8 coisas que os fornecedores de proteção contra DDoS não contam na hora da compra

Somos uma empresa de proteção e mitigação de DDoS. Portanto, leia isto com a devida desconfiança. Mas, após anos trabalhando com mitigação, percebemos que todo o setor, nós inclusive, continua publicando os mesmos números assustadores e omitindo discretamente as partes que realmente ajudariam você a fazer uma boa compra.

‍

Todos os relatórios de ameaças DDoS deste ano começaram com a mesma manchete: um 31.4 Tbps ataque recorde, o maior já registrado. Aterrorizante. Ótimo para o Twitter. Mas, em grande parte, irrelevante para você.

‍

O problema desses relatórios, e sim, nossa empresa também os publica, é que eles são criados para documentar tendências de ataques e ameaças emergentes — essa parte é genuína. No entanto, a forma como essas ameaças são apresentadas para influenciar sua decisão de compra tende a favorecer mais o fornecedor do que o leitor. E os fatos mais úteis para quem está realmente contratando proteção contra DDoS costumam ser aqueles que nunca aparecem nos PDFs elegantes.

‍

Então, aqui estão oito deles. Algumas dessas informações deixam nosso próprio setor em uma situação ruim. Mas você precisa saber, porque um comprador que entende os prós e contras é um cliente melhor do que aquele que decide com base no medo.

‍

1. O número gigante em Tbps não é o seu problema

Aquele ataque recorde ganhou as manchetes. Mas não é isso que derruba você.

‍

O ataque que realmente prejudica o seu negócio é pequeno. Um golpe curto, cirúrgico e na camada de aplicação que passa despercebido pelo seu limite de mitigação e esgota seu servidor web enquanto todos os painéis permanecem verdes. Os fornecedores adoram a manchete de terabits porque ela justifica a venda de uma enorme capacidade de scrubbing. Mas capacidade não é a sua lacuna.

‍

Estão tentando lhe vender um caminhão de bombeiros para um problema que é, na verdade, uma morte por mil cortes.

‍

Os dados da própria Nexusguard de 2025 contam a mesma história: os ataques volumétricos de pico cresceram 45,7% em relação ao ano anterior, enquanto os ataques de camada de aplicação de pico dispararam 67,6%, atingindo 1,04 milhão de requisições por segundo. A luta na camada 7 está acelerando mais rápido do que a volumétrica. Pergunte a qualquer fornecedor qual a porcentagem dos ataques que eles mitigam que realmente excede 100 Gbps e veja-os mudar de assunto. O recordista é o outdoor, não a ameaça.

‍

2. Seu SLA de “tempo de mitigação” mede a coisa errada

Os fornecedores anunciam a mitigação em segundos. “Menos de 3 segundos.” “Resposta abaixo de 10 segundos.” Parece ótimo.

‍

Leia as letras miúdas sobre o que está sendo medido. A maioria dos SLAs começa a contar o tempo quando o sistema detecta o ataque, não quando ele começa, e não quando seus usuários começam a ver erros. O intervalo entre “o tráfego chega” e “nós o sinalizamos” é exatamente a janela onde você sofre o prejuízo.

‍

Muitos ataques relâmpago duram menos de 60 segundos, do início ao fim. Um SLA de “mitigação abaixo de 10 segundos” parece rápido até você fazer as contas. Quando a mitigação entra em ação totalmente, um ataque relâmpago já terminou e o dano está feito.

‍

O que perguntar em vez disso: meça o tempo de mitigação desde o primeiro pacote malicioso até a mitigação total, por escrito, não a partir da detecção. O fornecedor que concordar com essa definição é o único com quem vale a pena conversar.

‍

3. “Ilimitado” e “sempre ativo” têm letras miúdas

“Mitigação ilimitada.” “Proteção sempre ativa.” Palavras bonitas. Agora procure a cláusula de uso justo.

‍

Muitos planos comercializados como ilimitados possuem limites de pico, limites mensais de eventos de mitigação ou uma cláusula de “reservamo-nos o direito” que o transfere para um nível mais caro no momento em que você é atacado seriamente. A proteção é ilimitada até o momento em que você precisa muito dela.

‍

Leia a cláusula que entra em vigor no seu pior dia, não a manchete que o convenceu no seu melhor.

‍

Isso não é escondido por malícia. "Ilimitado*" com um asterisco simplesmente converte melhor do que uma segmentação honesta. Encontre o asterisco antes de assinar, não durante um incidente.

