Ataques L7: o que procurar

Cada ataque L7 deixa uma assinatura nos logs. Conhecer o padrão de cada um é o que transforma um oceano de requisições em hipóteses que dá para testar.

OWASP Automated ThreatsMITRE ATT&CKOWASP Top 10OWASP Core Rule Set

O que é

Ataques de camada 7 usam o próprio protocolo da aplicação (HTTP) para explorar lógica, credenciais ou capacidade. Muitos parecem tráfego legítimo requisição a requisição, e só o conjunto revela o padrão, por isso a detecção é, em grande parte, estatística e comportamental.

Seis padrões e a assinatura de cada um

: muitas tentativas de login com pares usuário/senha vazados, falhas (401) em volume, muitos IPs e user agents, poucas tentativas por conta.
DDoS L7: pico de requisições a poucos caminhos caros (busca, relatórios), muitos IPs, taxa por IP baixa mas agregada altíssima.
Forced browsing: varredura de caminhos inexistentes ou administrativos (/admin, /.git, /backup), explosão de 404 e 403 de uma origem.
Probing e : sequência de identificadores em ordem (/orders/1001, 1002, 1003...) com mesma sessão, em busca de acesso a objetos de outros usuários.
SSRF: parâmetros de URL apontando para endereços internos ou de metadados (169.254.169.254, localhost), em campos que a aplicação busca do lado do servidor.
Injeções (SQL, comando, template): caracteres e palavras-chave de sintaxe em parâmetros, cabeçalhos ou corpo, muitas vezes em tentativas de sondagem antes do ataque real.

Do padrão à hipótese de detecção

Para cada padrão, a pergunta é "que campo, em que janela e agrupado por quê denuncia isso?". Credential stuffing, por exemplo, não se vê no IP (a botnet distribui), mas se vê na razão de falhas por ASN ou por fingerprint, e no número de contas distintas tentadas por origem.

hipóteses por padrãotext

credential stuffing -> falhas de login / minuto por ASN, contas distintas por fingerprint
DDoS L7             -> reqs / minuto por path caro, razão vs baseline da hora
forced browsing     -> 404+403 por origem, paths distintos por janela
IDOR                -> IDs sequenciais por sessão, acessos negados a objetos alheios
SSRF                -> parâmetros com IP privado/metadata em campos de URL
injeção             -> tokens de sintaxe em parâmetros, repetidos e variando

Atacantes se adaptam

Quando você bloqueia por IP, o ataque muda de IP; quando bloqueia por user agent, ele rotaciona. As detecções mais duráveis ancoram em características difíceis de trocar: fingerprints, comportamento, a própria lógica do alvo. E toda mudança de padrão deve virar uma nova detecção ou um ajuste, registrada junto com o incidente que a motivou.

Credential stuffingAtaque que testa em massa pares usuário/senha vazados de outros serviços. Assinatura: muitas falhas de login distribuídas por muitos IPs, com poucas tentativas por conta.ver no glossário →IDORreferência direta insegura a objeto · BOLAA requisição nomeia um objeto (um id) e o servidor o devolve sem verificar se quem chama pode vê-lo. É a forma mais comum de controle de acesso quebrado e, em APIs, chama-se broken object level authorization.ver no glossário →

conexões no mapa

Telemetria de borda e aplicaçãorevelaAtaques L7: o que procurar
Ataques L7: o que procurarvira detecçãoEngenharia de detecção

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

em outros domínios

Inteligência de ameaçasresponseas técnicas observadas na borda alimentam a inteligência e vice-versa
A05 Injectionowaspvisto de fora: as assinaturas na borda

Desbloqueia

teste o que entendeu

Carregando perguntas…