code>100.64.25.79<\/code> e <code>100.64.13.117<\/code>, com padr\u00f5es associados principalmente a UDP e porta de destino 65535.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em uma rede com CGNAT, esses IPs n\u00e3o identificam diretamente o assinante final. Eles precisam ser correlacionados com logs de sess\u00e3o, NAT, Radius, PPPoE\/IPoE, porta de atendimento, ONT, OLT e hor\u00e1rio exato do evento.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Portas e protocolos observados<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">As portas e protocolos mais relevantes foram:<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Porta \/ protocolo<\/th><th>Tipo<\/th><th>Interpreta\u00e7\u00e3o<\/th><\/tr><\/thead><tbody><tr><td><code>TCP\/22<\/code><\/td><td>Porta de origem<\/td><td>Tr\u00e1fego classificado como SSH, associado a SYN em alto volume<\/td><\/tr><tr><td><code>UDP\/53<\/code><\/td><td>Porta de destino<\/td><td>Vetor DNS<\/td><\/tr><tr><td><code>UDP\/65535<\/code><\/td><td>Porta de destino<\/td><td>Principal assinatura observada em ataques originados por CGNAT<\/td><\/tr><tr><td><code>UDP\/80<\/code><\/td><td>Porta de destino<\/td><td>Observada pontualmente em origem CGNAT<\/td><\/tr><tr><td><code>Protocol 17<\/code><\/td><td>UDP<\/td><td>Protocolo mais recorrente nas regras Flowspec internas<\/td><\/tr><tr><td><code>Protocol 6<\/code><\/td><td>TCP<\/td><td>Tamb\u00e9m observado em algumas regras Flowspec<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">A recorr\u00eancia de <code>UDP\/65535<\/code> \u00e9 um ponto t\u00e9cnico importante. Essa porta apareceu como assinatura clara em diferentes origens CGNAT, o que permite aplicar pol\u00edticas de conten\u00e7\u00e3o mais precisas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em vez de bloquear todo o tr\u00e1fego do cliente, a mitiga\u00e7\u00e3o pode ser aplicada de forma seletiva:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>origem espec\u00edfica;<\/li>\n\n\n\n<li>protocolo UDP;<\/li>\n\n\n\n<li>porta de destino 65535;<\/li>\n\n\n\n<li>a\u00e7\u00e3o de descarte;<\/li>\n\n\n\n<li>tempo de expira\u00e7\u00e3o;<\/li>\n\n\n\n<li>automa\u00e7\u00e3o via BGP Flowspec;<\/li>\n\n\n\n<li>posterior correla\u00e7\u00e3o com o assinante.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Essa abordagem reduz impacto colateral e evita interrup\u00e7\u00f5es desnecess\u00e1rias em tr\u00e1fego leg\u00edtimo.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Por que o ataque classificado como SSH precisa ser bem interpretado<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Um dos eventos observados foi classificado como SSH, com refer\u00eancia \u00e0 porta TCP\/22. Em an\u00e1lises DDoS, isso precisa ser interpretado com cuidado.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nem sempre um evento classificado como SSH significa que o destino estava sendo atacado na porta 22. Em muitos cen\u00e1rios, a classifica\u00e7\u00e3o pode estar associada \u00e0 porta de origem ou \u00e0 assinatura do fluxo.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ataques SYN podem usar portas conhecidas como origem para tentar burlar filtros simples, gerar confus\u00e3o na classifica\u00e7\u00e3o ou simular tr\u00e1fego leg\u00edtimo. Por isso, uma an\u00e1lise correta precisa olhar o fluxo completo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>IP de origem;<\/li>\n\n\n\n<li>IP de destino;<\/li>\n\n\n\n<li>porta de origem;<\/li>\n\n\n\n<li>porta de destino;<\/li>\n\n\n\n<li>flags TCP;<\/li>\n\n\n\n<li>volume em pps;<\/li>\n\n\n\n<li>distribui\u00e7\u00e3o temporal;<\/li>\n\n\n\n<li>recorr\u00eancia da origem;<\/li>\n\n\n\n<li>a\u00e7\u00e3o aplicada pelo filtro.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Essa \u00e9 a diferen\u00e7a entre olhar um alarme e fazer uma an\u00e1lise t\u00e9cnica de verdade.