‍

4. A verdadeira ameaça é a Camada 7, e ela está ficando mais barata

As inundações volumétricas ganham destaque porque geram gráficos impressionantes. Os ataques que vencem silenciosamente ocorrem na Camada 7, a camada de aplicação.

‍

Os ataques de L7 imitam usuários reais. Eles solicitam páginas reais, acessam APIs reais, preenchem carrinhos de compras reais. Eles não precisam ser enormes, eles precisam ser caros para o seu servidor responder. E graças a botnets baratas e solicitações geradas por IA, lançar um desses não custa quase nada. A Qrator registrou um aumento de 74% nos ataques de Camada 7 em relação ao ano anterior em 2025.

‍

Eis por que os fornecedores minimizam isso: a mitigação de L7 é difícil, é sutil e, se feita de forma inadequada, bloqueia seus clientes reais. Vender capacidade bruta de filtragem é mais fácil do que admitir que ataques sofisticados exigem uma conversa mais cuidadosa.

‍

5. A assustadora porcentagem de crescimento inclui as melhorias deles mesmos

“Ataques DDoS aumentaram 121% em relação ao ano anterior.” “Aumentaram 168%.” Os números sobem a cada relatório, a cada ano, para sempre.

‍

Parte desse crescimento é real, os ataques estão genuinamente aumentando. Mas parte dessa porcentagem impressionante é mais simples do que parece: o fornecedor ficou melhor em contar. Sensores melhores, mais clientes, detecção mais precisa. Quando você instala mais câmeras, você registra mais crimes. Isso nem sempre significa que mais crimes ocorreram.

‍

Uma estatística de crescimento é tão honesta quanto a nota de rodapé que explica como eles mediram o ano passado em comparação com este ano.

‍

Nenhum relatório que vi separa claramente "mais ataques ocorreram" de "detectamos mais dos ataques que sempre estiveram ocorrendo". Ambos inflam a manchete. Apenas um deveria te assustar. Trate a tendência como direcional, não como verdade absoluta.

‍

6. A garantia de tempo de atividade paga em créditos de serviço, não em receita

"Garantia de 100% de tempo de atividade." Leia o que você recebe quando eles falham.

‍

Em quase todos os contratos, a reparação para o tempo de inatividade é um crédito de serviço, um desconto na fatura do mês seguinte. Você perde seis dígitos em transações durante uma interrupção; você recebe algumas centenas de dólares de desconto na sua fatura. A "garantia" limita a responsabilidade do fornecedor a aproximadamente o que você pagou a eles, não o que você perdeu.

‍

Isso é padrão em todo o setor, inclusive no nosso, e existem razões reais para isso, nenhum fornecedor pode cobrir toda a sua receita. Mas a palavra "garantia" implica uma promessa que não é feita. Saiba o que você realmente tem a receber antes de precisar cobrar.

‍

7. A proteção sempre ativa tem um custo de latência que ninguém menciona

Rotear todo o seu tráfego através de uma rede de filtragem em tempo integral tem um custo, e não é apenas a fatura.

‍

Cada pacote agora é desviado para uma central de filtragem e retorna. Se essa central estiver longe dos seus usuários — por exemplo, um hub de filtragem em Singapura para o seu tráfego em Manila —, você adicionou latência a cada solicitação, com ou sem ataque. E durante um ataque ativo, algumas plataformas redirecionam dinamicamente usuários locais legítimos por rotas fora do país, o que significa que o ataque foi "mitigado com sucesso" no papel, enquanto usuários reais continuavam enfrentando sessões degradadas.

‍

Para um site de mídia, isso significa uma página mais lenta. Para uma plataforma de pagamentos ou uma API de negociação, esse é um número que seus clientes sentem e pelo qual seus engenheiros são cobrados.

‍

O que os fornecedores não contam voluntariamente: pergunte onde as centrais de filtragem deles estão localizadas fisicamente em relação aos seus usuários e qual latência elas adicionam em condições normais. Um fornecedor com infraestrutura próxima ao seu mercado responde na hora. Aquele que hesita está lhe dizendo algo.

‍

8. Você provavelmente já faz parte do ataque de outra pessoa

Aqui está o que ninguém quer colocar na capa, porque não há produto para vender contra isso.

‍

Aquela botnet mencionada no relatório de ameaças opera em dispositivos sequestrados, e alguns deles são quase certamente seus. Roteadores, câmeras e equipamentos de IoT dentro de empresas comuns compõem os milhões de nós por trás de ataques recordes.

