Ataque DDoS: qué es y cómo defenderse

Del DoS al DDoS: historia y funcionamiento

DoS (Denegación de Servicio) es un tipo de ataque informático que tiene como objetivo hacer que un servicio o página web sea inaccesible. mediante un procedimiento de inundación. Esto implica el envío de una enorme cantidad de peticiones, de tal manera que el servidor víctima permanece ocupado respondiendo a las peticiones del atacante y ya no es capaz de manejar las legítimas, haciéndolo, de hecho, inalcanzable. El DoS implica el uso de un único ordenador atacante que, disponiendo de una conexión de datos de alto rendimiento, comienza a enviar flujos de paquetes a velocidades muy altas y a lo largo del tiempo.

El primer ejemplo de DoS se remonta a 1997, cuando se reveló un código fuente demostrativo en una convención de hackers. Sin embargo, al principio este tipo de ataque se utilizaba sobre todo como acto de protesta o disidencia, mientras que más recientemente se ha empezado a utilizar para dañar servicios y empresas, quizás haciendo que un servicio sea inaccesible para los clientes.

Un DoS normal, sin embargo, es bastante fácil de detener, basta con bloquear las conexiones entrantes desde la dirección IP de origen para resolver el problema.. Por esta razón, la técnica evolucionó a DDoS, o DoS «distribuido». El ataque DDoS tiene como objetivo inicial crear un red de bots de ordenadores, de tal manera que el ataque pueda ser perpetrado desde múltiples puntos. Para crear esta red, basta con infectar los ordenadores víctimas instalando un software durmiente que pueda comunicarse con un nodo maestro. Una vez que la red se considera lo suficientemente grande, se lanza la ofensiva en el momento más oportuno. En este punto, un único servidor recibirá una gran cantidad de solicitudes simultáneas de múltiples fuentes, que se bloquean o se ralentizan hasta el punto de que ya no son utilizables.

Ataques: consecuencias y cómo protegerse

«Pero todo esto, ¿qué tiene que ver conmigo?». No es fácil darse cuenta de cómo un ataque DDoS puede afectar a la vida cotidiana, así que analicemos cómo puede afectar también a los usuarios comunes, directa o indirectamente.

Ataque a un sitio en nuestro poder

Supongamos que poseemos un dominio y hemos construido un sitio en el que subimos fotos de las plantas de nuestro hermoso jardín. En un momento dado, la dirección IP del servidor en el que está alojado es objetivo de un DDoS, el sitio deja de ser accesible y todos los admiradores de su jardín que intenten conectarse recibirán un mensaje de error en su navegador.

En este caso hay al menos tres soluciones.

1. Lo más sencillo y completo se aplica en el caso de que el sitio esté alojado en un servicio de hosting o en un VPS: en este caso basta con solicitar la habilitación de la protección DDoSque suele suponer un pequeño desembolso adicional si no está incluido en el paquete de alojamiento que se adquiere.
2. Si el sitio está alojado en un servidor propio, la solución más sencilla es conseguir un VPN con protección DDoS e PureVPN es uno de ellos. Por una pequeña cuota mensual puedes obtener una conexión encriptada desde y hacia tu servidor con protección DDoS.
3. Una última solución posible es configurar el servidor de forma que se reduzca el número de conexiones simultáneas activas. Desgraciadamente, esta solución, aunque gratuita y fácil de aplicar, no es aplicable a todos los servicios, de hecho en algunos casos son necesarias múltiples conexiones simultáneas. Sin embargo, por lo general, ser apoyado por servicios externos es la mejor opción. Estas empresas reúnen ciertas características que las hacen sólidas en caso de ataques: tienen redes que pueden manejar cantidades masivas de datos (del orden de Tbps) y han optimizado sus sistemas para la diagnóstico y la gestión de los picos anormales de actividad del sistema protegido.De este modo, son capaces de detectar y bloquear las conexiones maliciosas antes de que lleguen al servidor de destino, evitando así que el servicio se vuelva inalcanzable.

Ataque a nuestra dirección IP

¿Qué pasaría si los atacantes apuntaran a la dirección IP de nuestra conexión doméstica?

Equipo de preparación para emergencias informáticas de los Estados Unidos ha recopilado una lista de posibles síntomas de un ataque DDoS, siendo los principales:

• red de área local e internet bastante ralentizada
• imposibilidad de acceder a uno o varios servicios web
• conexión inestable incluso en la red local

Sin embargo, debemos señalar que, en lo que respecta a Italia, se trata de un caso bastante raro. Generalmente nuestros proveedores proporcionan una dirección IP dinámica, que por lo tanto cambia con cada conexión; en estas condiciones convertirse en el objetivo de un ataque DDoS es bastante improbable. Además, algunos proveedores asignan una dirección no pública, por lo que no es directamente accesible desde el exterior. En estos casos estás protegido «naturalmente» de un ataque, en el peor de los casos, cambiar la dirección IP con un reinicio del router es más que suficiente para solucionar el problema.

Si disponemos de una dirección IP estática, que se da principalmente en contextos de Home-Office, la mejor solución es una VPN con protección DDoS.