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">BGP Flowspec como ferramenta de mitiga\u00e7\u00e3o granular<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">BGP Flowspec \u00e9 uma das ferramentas mais importantes para mitiga\u00e7\u00e3o DDoS em redes de provedores.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diferente do blackhole tradicional, que normalmente remove todo o tr\u00e1fego para um destino, o Flowspec permite instalar regras espec\u00edficas diretamente na infraestrutura de roteamento.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Uma regra Flowspec pode considerar:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>IP de origem;<\/li>\n\n\n\n<li>IP de destino;<\/li>\n\n\n\n<li>protocolo;<\/li>\n\n\n\n<li>porta de origem;<\/li>\n\n\n\n<li>porta de destino;<\/li>\n\n\n\n<li>TCP flags;<\/li>\n\n\n\n<li>fragmenta\u00e7\u00e3o;<\/li>\n\n\n\n<li>ICMP type\/code;<\/li>\n\n\n\n<li>a\u00e7\u00e3o de descarte;<\/li>\n\n\n\n<li>rate-limit;<\/li>\n\n\n\n<li>redirect;<\/li>\n\n\n\n<li>marca\u00e7\u00e3o de tr\u00e1fego.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Na pr\u00e1tica, isso permite mitigar o vetor malicioso com muito mais precis\u00e3o.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Exemplo conceitual de a\u00e7\u00e3o poss\u00edvel:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>descartar tr\u00e1fego UDP para porta 65535 originado de um cliente CGNAT espec\u00edfico;<\/li>\n\n\n\n<li>bloquear SYN com assinatura espec\u00edfica vindo de um bloco agressor;<\/li>\n\n\n\n<li>aplicar descarte por origem reincidente;<\/li>\n\n\n\n<li>manter o tr\u00e1fego leg\u00edtimo passando;<\/li>\n\n\n\n<li>expirar a regra automaticamente ap\u00f3s o evento.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Essa granularidade \u00e9 essencial em ISPs, porque um bloqueio amplo demais pode gerar indisponibilidade para clientes que n\u00e3o t\u00eam rela\u00e7\u00e3o com o ataque.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">O risco operacional do CGNAT em ataques de sa\u00edda<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O CGNAT resolve um problema de escassez de IPv4, mas cria um desafio enorme para seguran\u00e7a, rastreabilidade e resposta a incidentes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Quando um ataque sai de um IP p\u00fablico compartilhado, a den\u00fancia de abuse normalmente chega apontando o IP p\u00fablico do provedor. Mas internamente, dezenas, centenas ou milhares de assinantes podem estar usando aquele mesmo IP p\u00fablico em janelas diferentes ou at\u00e9 simultaneamente, diferenciados apenas por portas NAT.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sem registros adequados, o provedor n\u00e3o consegue responder perguntas cr\u00edticas:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Qual cliente estava atr\u00e1s daquele IP no hor\u00e1rio do ataque?<\/li>\n\n\n\n<li>Qual porta NAT foi usada?<\/li>\n\n\n\n<li>Qual sess\u00e3o PPPoE ou IPoE estava ativa?<\/li>\n\n\n\n<li>Qual CPE originou o tr\u00e1fego?<\/li>\n\n\n\n<li>Qual ONT ou porta PON estava envolvida?<\/li>\n\n\n\n<li>O cliente \u00e9 reincidente?<\/li>\n\n\n\n<li>O equipamento est\u00e1 comprometido?<\/li>\n\n\n\n<li>Deve haver bloqueio, quarentena ou notifica\u00e7\u00e3o?<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Por isso, uma opera\u00e7\u00e3o anti-DDoS profissional precisa integrar detec\u00e7\u00e3o de tr\u00e1fego com rastreabilidade interna.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">N\u00e3o basta bloquear o ataque.<br>\u00c9 necess\u00e1rio identificar quem gerou o tr\u00e1fego.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Por que apenas firewall manual n\u00e3o resolve<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Muitos provedores ainda tentam lidar com DDoS usando apenas regras manuais de firewall.