🗺️ As Camadas de Defesa Perimetral contra Ataques de Rede e Aplicação

flowchart TD
    subgraph ATTACK ["Ataques Maliciosos na Internet 🌊"]
        D1["DDoS Volumétrico L3/L4 (SYN Flood, UDP Amplification - 100 Gbps)"]
        D2["Ataques de Aplicação L7 (SQL Injection, XSS, Path Traversal, Bot Scraping)"]
    end

    subgraph DEFENSE ["Defesa Perimetral na Borda (Edge) 🛡️"]
        direction TB
        L3_FILTER["1. Mitigação Anycast DDoS L3/L4 (BGP Anycast Scrubbing Centers)"]
        WAF["2. WAF Camada 7 (OWASP Core Rule Set / ModSecurity / Coraza) ⚡"]
        RATE["3. Rate Limiter (Token Bucket / Leaky Bucket por IP e Sessão)"]
    end

    ATTACK ==> DEFENSE
    DEFENSE ==> APP["Servidores de Aplicação Limpos (Tráfego Legítimo 200 OK) 🟢"]

    style ATTACK fill:#ffebee,stroke:#d32f2f,stroke-width:1.5px
    style DEFENSE fill:#ede7f6,stroke:#512da8,stroke-width:2px
    style L3_FILTER fill:#fff3e0,stroke:#ff9800,stroke-width:1.5px
    style WAF fill:#00897b,stroke:#004d40,stroke-width:2px,color:#ffffff
    style RATE fill:#e1f5fe,stroke:#03a9f4,stroke-width:1.5px
    style APP fill:#e8f5e9,stroke:#4caf50,stroke-width:1.5px

📖 Fundamentos e Aplicação

Garantir a disponibilidade e a integridade de sistemas expostos na Internet requer uma estratégia de Defesa em Profundidade (Defense in Depth) capaz de mitigar desde inundações massivas de largura de banda na camada de transporte até explorações cirúrgicas de vulnerabilidades na camada de aplicação.

1. Firewalls de Rede (L3/L4) vs WAF (L7):

  • Firewalls de Rede (Stateful / iptables / nftables / Security Groups): Analisam apenas endereços IP de origem/destino, protocolos (TCP/UDP/ICMP) e portas.
  • WAF (Web Application Firewall): Inspeciona o corpo (payload), cabeçalhos e parâmetros de requisições HTTP/HTTPS, aplicando expressões regulares e regras semânticas (como o OWASP Core Rule Set - CRS) para neutralizar injeções de SQL, XSS, inclusão de arquivos locais (LFI) e ataques RCE.

2. Tipologia de Ataques DDoS (Distributed Denial of Service):

  • Ataques Volumétricos (L3/L4): SYN Flood, amplificação DNS/NTP. Mitigados via centros de limpeza de tráfego (Scrubbing Centers) e capacidade de absorção Anycast na casa dos Terabits por segundo.
  • Ataques de Esgotamento de Recursos (L7): HTTP Flood, Slowloris (manter centenas de conexões abertas enviando 1 byte por minuto para esgotar o pool de conexões do Apache).

3. Algoritmos de Rate Limiting:

  • Token Bucket: Permite rajadas (bursts) controladas de requisições, reabastecendo tokens a uma taxa constante por segundo.
  • Leaky Bucket: Suaviza o fluxo de saída a uma velocidade uniforme.