RECOMENDAÇÃO 03/2025

[TLP:CLEAR]

1. Os ataques Distributed Denial of Service (DDoS) representam uma grande ameaça à disponibilidade de redes e serviços na internet. Com o avanço das técnicas utilizadas por agentes mal-intencionados, esses ataques tornaram-se mais sofisticados, volumosos e recorrentes, comprometendo o funcionamento dos ativos computacionais e interrompendo operações essenciais.

2. Recomendamos aos membros da Rede Federal de Gestão de Incidentes Cibernéticos (REGIC) que adotem em seus Planos de Resposta a Incidentes, ações preventivas e testes reativos contra DDoS, considerando a hipótese de que um eventual ataque possa superar as proteções existentes.

3. Recomendamos, ainda, a adoção das seguintes medidas, priorizando o que é mais acessível e necessário para a infraestrutura de cada organização:

a. Preventivas

• Utilizar ferramentas de Security Information and Event Management (SIEM) para monitorar padrões anômalos de acesso.
• Implementar firewalls e Web Application Firewalls (WAFs) para detectar e bloquear tráfego suspeito.
• Segmentar redes críticas.
• Configurar Rate Limiting, uma limitação de requisições por segundo em servidores e APIs para evitar sobrecarga.
• Implementar a validação do acesso por Captchas e desafios computacionais em sistemas críticos.
• Implementar, se possível, Anycast Routing, distribuindo o tráfego em múltiplas redes para evitar sobrecargas.
• Limitar tráfego de regiões sem necessidade de acesso aos serviços.
• Contratar serviços especializados de mitigação de DDoS.
• Utilizar Content Delivery Networks (CDNs) para distribuição de carga.
• Utilizar recursos na nuvem para redundância e escalabilidade.

b. Resposta e Mitigação

• Monitorar e identificar os padrões de requisições maliciosas nos logs de acesso.
• Ajustar as configurações para bloqueio das conexões maliciosas utilizando os firewalls e WAFs.
• Desativar serviços não essenciais.
• Coordenar a resposta junto a Provedores de Acesso à Internet (ISPs) e fornecedores de serviços de nuvem para filtragem de tráfego em larga escala.
• Redirecionar o tráfego malicioso, com técnicas de Sinkhole Routing, que permite análise antes do descarte, ou Black Hole Routing, que bloqueia completamente o tráfego nocivo.
• Ativação de redes de proteção distribuídas, se possível, utilizar redes globais de mitigação de DDoS que filtram e absorvem ataques antes de chegarem ao servidor principal.

4. Em concordância com o previsto no Decreto 10.748/2021, o CTIR Gov solicita que as entidades responsáveis pelas ETIR Setoriais orientem a comunidade de suas respectivas áreas sobre o tratado nesta Recomendação, de acordo com suas diretrizes e políticas específicas.

5. O CTIR Gov adere ao padrão Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST):

• https://www.gov.br/ctir/pt-br/assuntos/tlp

Equipe CTIR Gov.

[TLP:CLEAR]