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Isso pode funcionar em incidentes pequenos, mas falha rapidamente em cen\u00e1rios reais.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Os principais problemas s\u00e3o:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>demora na resposta;<\/li>\n\n\n\n<li>alta chance de erro humano;<\/li>\n\n\n\n<li>aus\u00eancia de baseline;<\/li>\n\n\n\n<li>dificuldade de identificar portas e protocolos dominantes;<\/li>\n\n\n\n<li>baixa visibilidade por origem;<\/li>\n\n\n\n<li>aus\u00eancia de correla\u00e7\u00e3o com CGNAT;<\/li>\n\n\n\n<li>falta de automa\u00e7\u00e3o;<\/li>\n\n\n\n<li>incapacidade de gerar evid\u00eancia t\u00e9cnica p\u00f3s-incidente;<\/li>\n\n\n\n<li>risco de bloquear tr\u00e1fego leg\u00edtimo;<\/li>\n\n\n\n<li>dificuldade de responder abuse com precis\u00e3o.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ataques DDoS modernos mudam de vetor rapidamente. Enquanto a equipe analisa manualmente, o ataque j\u00e1 pode ter saturado CPU, tabela de estado, uplink, sess\u00e3o PPPoE, BNG, firewall ou appliance.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mitiga\u00e7\u00e3o DDoS precisa ser operacionalizada com sensores, thresholds, automa\u00e7\u00e3o e engenharia de rede.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Arquitetura recomendada para ISPs<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Uma arquitetura anti-DDoS eficiente para provedores deve combinar v\u00e1rias camadas:<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">1. Coleta de tr\u00e1fego<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>NetFlow;<\/li>\n\n\n\n<li>sFlow;<\/li>\n\n\n\n<li>IPFIX;<\/li>\n\n\n\n<li>Port Mirror quando necess\u00e1rio;<\/li>\n\n\n\n<li>sensores por borda, tr\u00e2nsito, IX, CDN e pontos cr\u00edticos.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">2. Detec\u00e7\u00e3o<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>an\u00e1lise por baseline;<\/li>\n\n\n\n<li>thresholds por perfil de cliente;<\/li>\n\n\n\n<li>thresholds por ASN;<\/li>\n\n\n\n<li>detec\u00e7\u00e3o por protocolo;<\/li>\n\n\n\n<li>detec\u00e7\u00e3o por porta;<\/li>\n\n\n\n<li>anomalias por pps e bps;<\/li>\n\n\n\n<li>classifica\u00e7\u00e3o por vetor.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">3. Mitiga\u00e7\u00e3o<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>BGP Flowspec;<\/li>\n\n\n\n<li>RTBH quando necess\u00e1rio;<\/li>\n\n\n\n<li>Packet Filter;<\/li>\n\n\n\n<li>Cluster Filter;<\/li>\n\n\n\n<li>filtros locais;<\/li>\n\n\n\n<li>integra\u00e7\u00e3o com roteadores de borda;<\/li>\n\n\n\n<li>a\u00e7\u00f5es autom\u00e1ticas e manuais controladas.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">4. Correla\u00e7\u00e3o<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>logs CGNAT;<\/li>\n\n\n\n<li>Radius Accounting;<\/li>\n\n\n\n<li>PPPoE\/IPoE;<\/li>\n\n\n\n<li>Option 82;<\/li>\n\n\n\n<li>MAC address;<\/li>\n\n\n\n<li>ONT\/OLT;<\/li>\n\n\n\n<li>BNG\/BRAS;<\/li>\n\n\n\n<li>registros de sess\u00e3o;<\/li>\n\n\n\n<li>logs de NAT por porta.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">5. Opera\u00e7\u00e3o<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li>SOC\/NOC acompanhando eventos;<\/li>\n\n\n\n<li>dashboards t\u00e9cnicos;<\/li>\n\n\n\n<li>alertas por severidade;<\/li>\n\n\n\n<li>relat\u00f3rios p\u00f3s-incidente;<\/li>\n\n\n\n<li>resposta a abuse;<\/li>\n\n\n\n<li>ajuste cont\u00ednuo de thresholds;<\/li>\n\n\n\n<li>redu\u00e7\u00e3o de falso positivo;<\/li>\n\n\n\n<li>processos de quarentena para clientes comprometidos.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Essa combina\u00e7\u00e3o permite que o provedor deixe de agir de forma reativa e passe a operar com visibilidade e controle.