Antes de tudo, um teste de stress, segundo [essa resposta do @guiandmag](https://pt.stackoverflow.com/a/93560/20615) é:
>O Teste de Stress consiste em submeter o software a situações extremas. Basicamente, o teste de estresse baseia-se em testar os limites do software e avaliar seu comportamento. Assim, avalia-se até quando o software pode ser exigido e quais as falhas (se existirem) decorrentes do teste.

Sempre utilizei o [JMeter][1] para testar minhas aplicações. Sempre forcei ao máximo e para obter o que necessitava. Porém, ontem eu decidi testar outros sistemas/sites que existem por aí, e para minha "surpresa", muitos deles caíram.   
Sendo mais específico, o que realizei foi uma requisição HTTP de 100 usuários a cada 0.2 segundos para uma determinada URL.

Minha primeira dúvida é: Isso pode ser considerado um ataque de **negação de serviço**? 
Levando em consideração que após sucesso ou falha dos testes eu não insisti novamente (sei que não justifica, mas quem sabe toca o coração de vocês rsrs).

Mas minha real dúvida é: **O sistema cair é falha de infra ou de programação?**

Vamos levar em consideração que você pode *facilmente* bloquear várias requisições pelo firewall ou outras ferramentas disponíveis. E também
podemos verificar os IP's pela aplicação e realizar a comparação (o @lbotinelly [nessa resposta][2]).

Com isso vem a minha dúvida. Devemos garantir essa segurança, deixar para a infra ou a melhor opção seria as duas?

Ao tentar fazer esse teste com sites grandes, como o Google pro exemplo, meu IP é bloqueado por um determinado período, como segurança. Creio que não dê para saber se isso é pelo sistema ou pela infra, mas essa é a melhor abordagem para tratar esse tipo de "ataque"?

----------
Para quem não conhece, [este tutorial][3] explica o que é JMeter e suas funcionalidades.


  [1]: http://jmeter.apache.org/
  [2]: https://pt.stackoverflow.com/a/6223/20615
  [3]: http://www.bugbang.com.br/destilando-jmeter-i-introducao-e-conceitos/