Ataques de red habituales: DoS, spoofing y MITM

Un ataque de denegación de servicio (DoS) tiene como objetivo impedir que los usuarios legítimos puedan utilizar un sistema, servicio o red, ya sea saturándolo con tráfico o explotando una vulnerabilidad que provoque su caída. Los ataques DoS afectan al pilar de Disponibilidad de la tríada CIA. Un ataque DoS de una sola fuente es relativamente fácil de bloquear limitando la tasa de tráfico de la IP de origen; sin embargo, muchos ataques modernos utilizan varias fuentes simultáneamente, lo que dificulta mucho más la mitigación.

Un ataque DDoS utiliza miles o millones de dispositivos comprometidos (una botnet) para inundar un objetivo desde muchas direcciones de origen diferentes de forma simultánea. Esto hace que resulte poco práctico bloquear por IP de origen. Los ataques DDoS se clasifican como volumétricos (saturan el ancho de banda, por ejemplo, una inundación UDP), de protocolo (agotan recursos con estado, por ejemplo, una inundación SYN) o de capa de aplicación (agotan la capacidad del servidor mediante solicitudes HTTP con apariencia legítima, por ejemplo, Slowloris). Los servicios de mitigación como Cloudflare, Akamai y AWS Shield absorben los ataques volumétricos antes de que lleguen al origen.

Los ataques de amplificación aprovechan protocolos que generan respuestas mucho mayores que la solicitud inicial. La amplificación DNS utiliza una pequeña consulta UDP para generar una respuesta hasta 70 veces mayor, dirigida por completo a la víctima. La amplificación NTP monlist puede alcanzar un factor de amplificación de 4.000 veces. El atacante suplanta la IP de la víctima como dirección de origen para que miles de reflectores envíen sus respuestas de gran tamaño a la víctima; por eso también se denomina ataque de reflexión. Entre las medidas de mitigación se incluyen BCP38 (validación de direcciones de origen en el nivel del ISP) y la desactivación de los servicios de amplificación.

La suplantación de IP consiste en crear paquetes con una dirección IP de origen falsificada. Se utiliza en ataques de reflexión DoS/DDoS, para eludir listas de control de acceso basadas en IP y para ocultar la verdadera ubicación del atacante. Se requieren privilegios de raw socket para enviar paquetes con una IP suplantada. Entre las defensas se incluye el filtrado de entrada (BCP38), que indica a los ISP y routers que descarten los paquetes que lleguen por una interfaz con una IP de origen que legítimamente no podría proceder de esa red. Los firewalls con estado también ayudan al rechazar paquetes entrantes no solicitados que no coincidan con sesiones establecidas.

La suplantación de ARP (también llamada envenenamiento de ARP) consiste en enviar respuestas ARP no solicitadas que asocian la dirección MAC del atacante con una dirección IP legítima. Los hosts que reciben la actualización ARP falsa actualizan su caché ARP y envían a la dirección MAC del atacante el tráfico destinado a esa IP. Esto permite realizar ataques de intermediario en segmentos locales. Herramientas como Arpspoof, Ettercap y Bettercap automatizan este ataque. Entre las defensas se incluye Dynamic ARP Inspection (DAI) en switches administrados, que valida los paquetes ARP comparándolos con una tabla de vinculación de DHCP snooping de confianza.

Un ataque de intermediario (MitM) ocurre cuando un atacante retransmite en secreto y puede modificar las comunicaciones entre dos partes que creen estar comunicándose directamente entre sí. Un ataque MitM puede lograrse mediante suplantación de ARP, suplantación de DNS, puntos de acceso Wi-Fi maliciosos o secuestro de rutas BGP. Una vez situado en medio, el atacante puede espiar, inyectar contenido, eliminar el cifrado (SSL stripping) o reproducir credenciales. La defensa principal es la autenticación mutua y el cifrado: TLS con certificados válidos evita la mayoría de los ataques MitM porque el cliente puede verificar la identidad del servidor.

El envenenamiento de caché DNS inyecta registros DNS maliciosos en la caché de un resolvedor, de modo que los nombres de dominio legítimos se resuelven en direcciones IP controladas por el atacante. El ataque clásico de Kaminsky (2008) aprovechaba identificadores de transacción predecibles para envenenar resolvedores a gran escala. Cuando el resolvedor de un usuario está envenenado, este es redirigido a sitios falsos que pueden robar credenciales o distribuir malware. DNSSEC (extensiones de seguridad de DNS) firma digitalmente los registros DNS para que los resolvedores puedan verificar su autenticidad, y DNS over HTTPS (DoH) evita la interceptación de consultas en tránsito.

Un atacante en ruta (in-path) ocupa una posición en la red que le permite ver y modificar el tráfico en tránsito; se encuentra física o lógicamente entre los dos extremos que se comunican. La suplantación de ARP crea una posición en ruta en un segmento local. Un atacante fuera de ruta no puede ver el tráfico, pero puede intentar ataques a ciegas, como inyectar paquetes TCP RST suplantados para terminar conexiones utilizando números de secuencia adivinados. TLS mitiga ambos escenarios porque, aunque se intercepte el tráfico, no se puede descifrar ni falsificar sin la clave privada.

El secuestro de BGP (Border Gateway Protocol) ocurre cuando un sistema autónomo malicioso o mal configurado anuncia prefijos IP más específicos para atraer el tráfico destinado a otra organización. Esto puede redirigir tráfico de toda Internet a través de la red del atacante. El secuestro de BGP se ha utilizado para interceptar transacciones de criptomonedas, robar correo electrónico y redirigir tráfico bancario. Entre las defensas se incluyen RPKI (Resource Public Key Infrastructure), que valida criptográficamente las autorizaciones del origen de las rutas, y la supervisión de los anuncios BGP para detectar cambios inesperados.

Una inundación SYN explota el handshake de tres vías de TCP mediante el envío de muchos paquetes SYN con IP de origen suplantadas, lo que hace que el servidor reserve estado para conexiones semiabiertas (a la espera de ACK que nunca llegan). La tabla de conexiones del servidor se llena y este no puede aceptar nuevas conexiones legítimas. Entre las defensas se incluyen las cookies SYN (el servidor codifica el estado en el número de secuencia del SYN-ACK y solo asigna recursos después de recibir el ACK), reducir el tiempo de espera de SYN y limitar la tasa de paquetes SYN por dirección de origen.

La detección de ataques DoS, spoofing y MitM requiere visibilidad en varios puntos. Los datos de NetFlow/IPFIX revelan aumentos repentinos del tráfico procedente de numerosas fuentes. Las reglas de correlación de SIEM pueden generar alertas ante actividad ARP anómala (una MAC que afirma tener muchas IP) o respuestas DNS con TTL sospechosamente cortos. Las firmas de IDS/IPS detectan inundaciones SYN y herramientas de ARP spoofing. Entre las acciones de respuesta se incluyen limitar la velocidad en los routers perimetrales, activar servicios de mitigación de DDoS, aislar los segmentos afectados y volver a habilitar la inspección dinámica de ARP o vaciar las cachés envenenadas.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que los ataques DDoS utilizan botnets para saturar los objetivos desde numerosas fuentes y se clasifican en ataques volumétricos, de protocolo o de capa de aplicación; el ARP spoofing envenena las cachés de las redes locales para permitir ataques MitM y se mitiga mediante la inspección dinámica de ARP; y las inundaciones SYN agotan el estado de conexión del servidor y se contrarrestan con cookies SYN y limitación de velocidad. A continuación, exploraremos los protocolos de seguridad Wi-Fi desde WEP hasta WPA3.