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">O papel da Flowspec Solutions<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">A Flowspec Solutions atua justamente nesse ponto: transformar tr\u00e1fego bruto em decis\u00e3o operacional.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em uma an\u00e1lise DDoS, n\u00e3o basta saber que \u201chouve ataque\u201d. \u00c9 necess\u00e1rio saber:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>qual foi o vetor;<\/li>\n\n\n\n<li>qual porta foi explorada;<\/li>\n\n\n\n<li>qual protocolo predominou;<\/li>\n\n\n\n<li>quais origens participaram;<\/li>\n\n\n\n<li>quais origens foram reincidentes;<\/li>\n\n\n\n<li>se o ataque veio de fora ou saiu de dentro;<\/li>\n\n\n\n<li>quais clientes CGNAT precisam ser investigados;<\/li>\n\n\n\n<li>qual regra foi aplicada;<\/li>\n\n\n\n<li>se a mitiga\u00e7\u00e3o foi efetiva;<\/li>\n\n\n\n<li>se houve risco de falso positivo;<\/li>\n\n\n\n<li>se h\u00e1 evid\u00eancia suficiente para resposta a abuse.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Nosso trabalho envolve implanta\u00e7\u00e3o, opera\u00e7\u00e3o e suporte de ambientes anti-DDoS para ISPs, incluindo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Wanguard;<\/li>\n\n\n\n<li>NetFlow, sFlow e IPFIX;<\/li>\n\n\n\n<li>BGP Flowspec;<\/li>\n\n\n\n<li>Packet Filter;<\/li>\n\n\n\n<li>Cluster Filter;<\/li>\n\n\n\n<li>mitiga\u00e7\u00e3o local;<\/li>\n\n\n\n<li>an\u00e1lise de ataques reais;<\/li>\n\n\n\n<li>relat\u00f3rios t\u00e9cnicos;<\/li>\n\n\n\n<li>dashboards operacionais;<\/li>\n\n\n\n<li>integra\u00e7\u00e3o com Grafana e bases de dados;<\/li>\n\n\n\n<li>resposta a abuse;<\/li>\n\n\n\n<li>correla\u00e7\u00e3o com CGNAT;<\/li>\n\n\n\n<li>suporte NOC\/SOC;<\/li>\n\n\n\n<li>tuning de thresholds;<\/li>\n\n\n\n<li>automa\u00e7\u00e3o de a\u00e7\u00f5es de mitiga\u00e7\u00e3o.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">O objetivo n\u00e3o \u00e9 apenas \u201cbloquear ataque\u201d. O objetivo \u00e9 manter o provedor operando, proteger os clientes, reduzir impacto, preservar tr\u00e1fego leg\u00edtimo e entregar rastreabilidade t\u00e9cnica.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mitiga\u00e7\u00e3o local: controle dentro da pr\u00f3pria rede<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Muitos ISPs dependem apenas de scrubbing externo ou blackhole remoto. Essas alternativas t\u00eam seu lugar, principalmente em ataques volum\u00e9tricos muito grandes, mas n\u00e3o substituem uma opera\u00e7\u00e3o local bem estruturada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A mitiga\u00e7\u00e3o local permite agir dentro da pr\u00f3pria rede do provedor, com maior controle e menor tempo de resposta.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Com uma arquitetura correta, o ISP consegue:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>detectar ataques em segundos;<\/li>\n\n\n\n<li>aplicar regras Flowspec automaticamente;<\/li>\n\n\n\n<li>bloquear vetores espec\u00edficos;<\/li>\n\n\n\n<li>conter origens p\u00fablicas agressoras;<\/li>\n\n\n\n<li>identificar clientes internos comprometidos;<\/li>\n\n\n\n<li>reduzir impacto sobre clientes leg\u00edtimos;<\/li>\n\n\n\n<li>gerar evid\u00eancia para abuse;<\/li>\n\n\n\n<li>ajustar thresholds conforme o perfil da rede;<\/li>\n\n\n\n<li>manter hist\u00f3rico t\u00e9cnico dos incidentes;<\/li>\n\n\n\n<li>evoluir a postura de seguran\u00e7a da opera\u00e7\u00e3o.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Em muitos casos, o diferencial n\u00e3o est\u00e1 apenas na ferramenta, mas em quem opera, interpreta e ajusta o ambiente.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">DDoS n\u00e3o \u00e9 apenas volume<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Um erro comum \u00e9 medir a gravidade de um DDoS apenas em Gbps.