Cómo Detener un Ataque DDoS en 5 Pasos

Todo webmaster busca mantener la funcionalidad de su sitio web durante los grandes picos de tráfico. Pero, ¿cómo asegurarse de que esos picos de tráfico sean legítimos? Y, lo que es aún más importante, ¿cómo se debe reaccionar cuando no lo son?

Desafortunadamente, la realidad es que los ataques DDoS pueden representar una amenaza tanto para grandes como para pequeños sitios web. En este artículo, discutiremos algunas bases importantes sobre cómo detener un ataque DDoS y prevenir su ocurrencia en el futuro.

¿Qué es un Ataque de Denegación de Servicio Distribuido (DDoS)?

Como previamente lo discutimos, un ataque de denegación de servicio distribuido (DDoS) es un ciberataque en el que el tráfico normal hacia un servidor, servicio o red específica se interrumpe mediante un flujo de tráfico de Internet. Este tipo de ataque suele ser organizado utilizando una gran cantidad de computadoras comprometidas o recursos de red, incluidos dispositivos de Internet de las cosas (IoT).

Hablando en términos simples, un ataque DDoS se puede comparar con un enorme embotellamiento en una autopista, que impide que los pasajeros normales, en este caso, los visitantes del sitio web, lleguen a su destino deseado.

¿Qué Tipos de Ataques DDoS Existen?

Existen varios tipos diferentes de ataques DDoS. Todos ellos impiden que los usuarios legítimos accedan al sitio web, enviando solicitudes falsas al servidor o un volumen de tráfico mucho mayor de lo que el servidor puede manejar.

A continuación, se presentan algunos de los tipos de ataques DDoS más comunes.

Ataques DDoS volumétricos

Estos ataques se consideran los más comunes entre los DDoS. Su objetivo es sobrecargar el ancho de banda del sitio web o provocar problemas con el uso de la CPU, lo que reduce drásticamente el número de operaciones de entrada/salida por segundo. Si el atacante logra sobrecargar el equipo objetivo, el ataque se considera exitoso.

Algunos ejemplos de ataques DDoS volumétricos incluyen:

• Flood UDP. Es un ataque en el que el atacante envía una gran cantidad de paquetes UDP a puertos aleatorios en el servidor objetivo. Dado que UDP no requiere establecer una conexión, el servidor intenta responder a cada solicitud, generalmente con un mensaje de puerto no disponible. Esto sobrecarga los recursos de red y puede resultar en una denegación de servicio.
• Flood ICMP. Un ataque en el que el atacante envía una gran cantidad de paquetes ICMP (por ejemplo, paquetes de solicitud de eco, utilizados por el comando ping) al host de destino. El objetivo aquí es saturar la red y los recursos del procesador del dispositivo objetivo, obligándolo a responder a cada solicitud.
• Ping Flood. Es una variante del ataque ICMP Flood, donde el atacante envía solicitudes ping masivas al sistema de destino. Si el sistema está configurado para responder a cada solicitud, esto puede agotar rápidamente sus recursos de red y computación.

Ataques DDoS basados en protocolos

El objetivo de estos ataques es explotar puntos débiles en los stacks de protocolos de tercer y cuarto nivel para consumir los recursos del servidor o equipo de red, lo que resulta en fallos en el servicio.

Si el atacante ocupa más ancho de banda del que pueden manejar los puertos de red, o más paquetes de los que puede procesar el servidor, el ataque se considera exitoso.

Algunos ejemplos de ataques DDoS basados en protocolos incluyen:

• Ping of Death. Este tipo de ataque implica el envío de paquetes ping especialmente formateados cuyo tamaño excede el tamaño máximo permitido de un paquete IP (65,535 bytes). Estos paquetes pueden causar desbordamientos de búfer u otros fallos en el funcionamiento del sistema, lo que resulta en su inestabilidad o caída.
• SYN Flood. En este ataque, el atacante envía una gran cantidad de paquetes SYN (el primer paso en el establecimiento de una conexión TCP) al servidor de destino, sin completar el proceso de establecimiento de la conexión. Esto agota el grupo de recursos disponibles para nuevas conexiones del servidor, lo que hace imposible el procesamiento de solicitudes legítimas de establecimiento de conexión.

Ataques DDoS a nivel de aplicación

El objetivo de estos ataques es atacar la CPU, la memoria o los recursos centrados en la aplicación web, incluida la explotación del servidor web, la ejecución de scripts PHP o el acceso a la base de datos para cargar una sola página web.

