Tipos de ataques DDoS explicados (y cómo prepararse)

Un ataque de denegación de servicio (DoS) intenta dejar un sistema, un servicio o una red inaccesibles para las personas que deben usarlos, saturándolos o agotando un recurso del que dependen. Cuando el ataque viene de muchas máquinas a la vez (normalmente una botnet), se convierte en un ataque de denegación de servicio distribuido (DDoS), mucho más difícil de detener. Entender las categorías es la clave para defenderse, porque cada tipo necesita una respuesta distinta.

DoS vs DDoS en una línea: un ataque DoS (denegación de servicio) inunda o agota un objetivo desde un solo origen, así que bloquear ese origen puede detenerlo; un ataque DDoS (denegación de servicio distribuida) hace lo mismo desde miles de máquinas a la vez, normalmente una botnet, así que hay que absorberlo aguas arriba con tu proveedor de internet, un servicio de limpieza de tráfico o una CDN. Para practicar a distinguir los ataques a partir de las pruebas, prueba el laboratorio de identificación de ataques DoS.

DoS frente a DDoS

Un ataque DoS simple viene de un solo origen. Un ataque DDoS viene de muchos orígenes a la vez, normalmente una botnet de ordenadores, servidores, routers y dispositivos IoT comprometidos repartidos por internet. La distribución es lo que hace tan peligroso al DDoS: no puedes bloquear una dirección para detenerlo, el tráfico parece venir de todas partes y el volumen combinado puede ser enorme. La mayor parte de la actividad de denegación de servicio a gran escala actual es distribuida.

Ataques volumétricos: saturar la tubería

Los ataques volumétricos buscan consumir el ancho de banda de red del objetivo con puro tráfico, para que las solicitudes legítimas no puedan pasar. El objetivo es simplemente llenar la tubería. Son los ataques que suenan más grandes, y con frecuencia se construyen con amplificación y reflexión:

• Reflexión significa que el atacante envía solicitudes a servicios de terceros falsificando la dirección de origen para que sea la de la víctima, de modo que esos servicios envían sus respuestas a la víctima, lo que oculta el origen del atacante.
• Amplificación significa elegir servicios de terceros cuyas respuestas son muchas veces mayores que la solicitud que las provocó, de modo que una pequeña cantidad de tráfico de ataque se convierte en una avalancha. Combinadas, la reflexión y la amplificación permiten a un atacante con un ancho de banda modesto generar un ataque desproporcionadamente grande dirigido contra otro.

Ataques de protocolo: agotar la fontanería

Los ataques de protocolo atacan el estado finito de los servidores y los equipos de red en lugar del ancho de banda bruto. El ejemplo clásico es una avalancha de solicitudes de conexión semiabiertas: el atacante inicia muchas conexiones pero nunca las completa, y llena la tabla de estado de conexiones del servidor hasta que no queda sitio para las conexiones legítimas. Otros abusan de la forma en que los firewalls, los balanceadores de carga y otros dispositivos con estado siguen las sesiones, y agotan su capacidad para guardar el estado de las conexiones. Su rasgo distintivo es que una cantidad de tráfico relativamente modesta puede tumbar un servicio agotando un recurso limitado concreto, no saturando el enlace.

Ataques de capa de aplicación: sobrecargar la aplicación

Los ataques de capa de aplicación son los más sutiles y a menudo los de menor volumen. En lugar de inundar la red, envían solicitudes que parecen legítimas pero obligan al servidor a hacer un trabajo costoso: llamar una y otra vez a una consulta de búsqueda pesada, a un generador de informes o a un endpoint de autenticación que hace un trabajo criptográfico costoso en cada intento. Como cada solicitud se parece a una normal, estos ataques son difíciles de distinguir del tráfico real, y un número comparativamente pequeño de solicitudes puede agotar la capacidad de proceso de la aplicación. Defenderse bien empieza por saber qué endpoints son costosos y están expuestos, justo el tipo de inventario que produce un ejercicio de modelado de amenazas.

Botnets: el motor del DDoS

La mayoría de los grandes ataques distribuidos funcionan sobre una botnet: una red de dispositivos comprometidos que un atacante controla en remoto, normalmente sin que lo sepan sus propietarios. El atacante dirige miles de estos dispositivos reales y dispersos contra un mismo objetivo a la vez. Como el tráfico viene de tantos orígenes auténticos, es extremadamente difícil separarlo de los usuarios legítimos o bloquearlo por origen, y la potencia de fuego total es grande. Por eso mantener parcheados tus propios dispositivos importa más allá de tu propia disponibilidad: un dispositivo sin proteger, como los servicios expuestos de los que hablamos en nuestro explicativo sobre los puertos SMB, puede acabar reclutado en la botnet de otro.