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Em redes reais, principalmente em ISPs, um ataque de menor volume em bits pode causar grande impacto se vier com alto volume de pacotes por segundo, fragmenta\u00e7\u00e3o, SYN flood, tr\u00e1fego inv\u00e1lido ou explora\u00e7\u00e3o de caminho cr\u00edtico.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Por isso, a an\u00e1lise precisa considerar:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>pacotes por segundo;<\/li>\n\n\n\n<li>bits por segundo;<\/li>\n\n\n\n<li>distribui\u00e7\u00e3o de origem;<\/li>\n\n\n\n<li>distribui\u00e7\u00e3o de portas;<\/li>\n\n\n\n<li>protocolos envolvidos;<\/li>\n\n\n\n<li>flags TCP;<\/li>\n\n\n\n<li>fragmenta\u00e7\u00e3o;<\/li>\n\n\n\n<li>reincid\u00eancia;<\/li>\n\n\n\n<li>comportamento por ASN;<\/li>\n\n\n\n<li>impacto em roteadores, firewalls e BNGs;<\/li>\n\n\n\n<li>efetividade da a\u00e7\u00e3o aplicada.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">DDoS \u00e9 um problema de engenharia de rede, opera\u00e7\u00e3o e seguran\u00e7a. N\u00e3o \u00e9 apenas um gr\u00e1fico alto.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">A import\u00e2ncia da resposta p\u00f3s-incidente<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Depois que o ataque termina, o trabalho ainda n\u00e3o acabou.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Uma opera\u00e7\u00e3o madura precisa gerar um relat\u00f3rio t\u00e9cnico com:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>hor\u00e1rio de in\u00edcio;<\/li>\n\n\n\n<li>hor\u00e1rio de t\u00e9rmino;<\/li>\n\n\n\n<li>vetores identificados;<\/li>\n\n\n\n<li>portas envolvidas;<\/li>\n\n\n\n<li>protocolos;<\/li>\n\n\n\n<li>origens agressoras;<\/li>\n\n\n\n<li>a\u00e7\u00f5es aplicadas;<\/li>\n\n\n\n<li>regras Flowspec;<\/li>\n\n\n\n<li>impacto observado;<\/li>\n\n\n\n<li>reincid\u00eancia;<\/li>\n\n\n\n<li>recomenda\u00e7\u00f5es;<\/li>\n\n\n\n<li>evid\u00eancias para abuse;<\/li>\n\n\n\n<li>lista de clientes internos a investigar, quando houver CGNAT.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Esse relat\u00f3rio permite que o provedor aprenda com o incidente e melhore sua postura de seguran\u00e7a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Sem relat\u00f3rio, cada ataque vira apenas mais um susto.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Com relat\u00f3rio, o ataque vira intelig\u00eancia operacional.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Conclus\u00e3o<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">O caso analisado mostra uma realidade cada vez mais comum em ISPs: o ataque pode vir de fora, mas tamb\u00e9m pode sair de dentro.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Foram observadas origens p\u00fablicas agressoras concentradas principalmente nos blocos <code>45.145.56.0\/24<\/code> e <code>195.66.24.0\/24<\/code>, al\u00e9m de origens internas CGNAT como <code>100.64.11.191<\/code>, <code>100.64.16.151<\/code>, <code>100.64.25.79<\/code>, <code>100.64.13.117<\/code>, <code>100.64.15.9<\/code> e <code>100.64.11.53<\/code>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">As portas e protocolos mais relevantes foram <code>TCP\/22<\/code>, <code>UDP\/53<\/code>, <code>UDP\/65535<\/code>, <code>UDP\/80<\/code>, <code>protocol 17<\/code> e <code>protocol 6<\/code>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">O destaque t\u00e9cnico fica para o uso recorrente de <code>UDP\/65535<\/code> em tr\u00e1fego originado por CGNAT, mostrando a import\u00e2ncia de filtros granulares, correla\u00e7\u00e3o com assinantes e automa\u00e7\u00e3o via BGP Flowspec.