Ataque DDoS

También conocido como ataque distribuido de denegación de servicio (DDoS), es un tipo de ciberataque que intenta hacer que un sitio web o recurso de red no esté disponible colapsándolo con tráfico malintencionado para que no pueda funcionar correctamente.

Un ataque de denegación de servicio distribuido (DDoS) es un intento malintencionado de interrumpir el tráfico normal de un servidor, servicio o red determinada, sobrecargando el objetivo o su infraestructura asociada con una avalancha de tráfico de Internet.
Durante un ataque DDoS, los atacantes utilizan una gran cantidad de equipos infectados y dispositivos conectados a través de Internet, incluidos dispositivos del Internet de las cosas (IoT), smartphones, ordenadores personales y servidores de red, para enviar una gran cantidad de tráfico a sus objetivos.

Un ataque DDoS a sitios web, aplicaciones web, API y redes de una empresa o a la infraestructura de un centro de datos puede provocar la interrupción de la actividad e impedir que usuarios legítimos compren productos, utilicen un servicio, reciban información o accedan de cualquier otro modo.

¿Cómo funciona un ataque DDoS?

Los ataques DDoS se llevan a cabo con redes de equipos conectados a Internet.

Estas redes constan de ordenadores y otros dispositivos (como dispositivos IoT) que han sido infectados con malware, lo que permite a un atacante controlarlos de forma remota. Estos dispositivos individuales se denominan bots (o zombis), y un grupo de bots recibe el nombre de botnet.

Una vez que se ha establecido una botnet, el atacante puede dirigir un ataque enviando instrucciones remotas a cada bot.

Cuando el servidor o la red de una víctima es el blanco de una botnet, cada bot envía solicitudes a la direccion IP del destino, lo que puede llegar a sobrecargar el servidor o la red y, por consiguiente, provocar una denegación de servicio al tráfico normal.

Debido a que cada bot es un dispositivo legítimo de Internet, puede resultar complicado disociar el ataque de tráfico del tráfico normal.

Tipos de ataques DDoS

Existen muchos tipos de ataques DDoS distintos y los atacantes suelen utilizar más de un tipo para causar estragos en sus objetivos. Para poder entender cómo funcionan los distintos ataques DDoS, es necesario saber cómo se realiza una conexión de red.
Una conexión de red en Internet está compuesta por muchos elementos o "capas" diferentes. Al igual que cuando se construye una casa desde los cimientos, cada capa del modelo tiene un propósito diferente.
El Modelo OSI, es un marco conceptual utilizado para describir la conexión de red en 7 capas distintas.

Si bien el objetivo de casi todos los ataques DDoS es sobrecargar un dispositivo o una red determinada con tráfico, estos ataques pueden dividirse en tres categorías. Un atacante puede utilizar uno o varios vectores de ataque diferentes, o bien repetir vectores de ataque en respuesta a las contramedidas adoptadas por el objetivo.

Cómo defenderse de ataques DDoS

Con una sólida estrategia contra ataques DDoS y un runbook vigentes, las organizaciones pueden protegerse y limitar los daños de los ataques DDoS. Por tal motivo es necesario seguir éstos pasos fundamentales para responder de forma apropiada a un ataque DDoS: preparación, identificación, contención/ recuperación y secuelas/consecuencias:

Preparación:

• Establecer contactos con proveedores de Internet y autoridades de la ley, y con el personal interno pertinente.

• Crear un listado de protocolos y direcciones IP prioritarios.

• Fortalecer la infraestructura de red objetivo de posibles ataques y optimizar su referencia para que un ataque pueda ser rápidamente identificado.

• Ajustar la configuración de DNS en poco tiempo.

• Establecer el coste de un ataque.

Identificación:

• Revisar el origen de direcciones IP, puertos de destino, direcciones URL y banderas de protocolo, y sea específico acerca de lo que el ISP debe de bloquear.

• Establecer si la compañía recibió una demanda de extorsión antes del ataque e identificar a los sospechosos.

Contención / reparación:

• Desactivar los cuellos de botella de la aplicación, bloquear el tráfico DDoS, y cerrar el servicio cloud más cercano tanto como sea posible.

• Establecer filtros de salida para bloquear las respuestas al tráfico DDoS.

• Llamar a un CERT nacional y a la policía y suministrarles información detallada.

Secuelas / recuperación:

• Consultar con los equipos de la red antes de establecer los servicios.

• Evaluar lo que ha funcionado, y lo qué no y construir la experiencia de la recuperación de desastres.

Referencias:

• https://www.akamai.com/es/glossary/what-is-ddos
• https://www.cloudflare.com/es-es/learning/ddos/what-is-a-ddos-attack/
• https://www.ccn-cert.cni.es/seguridad-al-dia/noticias-seguridad/217-guia-para-defenderse-de-ataques-ddos.html
• https://www.ionos.es/digitalguide/servidores/know-how/dos-y-ddos-un-vistazo-a-ambos-patrones-de-ataque/