Mitigación por capas

Como las categorías golpean capas distintas, ningún control las cubre todas. Una disponibilidad resiliente sale de combinar defensas y, sobre todo, de organizarlas antes de un ataque.

• Limitación de peticiones y tiempos de espera. En la aplicación, limita cuánto puede exigir un solo origen y fija tiempos de espera razonables para que no se acumulen las solicitudes lentas o incompletas. Esto amortigua los ataques de protocolo y de capa de aplicación.
• Limpieza aguas arriba y capacidad de absorción. Las avalanchas volumétricas son demasiado grandes para gestionarlas en tu propio perímetro, así que las filtran servicios de limpieza de tráfico y las absorbe una gran capacidad aguas arriba que no puedes aprovisionar sobre la marcha.
• Una red de distribución de contenidos. Una CDN reparte y absorbe el tráfico en un perímetro global, lo que mejora el rendimiento y da a los ataques volumétricos una superficie mucho mayor que agotar.
• Un firewall de aplicaciones web. Un WAF filtra las solicitudes maliciosas de capa de aplicación que parecen legítimas en apariencia, algo que las defensas de ancho de banda no pueden ver.

Prepara la capacidad y los acuerdos con proveedores con antelación. Correr a añadir defensas durante una avalancha en curso rara vez funciona, y la disponibilidad es una propiedad que hay que diseñar, con el mismo espíritu por capas que la defensa en profundidad.

La conclusión

Los ataques de denegación de servicio tienen tres grandes formas: las avalanchas volumétricas que saturan el ancho de banda (a menudo amplificadas y reflejadas), los ataques de protocolo que agotan el estado finito de las conexiones y los ataques de capa de aplicación que sobrecargan el servidor con solicitudes costosas pero de apariencia legítima, la mayoría lanzados a escala por botnets. Como cada uno ataca una capa distinta, te defiendes con una pila por capas: limitación de peticiones, limpieza aguas arriba, una CDN y un WAF, todo organizado antes de necesitarlo. Ajusta la mitigación a la categoría y planifica la capacidad con antelación, y la disponibilidad pasará a ser algo que puedes defender y no algo que pierdes por sorpresa.

Preguntas frecuentes

¿Cuáles son los tipos de ataques DoS? Tres categorías: volumétricos (inundan el ancho de banda, a menudo mediante amplificación y reflexión), de protocolo (agotan el estado finito de las conexiones) y de capa de aplicación (solicitudes costosas y de apariencia legítima que sobrecargan el servidor).

¿Qué diferencia hay entre DoS y DDoS? El DoS viene de un solo origen; el DDoS viene de muchos a la vez (normalmente una botnet), lo que lo hace mucho más difícil de bloquear por origen y mucho mayor en volumen.

¿Qué son la amplificación y la reflexión? Técnicas que multiplican los ataques volumétricos: el atacante falsifica la dirección de la víctima al consultar servicios de terceros, que envían respuestas grandes a la víctima; la amplificación elige servicios cuyas respuestas superan con creces a la solicitud.

¿Qué es una botnet? Una red de dispositivos comprometidos que un atacante controla en remoto y que dirige para enviar tráfico contra un objetivo a la vez. Es el motor de la mayoría de los grandes ataques DDoS.

¿Cómo se mitigan estos ataques? Con defensas por capas: limitación de peticiones y tiempos de espera en la aplicación, limpieza aguas arriba y capacidad de absorción para las avalanchas volumétricas, una CDN para repartir el tráfico y un WAF para las solicitudes de capa de aplicación, todo organizado antes de un ataque.

Cómo prepararse para un ataque DDoS

CISA y el NCSC del Reino Unido insisten en prepararse antes de un ataque: conoce tus contratos y contactos con tu proveedor aguas arriba y de protección DDoS, pon una CDN o un servicio de limpieza y límites de peticiones delante de los servicios clave, haz resiliente el DNS, establece una línea base del tráfico normal para detectar el pico y ensaya un runbook con comunicaciones claras. Comprueba en qué punto estás con la evaluación de preparación ante DDoS (24 preguntas, carencias priorizadas).