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Para provedores, a li\u00e7\u00e3o \u00e9 clara: n\u00e3o basta ter link, roteador e firewall. \u00c9 necess\u00e1rio ter visibilidade, mitiga\u00e7\u00e3o, automa\u00e7\u00e3o e opera\u00e7\u00e3o especializada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">A Flowspec Solutions ajuda ISPs a implantar e operar ambientes anti-DDoS com foco em mitiga\u00e7\u00e3o local, BGP Flowspec, NetFlow, Wanguard, an\u00e1lise de ataques, resposta a abuse e suporte t\u00e9cnico durante incidentes reais.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">DDoS n\u00e3o se resolve apenas bloqueando tr\u00e1fego.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">DDoS se resolve com engenharia, visibilidade, automa\u00e7\u00e3o e opera\u00e7\u00e3o especializada.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><\/p>\n","protected":false},"excerpt":{"rendered":"<p>DDoS em ISPs: quando o ataque vem de fora, mas tamb\u00e9m pode sair de dentro da sua pr\u00f3pria rede Ataques DDoS em provedores de internet n\u00e3o podem mais ser tratados apenas como \u201cmuito tr\u00e1fego contra um IP\u201d. Em redes de ISPs, principalmente em ambientes com CGNAT, PPPoE, IPoE, m\u00faltiplos upstreams, IX, CDN, BNG\/BRAS e mitiga\u00e7\u00e3o [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":274,"comment_status":"open","ping_status":"open","sticky":true,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,1],"tags":[12,13],"class_list":["post-273","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-protecao-contra-ataques-ddos","category-uncategorized","tag-banner-principal","tag-destaque"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.0 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso. - Flowspec Blog<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/\" \/>\n<meta property=\"og:locale\" content=\"pt_BR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso. - Flowspec Blog\" \/>\n<meta property=\"og:description\" content=\"DDoS em ISPs: quando o ataque vem de fora, mas tamb\u00e9m pode sair de dentro da sua pr\u00f3pria rede Ataques DDoS em provedores de internet n\u00e3o podem mais ser tratados apenas como \u201cmuito tr\u00e1fego contra um IP\u201d. Em redes de ISPs, principalmente em ambientes com CGNAT, PPPoE, IPoE, m\u00faltiplos upstreams, IX, CDN, BNG\/BRAS e mitiga\u00e7\u00e3o [&hellip;]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/\" \/>\n<meta property=\"og:site_name\" content=\"Flowspec Blog\" \/>\n<meta property=\"article:published_time\" content=\"2026-07-03T18:36:55+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-07-03T21:33:53+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/flowspec.net.br\/blog\/wp-content\/uploads\/2026\/07\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1672\" \/>\n\t<meta property=\"og:image:height\" content=\"941\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"author\" content=\"flowspec\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Escrito por\" \/>\n\t<meta name=\"twitter:data1\" content=\"flowspec\" \/>\n\t<meta name=\"twitter:label2\" content=\"Est. tempo de leitura\" \/>\n\t<meta name=\"twitter:data2\" content=\"14 minutos\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/\"},\"author\":{\"name\":\"flowspec\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/#\\\/schema\\\/person\\\/5117ef0b5eab88e039773cd18a8f2c15\"},\"headline\":\"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso.\",\"datePublished\":\"2026-07-03T18:36:55+00:00\",\"dateModified\":\"2026-07-03T21:33:53+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/\"},\"wordCount\":2665,\"commentCount\":0,\"image\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png\",\"keywords\":[\"banner principal\",\"destaque\"],\"articleSection\":[\"Prote\u00e7\u00e3o contra ataques DDoS\",\"Uncategorized\"],\"inLanguage\":\"pt-BR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/\",\"url\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/\",\"name\":\"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso. - Flowspec Blog\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png\",\"datePublished\":\"2026-07-03T18:36:55+00:00\",\"dateModified\":\"2026-07-03T21:33:53+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/#\\\/schema\\\/person\\\/5117ef0b5eab88e039773cd18a8f2c15\"},\"breadcrumb\":{\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#breadcrumb\"},\"inLanguage\":\"pt-BR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-BR\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#primaryimage\",\"url\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png\",\"contentUrl\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/wp-content\\\/uploads\\\/2026\\\/07\\\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png\",\"width\":1672,\"height\":941},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"In\u00edcio\",\"item\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso.\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/#website\",\"url\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/\",\"name\":\"Flowspec Blog\",\"description\":\"Flowspec Solutions \u00e9 uma empresa de Telecomunica\u00e7\u00f5es focada em mitiga\u00e7\u00e3o de ataques DDoS\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"pt-BR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/#\\\/schema\\\/person\\\/5117ef0b5eab88e039773cd18a8f2c15\",\"name\":\"flowspec\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"pt-BR\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/c3a082caca1a9a15a83dbfe4975070ea89416d363c4dab9664a8eb940f5c53a7?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/c3a082caca1a9a15a83dbfe4975070ea89416d363c4dab9664a8eb940f5c53a7?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/c3a082caca1a9a15a83dbfe4975070ea89416d363c4dab9664a8eb940f5c53a7?s=96&d=mm&r=g\",\"caption\":\"flowspec\"},\"sameAs\":[\"https:\\\/\\\/flowspec.net.br\\\/blog\"],\"url\":\"https:\\\/\\\/flowspec.net.br\\\/blog\\\/author\\\/flowspec\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso. - Flowspec Blog","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/","og_locale":"pt_BR","og_type":"article","og_title":"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso. - Flowspec Blog","og_description":"DDoS em ISPs: quando o ataque vem de fora, mas tamb\u00e9m pode sair de dentro da sua pr\u00f3pria rede Ataques DDoS em provedores de internet n\u00e3o podem mais ser tratados apenas como \u201cmuito tr\u00e1fego contra um IP\u201d. Em redes de ISPs, principalmente em ambientes com CGNAT, PPPoE, IPoE, m\u00faltiplos upstreams, IX, CDN, BNG\/BRAS e mitiga\u00e7\u00e3o [&hellip;]","og_url":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/","og_site_name":"Flowspec Blog","article_published_time":"2026-07-03T18:36:55+00:00","article_modified_time":"2026-07-03T21:33:53+00:00","og_image":[{"width":1672,"height":941,"url":"https:\/\/flowspec.net.br\/blog\/wp-content\/uploads\/2026\/07\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png","type":"image\/png"}],"author":"flowspec","twitter_card":"summary_large_image","twitter_misc":{"Escrito por":"flowspec","Est. tempo de leitura":"14 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#article","isPartOf":{"@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/"},"author":{"name":"flowspec","@id":"https:\/\/flowspec.net.br\/blog\/#\/schema\/person\/5117ef0b5eab88e039773cd18a8f2c15"},"headline":"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso.","datePublished":"2026-07-03T18:36:55+00:00","dateModified":"2026-07-03T21:33:53+00:00","mainEntityOfPage":{"@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/"},"wordCount":2665,"commentCount":0,"image":{"@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#primaryimage"},"thumbnailUrl":"https:\/\/flowspec.net.br\/blog\/wp-content\/uploads\/2026\/07\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png","keywords":["banner