Ataques de denegación de servicio

Un ataque DoS (Denial-of-Service) intenta dejar un servicio fuera de disponibilidad para los usuarios legítimos saturándolo. A diferencia de los ataques que roban datos, un DoS tiene como objetivo la disponibilidad, el tercer pilar de la tríada CIA.

Al inundar un servidor o una red con más tráfico o solicitudes de las que puede gestionar, el atacante agota sus recursos hasta impedir el acceso de los usuarios reales.

Un DoS convencional procede de una sola fuente. Un DDoS (Distributed Denial-of-Service) procede de muchas fuentes a la vez, a menudo miles, por lo que resulta mucho más difícil de detener.

Bloquear una IP atacante es sencillo; bloquear el tráfico procedente de decenas de miles de direcciones distribuidas, muchas de ellas pertenecientes a equipos secuestrados cuyos propietarios no tienen la culpa, es el verdadero desafío que hace tan peligroso al DDoS.

Los ataques DDoS suelen estar impulsados por una botnet: una red de ordenadores y dispositivos IoT infectados con malware que el atacante controla de forma remota. Cada equipo infectado, un bot o zombi, envía tráfico de ataque cuando recibe la orden.

Sus propietarios a menudo no saben que sus dispositivos participan. Los dispositivos IoT inseguros, como las cámaras, han creado botnets enormes capaces de generar volúmenes masivos de ataques.

Los ataques volumétricos simplemente inundan el objetivo con una cantidad enorme de tráfico para saturar su ancho de banda de Internet. Si el canal está lleno de tráfico basura, el tráfico legítimo no puede pasar.

Algunos ejemplos son las inundaciones UDP y las inundaciones ICMP (ping). La defensa consiste en disponer de capacidad suficiente o de servicios de limpieza aguas arriba que absorban o filtren la inundación antes de que llene el enlace.

Los ataques de protocolo agotan los recursos de servidores o dispositivos aprovechando el funcionamiento de los protocolos. Un ejemplo clásico es la inundación SYN: el atacante inicia muchas conexiones TCP (enviando paquetes SYN), pero nunca las completa, y llena la tabla de conexiones del servidor.

El servidor espera confirmaciones que nunca terminan hasta que ya no puede aceptar conexiones nuevas, lo que deniega el servicio a los usuarios reales.

Los ataques en la capa de aplicación se dirigen al propio software mediante solicitudes aparentemente legítimas cuyo procesamiento resulta costoso, como búsquedas complejas o cargas repetidas de páginas. Utilizan mucho menos ancho de banda, por lo que son más sigilosos.

Como cada solicitud parece normal, resulta difícil distinguir el tráfico de ataque del de los usuarios reales. Por ello, estos ataques son especialmente difíciles de detectar y filtrar sin perjudicar a los visitantes legítimos.

Los ataques de amplificación multiplican la capacidad ofensiva del atacante. Este envía solicitudes pequeñas con una dirección de origen falsificada (la de la víctima) a servidores que responden con mensajes mucho más grandes, como servidores DNS o NTP mal configurados.

Una solicitud diminuta desencadena una respuesta enorme dirigida a la víctima, de modo que el atacante amplifica su tráfico muchas veces mientras se oculta mediante spoofing.

Entre los indicios de un DoS se encuentran picos repentinos de tráfico, servicios lentos o que agotan el tiempo de espera, un uso de recursos inusualmente elevado y una avalancha de conexiones desde muchas direcciones. La supervisión y las líneas base ayudan a detectar rápidamente el aumento anómalo.

La detección rápida es importante: cuanto antes se reconozca que se trata de un ataque y no de un aumento normal del tráfico, antes podrán comenzar las medidas de mitigación y limitarse el tiempo de inactividad.

Las defensas se organizan por capas:

• Limitación de velocidad: limita las solicitudes por origen.
• Firewalls e IPS: filtran patrones de ataque conocidos.
• Los servicios de limpieza de DDoS en la nube absorben grandes inundaciones aguas arriba.
• Las CDN (Content Delivery Networks) distribuyen la carga entre muchos servidores.

El filtrado contra el spoofing en Internet también reduce los ataques de amplificación desde su origen.

Los DoS son especialmente difíciles porque el tráfico de ataque puede parecer legítimo y proceder de innumerables fuentes. No puede bloquearlo todo, porque de ese modo sería usted quien denegaría el servicio.

La defensa más resistente combina capacidad suficiente, limpieza aguas arriba, un buen filtrado y un plan de respuesta ante incidentes, aceptando que la prevención absoluta es imposible y que el objetivo realista es la resiliencia.

Un DoS ataca la disponibilidad saturando un objetivo; un DDoS lo hace desde muchas fuentes mediante una botnet. Entre los tipos se encuentran los ataques volumétricos, de protocolo (como las inundaciones SYN), en la capa de aplicación y de amplificación. Las defensas combinan limitación de velocidad, firewalls, CDN y limpieza en la nube, además de medidas contra el spoofing para reducir la amplificación.

Ponga a prueba sus conocimientos sobre DoS.

Un DoS satura un servicio para denegar la disponibilidad; un DDoS utiliza muchas fuentes de una botnet. Entre los tipos de ataque se encuentran las inundaciones volumétricas, los ataques de protocolo como las inundaciones SYN, los ataques sigilosos en la capa de aplicación y la amplificación mediante spoofing. Las defensas combinan limitación de velocidad, firewalls, CDN y limpieza de DDoS en la nube.