Algunos ejemplos de ataques DDoS a nivel de aplicación incluyen:

• Ataques dirigidos a servidores DNS. El objetivo de este tipo de ataque DDoS es sobrecargar el servidor de sistema de nombres de dominio (DNS) con solicitudes masivas. Esto hace que el servidor no pueda procesar solicitudes legítimas, lo que impide el acceso a sitios web y servicios en línea cuyos registros DNS sean atacados.
• Evitar la memoria caché. El atacante intenta enviar solicitudes de manera que no puedan ser procesadas mediante la caché. Estas pueden ser solicitudes únicas que requieren procesamiento del servidor, como solicitudes con cadenas de consulta o encabezados únicos. Estos ataques aumentan la carga del servidor, ya que no puede usar respuestas en caché y debe procesar cada solicitud individualmente.
• Flood HTTP. En este ataque, el atacante genera una gran cantidad de solicitudes HTTP con el objetivo de sobrecargar el servidor web o la aplicación detrás de él. A diferencia de los ataques de niveles inferiores, que se centran en la infraestructura de red, el Flood HTTP se dirige a la aplicación, obligando al servidor a gastar recursos en el procesamiento de cada solicitud. Estos ataques pueden disfrazarse como tráfico legítimo, lo que dificulta su detección y bloqueo.

Impacto y Consecuencias de los Ataques DDoS

La falta de preparación para los ataques DDoS puede resultar en la mejor de las situaciones en la pérdida de tráfico por un período de tiempo indefinido, y en el peor de los casos, en la pérdida de reputación y ventas. Estas consecuencias pueden tener el mayor impacto en el negocio de una empresa.

Aquí hay algunas cosas que debes entender sobre los ataques DDoS y que destacan su impacto:

• Para los delincuentes, comprar capacidad para un ataque DDoS semanal cuesta tan solo 150 dólares.
• Un pequeño ataque DDoS dirigido puede costarle al atacante tan solo 10 dólares.
• Más de 2000 ataques DDoS ocurren diariamente en todo el mundo.
• Un ataque DDoS exitoso puede resultar en pérdidas monetarias exorbitantes para la empresa víctima.

Cómo Detectar la Presencia de Ataques DDoS

Es importante monitorear regularmente el tráfico pico de tu sitio web para detectar rápidamente cualquier anomalía evidente.

Como mencionamos anteriormente, los ataques DDoS más comunes son los ataques volumétricos que utilizan enormes volúmenes de tráfico, pero no todos los ataques DDoS son volumétricos.

Un aumento repentino en el tráfico es una clara señal de un posible ataque DDoS. Debes configurar herramientas de monitoreo de la actividad en tu sitio web con anticipación y revisarlas regularmente para no descubrir sorpresivamente que tu sitio web ha estado inactivo durante varias horas o días. Una ventaja de tales herramientas es que puedes configurar notificaciones en caso de que se supere significativamente el umbral de tráfico pico.

Aquí hay algunos indicadores que también pueden señalar una posible actividad maliciosa hacia tu sitio web:

• La hora del día en que se produce el pico de solicitudes.
• La ubicación desde donde provienen estas solicitudes.
• La temporada en la que ocurren.

¿Esperas un aumento repentino de visitas a tu sitio web a las 2 de la mañana? ¿Esperas una oleada de visitantes de otros países? O tal vez vendes algún producto estacional, como fuegos artificiales de Navidad; entonces, un aumento repentino de la actividad en la temporada de invierno sería completamente justificado.

En resumen, primero debes considerar cuidadosamente las posibles razones para el aumento en el número de solicitudes, y si no hay razones claras, puedes comenzar a pensar en bloquear este tráfico sospechoso.

Nota. El robot Googlebot puede repetir con frecuencia las solicitudes a tu sitio web, lo que puede parecer sospechoso a primera vista. Sin embargo, tanto Googlebot como otros rastreadores de motores de búsqueda funcionan de esta manera para garantizar una clasificación adecuada del sitio web en los resultados de búsqueda. Por lo tanto, este tráfico también debe ser medido con herramientas de análisis especializadas, no confundirlo con tráfico malicioso y, bajo ninguna circunstancia, bloquearlo.

Cómo Resistir Adecuadamente a los Ataques DDoS

A primera vista, la solución parece obvia: ¡bloquear sus fuentes! Sin embargo, aquí también hay varios puntos clave con los que es mejor verificar para no cometer errores.