principal","destaque"],"articleSection":["Prote\u00e7\u00e3o contra ataques DDoS","Uncategorized"],"inLanguage":"pt-BR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/","url":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/","name":"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso. - Flowspec Blog","isPartOf":{"@id":"https:\/\/flowspec.net.br\/blog\/#website"},"primaryImageOfPage":{"@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#primaryimage"},"image":{"@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#primaryimage"},"thumbnailUrl":"https:\/\/flowspec.net.br\/blog\/wp-content\/uploads\/2026\/07\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png","datePublished":"2026-07-03T18:36:55+00:00","dateModified":"2026-07-03T21:33:53+00:00","author":{"@id":"https:\/\/flowspec.net.br\/blog\/#\/schema\/person\/5117ef0b5eab88e039773cd18a8f2c15"},"breadcrumb":{"@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#breadcrumb"},"inLanguage":"pt-BR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/"]}]},{"@type":"ImageObject","inLanguage":"pt-BR","@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#primaryimage","url":"https:\/\/flowspec.net.br\/blog\/wp-content\/uploads\/2026\/07\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png","contentUrl":"https:\/\/flowspec.net.br\/blog\/wp-content\/uploads\/2026\/07\/ChatGPT-Image-3-de-jul.-de-2026-15_34_37.png","width":1672,"height":941},{"@type":"BreadcrumbList","@id":"https:\/\/flowspec.net.br\/blog\/o-ataque-ddos-pode-estar-saindo-do-seu-proprio-cgnat\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"In\u00edcio","item":"https:\/\/flowspec.net.br\/blog\/"},{"@type":"ListItem","position":2,"name":"O ataque DDoS pode estar saindo do seu pr\u00f3prio CGNAT \u2014 e voc\u00ea talvez nem saiba qual cliente est\u00e1 gerando isso."}]},{"@type":"WebSite","@id":"https:\/\/flowspec.net.br\/blog\/#website","url":"https:\/\/flowspec.net.br\/blog\/","name":"Flowspec Blog","description":"Flowspec Solutions \u00e9 uma empresa de Telecomunica\u00e7\u00f5es focada em mitiga\u00e7\u00e3o de ataques DDoS","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/flowspec.net.br\/blog\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"pt-BR"},{"@type":"Person","@id":"https:\/\/flowspec.net.br\/blog\/#\/schema\/person\/5117ef0b5eab88e039773cd18a8f2c15","name":"flowspec","image":{"@type":"ImageObject","inLanguage":"pt-BR","@id":"https:\/\/secure.gravatar.com\/avatar\/c3a082caca1a9a15a83dbfe4975070ea89416d363c4dab9664a8eb940f5c53a7?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/c3a082caca1a9a15a83dbfe4975070ea89416d363c4dab9664a8eb940f5c53a7?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/c3a082caca1a9a15a83dbfe4975070ea89416d363c4dab9664a8eb940f5c53a7?s=96&d=mm&r=g","caption":"flowspec"},"sameAs":["https:\/\/flowspec.net.br\/blog"],"url":"https:\/\/flowspec.net.br\/blog\/author\/flowspec\/"}]}},"views":302,"_links":{"self":[{"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/posts\/273","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/comments?post=273"}],"version-history":[{"count":1,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/posts\/273\/revisions"}],"predecessor-version":[{"id":275,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/posts\/273\/revisions\/275"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/media\/274"}],"wp:attachment":[{"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/media?parent=273"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/categories?post=273"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/flowspec.net.br\/blog\/wp-json\/wp\/v2\/tags?post=273"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}