Ataque desde nuestra dirección IP

En caso de que uno de nuestros ordenadores sea infectado por un virus que lo haga formar parte de una red de bots, darse cuenta de ello puede ser bastante complicado. El síntoma más evidente sería una ralentización de la conexión en determinados momentos (que podría ser completamente aleatoria), pero aún así podría no ser tal como para hacernos sospechar algo. Una primera solución es, sin duda, tener siempre un antivirus activo y actualizado con las últimas definiciones. Los programas antivirus son capaces de diagnosticar actividades sospechosas en aplicaciones que consideramos legítimas…pero que en realidad puede habernos convertido en parte de una red de bots. Pero, por desgracia, no siempre son capaces de sacarnos de apuros, en cuyo caso puede ser necesario investigar más a fondo utilizando algún software específico:

• KasperskyAvira DE-Cleanerherramienta realizada por las dos famosas empresas de seguridad; escanea el sistema en busca de software malicioso y botnets
• Wireshark: herramienta que permite analizar, esta vez de forma manual, todo el tráfico de red entrante y saliente de nuestro ordenador, para identificar picos de transmisiones o transmisiones repetidas innumerables veces hacia servicios o dominios que no conocemos

Ataque a un servicio que utilizamos

Imagina que quieres comprar una entrada para el concierto de tu artista favorito. Has preparado el temporizador en tu teléfono, te has comprado un nuevo ratón para hacer clic más rápido, y te dedicas a «Actualizar» compulsivamente en la página de preventa. Y he aquí que en el momento en que se ponen a la venta las entradas, el sitio deja de cargarse, ni siquiera se puede ver la página, y mucho menos iniciar sesión. Continuando, exasperado, después de 5 minutos consigues entrar, pero a estas alturas las entradas ya no existen. Esto es lo que ocurre cuando un servidor tiene más peticiones de las que puede manejar.. En el caso de un ataque DDoS, será prácticamente imposible acceder al sitio. Imagina qué pasaría si los grandes como Facebook, Google o Instagram no estuvieran protegidos de los ataques DDoS y, durante varias horas, no pudieras subir ese selfie con tu gato que tanto te gusta.

El caso Mirai, botnet de IoT

El 21 de octubre de 2016 se produjo un ataque masivo de DDoS a DynDNS, una empresa de servicios de Internet que aloja servidores DNS. Este ataque provocó que sitios como Spotify, Netflix y Paypal fueron inalcanzables durante varias horas desde ciertas zonas del planeta.. El ataque fue bastante inteligente ya que no afectó directamente a los servicios en cuestión (que obviamente están protegidos y son redundantes), pero impedía que los navegadores de los usuarios cotejaran la dirección mnemónica con la dirección IPEn efecto, los navegadores y las aplicaciones no sabían a dónde ir, por lo que era imposible acceder a sus sitios favoritos.

Más allá del atentado en sí, este suceso fue importante porque sacó a la luz un problema bastante importante, la escasa seguridad de los dispositivos IoT. En este caso, de hecho, el ataque fue realizado por miles de dispositivos conectados a Internet, pero ninguno de ellos era un ordenador. La red de bots del virus Mirai se dirige a sistemas conectados, como cámaras IP o grabadores de vídeo digitales, utilizando un fallo en algunos de estos dispositivos. Tras ser infectados, los dispositivos permanecen inactivos hasta el momento del ataque, cuando comienzan a enviar peticiones incontroladas al sistema víctima. Por desgracia, no hay forma de darse cuenta de que los dispositivos han sido infectados, por lo que es fundamental que los dispositivos conectados (IoT, domótica, etc.) no tengan fallos que puedan ser atacados desde el exterior. Por eso es importante que todos los usuarios pongamos también de nuestra parte: procuremos siempre comprar dispositivos que provengan de fabricantes conocidos y de proveedores fiables, para disponer de dispositivos actualizados regularmente con protocolos de seguridad avanzados.

Algunas cifras

Vale, entendemos de qué va esto, pero no es que veamos muchos de estos ataques, ¿verdad? Bueno, en realidad no es el caso. Según los últimos informes de OVH, una conocida empresa de hosting, en 2017 solo en sus direcciones IP consumía una media de 1800 ataques al día…. La misma empresa también logró mitigar el ataque récord de 1,3Tbps de tráfico que se produjo a principios de marzo de 2018. Este valor de tráfico supera incluso al de la red de bots Mirai que acabamos de mencionar.

Para entender el alcance social de este fenómeno, basta pensar que se creó un sitio, WebStresser, que permitía a la gente encargar un ataque DDoS a cualquier dirección IP.con el simple pretexto de probar su seguridad y resistencia. El sitio fue cerrado por Europol después de tres años de funcionamiento y más de 4 millones de ataques estimados.

Podríamos seguir durante horas citando datos relacionados con los DDoS, así que si quieres saciar tu curiosidad, te sugiero que vayas al sitio de Akamai que ofrece un mapa en tiempo real de todos los ataques en la web.

En conclusión.

El DDoS es un peligro real y presente y será aún más crucial en los próximos años. Cuando todos los hogares estén dominados por la domótica y cuando todos los coches estén conectados, será bueno estar protegido de este tipo de ataques, para evitar inconvenientes o incluso poner la vida de las personas en peligro. Sin embargo, no quiero asustar a nadie con esto, las soluciones están ahí y además son bastante sencillas: ahora que sabemos lo que es ya no tenemos excusas para no tomar precauciones. Recuerde que el conocimiento del problema es siempre el primer paso para resolverlo.