• Lista de verificación de sistemas de defensa. Desarrolla previamente una lista completa de activos y herramientas que necesitas implementar en tu infraestructura de red para detectar y prevenir adecuadamente los ataques DDoS.
• Elabora un plan de respuesta claro. Determina previamente las responsabilidades de los miembros clave de tu equipo de seguridad para garantizar una respuesta organizada al ataque.
• Identifica métodos o soluciones alternativas. Asegúrate de que los miembros de tu equipo sepan exactamente a quién recurrir si el ataque excede los límites razonables y no se puede manejar con métodos estándar.
• Informa sobre las interrupciones esperadas. Si tienes clientes que utilizan regularmente tu sitio web, es importante preocuparse por informarles sobre la indisponibilidad temporal del sitio o la disminución de su rendimiento.

Cómo Detener un Ataque DDoS

A continuación, examinaremos los pasos concretos que ayudarán a detener un ataque DDoS antes de que afecte a tu sitio web y su tráfico.

1. Identifica el ataque DDoS

La detección temprana de un ataque DDoS reduce significativamente el impacto y el tiempo de inactividad de tu sitio web. Si usas tus propios servidores web, asegúrate de tener servicios que te ayuden a detectar un ataque DDoS en curso.

2. Mantén suficiente ancho de banda y recursos

Tu servidor web ya debería estar configurado para manejar un aumento inesperado de tráfico, especialmente si lanzas anuncios, campañas o ofertas especiales de vez en cuando. Estos recursos adicionales pueden darte unos minutos adicionales para reaccionar a un ataque DDoS antes de que los recursos del sitio se vean completamente abrumados.

3. Protege el perímetro de tu red

Si tienes tu propio servidor web, puedes tomar algunas medidas para mitigar los efectos de un ataque DDoS. Por ejemplo, puedes limitar la cantidad de solicitudes que tu servidor web acepta con el tiempo, agregar filtros para descartar paquetes o establecer un nivel más bajo de ataques de ICMP, SYN y UDP.

4. Utiliza un firewall de aplicaciones web

Un firewall de aplicaciones web (WAF) puede ayudar a resistir los ataques DDoS y DoS, las amenazas de nivel 7 y los bots maliciosos, e incluso a corregir oportunamente las vulnerabilidades conocidas de los sitios web. WAF es esencialmente un nivel de protección que se encuentra entre el sitio web y el tráfico que recibe.

Existen varias soluciones de WAF que ofrecen eliminación automática de amenazas DDoS, pero una de las mejores maneras de determinar cuál funciona mejor para tu producto es analizar qué tan efectiva es la protección, si se ajusta al presupuesto y si tu equipo puede configurarla correctamente.

5. Habilita el bloqueo regional

El bloqueo a nivel de país suele ser bastante efectivo para minimizar los riesgos. También puede ayudar a cumplir con algunas políticas organizativas cuyo objetivo es bloquear a los hackers. Aquí hay algunas cosas en las que debes fijarte:

• La ubicación física no importa para las computadoras, ya que siempre pueden ser falsificadas. El firewall del sitio web, por otro lado, solo puede ver las direcciones IP, cuya ubicación se determina mediante tablas grandes y especializadas, cuyos datos pueden volverse obsoletos con el tiempo.
• Los atacantes pueden sortear fácilmente los sistemas de bloqueo regionales. Simplemente pueden usar algún tipo de proxy anónimo o configurar un proxy fuera de la lista de países bloqueados.

Esto no significa que el bloqueo regional no ayude a prevenir las amenazas DDoS, sin embargo, es importante entender que no es una panacea y no debes bloquear el tráfico de cualquier país excepto el tuyo para una supuesta seguridad.

En la actualidad, la mayoría de las botnets están compuestas por miles de sitios web comprometidos, sistemas de vigilancia comprometidos, computadoras infectadas y otros dispositivos de Internet de las cosas. Los ataques se originan en todo el mundo, y el bloqueo por país realmente puede impedir que miles de bots sin cerebro envíen su correo no deseado. Por lo tanto, este método definitivamente tiene sus ventajas.

Conclusión

Los ataques DDoS representan una amenaza muy seria para los propietarios de sitios web y servicios en línea. Aunque es imposible evitar completamente tales ataques, pueden ser contenidos de manera efectiva mediante una serie de medidas estratégicas y técnicas.

La detección temprana de los ataques, el mantenimiento de suficiente ancho de banda y la aplicación de sistemas de defensa, como los firewalls de aplicaciones web y el bloqueo regional, pueden reducir significativamente los riesgos y las consecuencias de tales ataques.

Además, un sistema de monitoreo bien configurado y un plan de respuesta a incidentes claro proporcionarán protección adicional y ayudarán a mantener la continuidad de los procesos comerciales en caso de un ataque.