¿Qué es un ataque DDoS? Cómo funcionan + Estrategias de protección
Un ataque de denegación de servicio distribuido (DDoS) es un intento ilegal de hacer que un sitio web no esté disponible sobrecargando su servidor con grandes cantidades de tráfico falso.
La avalancha de solicitudes de conexión maliciosas coloca a los visitantes legítimos en la parte posterior de una cola de tráfico que no disminuye, lo que impide que el sitio web se cargue.
Los objetivos no solo incluyen servidores web, un ataque DDoS puede interrumpir cualquier servicio conectado a Internet, como redes, bases de datos, dispositivos móviles e incluso funciones específicas de aplicaciones.
¿Cómo funciona un ataque DDoS?
Un ataque DDoS comienza comprometiendo una serie de dispositivos IoT (Internet de las cosas). Cada dispositivo IoT objetivo se infecta con malware para que pueda controlarse de forma remota y luego conectarse a otros dispositivos comprendidos, creando una botnet.
No hay límite para el tamaño de una botnet, pueden abarcar todo el mundo. Con una botnet lo suficientemente grande, las solicitudes de tráfico malicioso seguirán acumulándose, y si todas están dirigidas a un objetivo singular, las reservas de RAM y CPU del servidor no tendrán ninguna posibilidad de hacer frente a la demanda de tráfico.
¿Cuál es la diferencia entre un ataque DoS y un ataque DDoS?
En un ataque DoS, las solicitudes de conexión maliciosas se envían desde un solo dispositivo comprometido, pero en un ataque DDoS, el tráfico malicioso se envía desde varios dispositivos comprometidos.
Tipos de ataques DDoS
Todos los ataques DDoS tienen un único objetivo: sobrecargar los recursos en línea hasta el punto de no responder.
Hay tres categorías principales de ataques DDoS:
1. Ataques DDoS basados en volumen
Ataque basado en volumen: cantidad directa y abrumadora de tráfico en los recursos web. La magnitud de estos ataques se mide en bits por segundo (Bps). Los ataques basados en volumen incluyen ataques de inundación ICMP, ataques de inundación UDP y otros ataques de paquetes falsificados.
¿Qué es un ataque de inundación ICMP?
Las solicitudes de eco de un Protocolo de mensajes de control de Internet (ICMP) normalmente se envían a los dispositivos de red para diagnosticar su estado de salud. Cada dispositivo objetivo responde con una respuesta de eco, describiendo su condición actual. Un ataque de inundación ICMP (también conocido como ataque de inundación de ping) envía una gran magnitud de solicitudes de eco, lo que da como resultado un número igualmente alto de paquetes de respuesta, abrumando el dispositivo objetivo.
Para que un ataque de inundación ICMP sea posible, un atacante necesita conocer la dirección IP del objetivo. Hay tres categorías de ataques ICMP, identificados por el método de recuperación de direcciones IP:
- Divulgado localmente dirigido: este tipo de ataque DDoS requiere el conocimiento de la dirección IP del objetivo. Un ataque envía una avalancha de tráfico a una computadora o dispositivo específico.
- Router revelado: este tipo de ataque DDoS requiere el conocimiento de la dirección IP interna de un router local. A continuación, las solicitudes de red se envían al router para interrumpir las comunicaciones de red.
- Ping ciego: implica una campaña de reconocimiento para descubrir la dirección IP de un objetivo y hacer posible un ataque DDoS.
¿Qué es un ataque de inundación UDP?
Un ataque de inundación UDP explota la secuencia de respuesta natural de un servidor a los paquetes del Protocolo de datagramas de usuario (UDP). En condiciones normales, la respuesta de un servidor a los paquetes UDP en cada puerto es un proceso de dos pasos:
- El servidor comprueba si algún programa en ejecución asociado con los datagramas solicitados está utilizando el puerto especificado.
- Cuando no se encuentran tales aplicaciones, el servidor responde con un paquete ICMP - "Destino inalcanzable".
Durante un ataque de inundación UDP, un servidor objetivo se inunda con dichas solicitudes, lo que hace que se sobrecargue y deniegue el servicio al tráfico legítimo.
Cómo mitigar los ataques de inundación UDP
El método estándar para mitigar el ataque de inundación UDP es limitar la tasa de respuesta de los paquetes ICMP. Sin embargo, esta estrategia de defensa tiene dos grandes desventajas:
- Es probable que este método de filtrado binario también rechace las solicitudes de paquetes legítimos.
- Si el ataque de inundación UDP es lo suficientemente grande, la tabla de estado y el firewall del servidor se verán abrumados. Esto dará lugar a un cuello de botella catastrófico de los paquetes UDP que se producen en sentido ascendente desde el servidor de destino.
Un mejor método para mitigar los ataques de inundación UDP es mediante el despliegue de mecanismos de defensa en sentido ascendente en lugar de a nivel físico. Esto evitará que los paquetes del ciberataque agoten el ancho de banda.
2. Ataques DDoS de protocolo o capa de red
Los ataques DDoS de protocolo o capa de red dirigen un gran volumen de paquetes a las herramientas de gestión y a las infraestructuras de red. El volumen de estos ataques se mide en paquetes por segundo (PPS). Estos tipos de ataques incluyen inundaciones SYN y ataques DDoS Smurf.
¿Qué es un ataque de inundación SYN?