‍

Uma botnet monitorada cresceu de 1,33 milhão de dispositivos em março de 2025 para 5,76 milhões no terceiro trimestre. O recorde de 2026 foi executado em cerca de 1 a 4 milhões desses dispositivos.

‍

Sua impressora de escritório pode estar atacando um banco agora mesmo. Os fornecedores vendem proteção contra ataques recebidos. Quase nenhum ajuda com o fato de que sua própria infraestrutura está sendo usada como munição. Como isso não gera faturamento, fica fora do relatório.

‍

Então, o que você realmente faz com isso

Nada disso significa que a proteção contra DDoS é uma farsa. Você precisa dela, a ameaça é real e um ataque sério sem um plano é um dia genuinamente terrível. Nós a vendemos porque ela funciona.

‍

Significa comprar como um cético. Pergunte como o tempo de mitigação é medido. Encontre o asterisco das políticas de uso aceitável. Faça com que falem sobre Camada 7, não apenas terabits.

‍

Pergunte onde a limpeza de tráfego está posicionada em relação aos seus usuários. Verifique o que a garantia de tempo de atividade realmente cobre. E audite seus próprios dispositivos antes que eles acabem em uma botnet.

‍

Esta é a perspectiva que norteou a construção da nossa própria infraestrutura. Proteção de Aplicações para ataques de Camada 7 que se escondem atrás dos números de destaque. Proteção de Origem que redireciona o tráfego volumétrico para centros de limpeza via BGP. Uma arquitetura multirregional que abrange o mundo todo, criada para oferecer baixa latência e soberania de dados onde quer que você opere.

‍

Preferimos que você questione isso a aceitar por fé.

‍

O fornecedor que vale a pena contratar é aquele que responde a essas perguntas sem hesitar, aquele que lhe diz o que sua proteção não faz, não apenas o que ele faz.

‍

Perguntas frequentes

Quanto custa a proteção contra DDoS?

Os valores variam muito. Níveis de entrada na nuvem começam gratuitos ou quase gratuitos; serviços gerenciados para o mercado intermediário custam aproximadamente de US$ 500 a US$ 3.000 por mês; a proteção para empresas e operadoras tem preços personalizados com base na capacidade e no SLA. A questão de custo mais importante são as taxas extras ocultas e as cláusulas de uso justo, não o preço de tabela; leia isso antes de comparar números.

‍

Vale a pena investir em proteção contra DDoS?

Para a maioria das empresas com receita vinculada ao tempo de atividade, sim. Os custos de proteção são medidos em centenas ou milhares por mês, enquanto um ataque sério custa milhares por minuto de inatividade, além dos danos à marca. A conta só não fecha se o seu risco real de ataque for genuinamente próximo de zero, o que é mais raro do que a maioria dos proprietários imagina.

‍

O que devo procurar em um provedor de DDoS?

Pergunte quatro coisas: como o tempo de mitigação é medido (a partir do primeiro pacote, não da detecção), onde os centros de limpeza (scrubbing centers) estão localizados em relação aos seus usuários, se o termo "ilimitado" esconde um limite de uso justo e como eles lidam com a Camada 7. Um provedor que responde a essas quatro perguntas claramente, e admite suas limitações, é melhor do que um que vende apenas manchetes.

‍

Quanto tempo leva, na prática, a mitigação de DDoS?

Soluções sempre ativas podem mitigar em segundos, enquanto configurações reativas baseadas em detecção podem levar de minutos a horas. O problema é como o fornecedor define o "início". Como ataques relâmpago agora duram menos de um minuto, insista que o SLA seja medido desde o primeiro pacote malicioso até a mitigação total, e não a partir do momento em que o sistema deles percebeu.

‍

Firewalls ou CDNs oferecem proteção suficiente contra DDoS?

Geralmente, não sozinhos. Firewalls são vulneráveis a ataques de exaustão de estado e não conseguem identificar tráfego malicioso dentro de protocolos confiáveis como HTTPS. CDNs absorvem muitos ataques volumétricos, mas deixam passar ataques direcionados à Camada 7. Ambos ajudam, mas nenhum substitui uma mitigação dedicada, ajustada ao seu tráfego real e ao seu perfil de risco.

‍

Quais são os custos ocultos na precificação da proteção contra DDoS?

Os principais problemas: cobranças por excedente durante ataques prolongados, largura de banda medida faturada em volumes de escala de ataque, pagamento em duplicidade por serviços redundantes e taxas adicionais por domínios ou portas extras. O custo de latência do roteamento sempre ativo também é um custo real; ele apenas aparece no seu desempenho, não na sua fatura.

‍

(Imagem: Gemini)