La protección REAL frente a ataques DDOS

Corero Appliance DDoS

No es nuevo afirmar que los ataques a la red son cada vez más sofisticados, pero sí que es de rigor afirmar que los ataques DOS/DDOS contra organizaciones están cobrando una notoriedad sin precedentes.

Lejos quedaron los ataques aislados de hace unos años contra Microsoft, Amazon o Google y sólo hace falta abrir el periódico para ver que estas amenazas se producen diariamente a gran escala, en todos los países y contra un sinfín de objetivos. Efectivamente, y por desgracia, los medios sólo muestran la punta del iceberg como son los casos de Anonymous, LulzSec o ataques a grandes multinacionales. Los que observamos diariamente este tipo de problemática vemos que los atacantes se cuentan por tropel y muy pocas empresas están exentas de ser atacadas, o lo que es aún peor, un porcentaje muy bajo de organizaciones se encuentra realmente protegido. Sólo se puede entender este tipo de ataques y su proliferación constante conociendo su caldo de cultivo. Sin duda, las redes sociales y botnets han sido un gran revulsivo para organizar y automatizar respectivamente este tipo de ataques con un simple clic. Cabe destacar la sencillez y potencia de determinadas herramientas/exploits de ataque como LOIC, SlowLoris o ApacheKiller, que actúan en la capa de aplicación permitiendo que un grupo de amigos pueda generar un ataque DDOS sin necesidad de poner previamente en contacto a cientos de atacantes. Si unimos estos factores a los grandes anchos de banda de usuarios domésticos de hoy en día y la inexistencia de parches/soluciones para muchos de los ataques mencionados, podemos vaticinar que estamos ante un problema de gran envergadura y no fácil solución.  Algunos ISP cuentan con defensa ante ciertos tipos de ataques DDoS, pero esta defensa no protege ante ataques en la capa de aplicación. Para evitar este tipo de ataque, es necesario posicionar un dispositivo de protección adicional delante de los recursos a proteger como CORERO DDS (DDoS Defense System). Nadie conoce mejor estos ataques que aquellos que los han sufrido y que saben que mediante un UTM o un IPS de última generación, no existe defensa ante estas amenazas. Es fácil percibir esta indefensión, porque la protección DDoS nunca suele venir activada por defecto y su activación suele estar acompañada de un alto número de falsos positivos y un importante aumento de CPU, lo cual tiene como consecuencia  un incremento de latencia y/o perdida de paquetes. Estos dispositivos, simplemente, no están diseñados para esta función. De hecho, muchos fabricantes incluyen en sus datasheet que tienen protección DDoS pero saben que su funcionalidad es más dañina que efectiva y lo demuestran los ataques sufridos por muchas organizaciones tanto en España como fuera de nuestras fronteras. Actualmente, CORERO DDS es el único dispositivo que se posiciona entre el firewall y el router de acceso a Internet, pudiendo mitigar todos los tipos de ataques DDoS conocidos hoy en día y capaz de gestionar ataques masivos de más de 5 millones de IP´s. Este posicionamiento permite proteger toda la infraestructura, incluyendo los firewalls, regularmente objetivos de ataques DDoS de tipo SYN ACK reflectantes. CORERO DDS se basa en la aplicación de 6 patentes exclusivas para la protección frente a ataques DDoS y, además, permite la configuración de límites de paquetes, conexiones, peticiones por aplicación (http, https, dns,…) por cada IP que accede a los recursos protegidos, pudiendo mitigar cualquier tipo de ataque DDoS, tanto en las capas de red como en el nivel de la aplicación. El dispositivo CORERO DDS dispone de una interfaz de configuración y administración sencilla con una visión en tiempo real de los eventos de ataque. Además de ello, garantiza un rendimiento más que óptimo para todo tipo de organizaciones con una latencia inferior a 45 micro segundos. Para adaptarse a cada tipo de empresa Corero propone dispositivos desde 300 Mgbps hasta 40 Gbps en configuraciones de alta disponibilidad y clustering y soporta todo tipo de despliegues, incluyendo arquitecturas con trafico asimétrico. Para una mejor compresión de los tipos de ataques que existen hoy en día, mostramos a continuación un resumen de los ataques DoS y DDoS más usuales.

• DoS (Ataque a nivel de aplicación) Son los más simples y destructivos, no hace falta una gran número de atacantes, sólo se requiere de una vulnerabilidad en un servicio y un exploit. Uno de los más usados últimamente se basa en la herramienta killapache. Esta herramienta realiza peticiones GET con varios rangos de bytes que requieren grandes cantidades de memoria en el servidor y lo dejan fuera de combate en poco tiempo • DDOS masivo (Ataque a nivel de red) Es el “clásico” ataque DDoS: la mayoría de las veces es un ataque distribuido con potencialmente millones de direcciones IP atacando al mismo tiempo. Consiste en una inundación de paquetes con un volumen de tráfico lo suficientemente alto como para sobrecargar la “infraestructura” impidiendo el correcto funcionamiento del servicio. Afecta típicamente a los enlaces ISP, routers, switches, firewalls y servidores, convirtiéndoles en cuellos de botella y eliminando la posibilidad de suministrar el servicio.

• DDOS reflectante (Ataque a nivel de red) Ataque TCP DDoS a nivel de red: los atacantes cambian su dirección IP origen (spoofing) para que tenga el origen de la red a atacar. Posteriormente empiezan a realizar una inundación masiva de tipo SYN flood contra servidores en internet que contestarán contra su objetivo. El resultado es una inundación del Firewall con los SYN-ACKs entrantes y la CPU de los reverse proxies y Firewalls sube hasta que no pueda tratar las peticiones de usuarios legítimos.

• DDOS de Salida (Ataque a nivel de red y de aplicación) Un  ataque DDoS a nivel de red visto desde otro punto de vista: este ataque DDoS involucra hosts dentro del perímetro de defensa del cliente, habitualmente PC’s infectados por Malware, integrados en una red de botnet y controlados remotamente para participar en ataques DDoS Como consecuencia, el ISP puede detectar un tráfico saliente de ataque desde la red del cliente y hacer un blackholing para proteger “Internet” del tráfico de ataque DDoS proviniendo de la red afectada. A parte del problema de reputación, la conexión a Internet puede ser bloqueada por el ISP.

• DDOS en la capa de aplicación  (Ataque a nivel de aplicación) Es una variante más reciente e inteligente de ataque DDoS. Estos ataques se basan en tráfico legítimo y conexiones TCP completadas. Una vez que la conexión TCP se establece, los atacantes realizan varias peticiones repetidas a la aplicación en un intento de agotar los recursos de los servidores y Bases de Datos.

Es difícil defenderse porque estos ataques crean una condición de denegación de servicio sin afectar el consumo de ancho de banda, uno de los más usados es SlowLoris. Como se puede observar, hay cada vez más tipos de ataques DDoS y son cada vez más complejos de detectar. En su momento fueron necesarios los Firewalls, luego los IPS, hoy en día, cualquier cliente que publica servicios Web, DNS o dispone de VoIP es susceptible de ser víctima de un ataque DDoS. Corero propone a través de su red de partners una tecnología fiable, validada por más de 2000 clientes y capaz de defender ante todos los tipos de ataques DDoS existentes.

Raúl Pérez, Security Systems Engineer, Corero Network Security