Durante condiciones normales de funcionamiento, un cliente envía un SYN a un servidor que luego responde con un mensaje SYN+ACK. Mientras el servidor espera una respuesta SYN+ACK del cliente, la información de estado se almacena en un búfer TCP.
Durante un ataque de inundación SYN, un gran volumen de empaquetadores SYN se envían a un servidor desde direcciones IP falsificadas que nunca proporcionan una respuesta SYN-ACK cuando el servidor las solicita. El resultado es que el búfer TCP alcanza su límite, lo que hace que todas las conexiones de puerto abierto se vean abrumadas, lo que a su vez hace que el servidor deniegue cualquier nueva conexión TCP.
Cómo mitigar los ataques de inundación SYN
Existen tres métodos para mitigar los ataques de inundación SYN:
1. Sobrescribir conexiones TCP semiabiertas superiores
Para evitar que se acumulen las solicitudes de trabajo pendiente, la conexión TCP semiabierta más antigua debe haberse reciclado cada vez que se haya llenado el trabajo pendiente. Este proceso de conexión cíclica solo mitigará los ataques SYN si las conexiones se pueden establecer más rápido de lo que se llena el trabajo pendiente.
El aumento del límite de trabajo pendiente podría proporcionar al servidor tiempo suficiente para reciclar la conexión TCP más antigua antes de que se agote la cola de trabajo pendiente.
2. Aumentar el límite de trabajo pendiente
Para aumentar el límite de la cola de trabajo pendiente, el sistema operativo necesita suficiente memoria para soportar el aumento de las demandas de procesamiento de un trabajo pendiente más grande. De lo contrario, el cumplimiento puede verse obstaculizado.
Si el ancho de banda de memoria es suficiente, aumente el número máximo de posibles conexiones semiabiertas.
Con el aumento de la cola de trabajo pendiente, el sistema debe funcionar durante un período de tiempo más largo durante un ataque de inundación de SYN, lo que permite más tiempo para identificar y bloquear la dirección IP falsificada que lanza el ataque.
3. Crear cookies TCP SYN
>Una cookie TCP SYN crea un nivel adicional de seguridad de protocolo dentro de los equilibradores de carga y los motores DDoS. Este método de mitigación elimina el requisito de un búfer TCP y sus correspondientes limitaciones de almacenamiento. La tabla de estado se sustituye por una función matemática que calcula el número de secuencia TCP vinculado a cada respuesta SYN-ACK.
Cada paquete ACK recibido se compara con el número de secuencia TCP esperado calculado por la función matemática. La alineación confirma la solicitud de conexión legítima que luego se establece como normal.
Antes de implementar cookies SYN en un servidor, asegúrese de comprobar sus capacidades de procesamiento. Algunos servidores x86 no pueden cumplir con los requisitos de procesamiento del cálculo de cálculos de secuencia TCP lo suficientemente rápido como para satisfacer las demandas de conexión falsa.
4. Usa un cortafuegos
Un firewall puede reemplazar a las cookies SYN, y la preocupación de abrumar los recursos del servidor, si es capaz de monitorear la tabla de estado y bloquear nuevas conexiones más allá de un límite específico. Afortunadamente, la mayoría de los servidores modernos son capaces de esto.
Los firewalls inteligentes pueden identificar un ataque de inundación SYN mediante la supervisión de paquetes SYN por segundo y responder liberando conexiones semiabiertas para mantener la disponibilidad. Un firewall capaz está activado y mantiene la conectividad con los usuarios legítimos durante un ataque de alto volumen.
Sin embargo, los firewalls de grado inferior tienen filtros de ataque SYN rudimentarios que pueden rechazar sesiones TCP legítimas durante un ataque de inundación SYN.
¿Qué es un ataque DDoS Smurf?
Durante un ataque Smurf, se envía un ping ilegítimo a los ordenadores en red desde el servidor objetivo mediante la suplantación de su dirección IP, lo que obliga a cada destinatario a responder con una actualización operativa.
Debido a que estos pings no se verifican con un apretón de manos, se pueden combinar sin limitaciones. El resultado es que los ordenadores en red lanzan un ataque DDoS contra el propio servidor.
Cómo mitigar los ataques DDoS de Smurf
La mayoría de los vectores de ataque que hicieron posible el ataque Smurf ahora han sido rectificados. Sin embargo, algunos sistemas heredados siguen siendo vulnerables a esta táctica DDoS autodañina.
Una solución de mitigación rápida es deshabilitar todas las direcciones de transmisión IP en cada firewall y enrutador de red. Es probable que esta configuración esté deshabilitada en los nuevos routers, pero es probable que los routers heredados la tengan habilitada.
3. Ataques a la capa de aplicación
Durante una aplicación, se ataca un ataque DDoS posterior, también conocido como ataque de capa 7 (L7), se dirige la parte superior posterior del modelo OSI. Aquí es donde se producen las solicitudes de paquetes de alto tráfico: HTTP, GET y HTTP Post.
Señales de advertencia de ataques DDoS
Un sitio web de carga inusualmente lenta podría ser evidencia de que se está produciendo un ataque DDoS. Si esto progresa a un mensaje de no fiabilidad del Servidor 503, es probable que se produzca un ataque DDoS.
En este punto, es fundamental una verificación adicional inmediata. Esto se puede lograr generando un registro de todas las solicitudes de servidor activas desde la interfaz de registro de comandos (CLI).
Durante un ataque DDoS, el registro de comandos indicará múltiples conexiones a un solo puerto de servidor desde la misma dirección IP.
