¿Qué es un ataque DDoS?

Un ataque de denegación de servicio distribuido (DDoS) inunda un objetivo —un servidor, una aplicación o una red— con tráfico procedente de numerosas fuentes distribuidas a la vez, agotando el ancho de banda, las conexiones o los recursos informáticos hasta que el tráfico legítimo ya no puede pasar. Las fuentes suelen ser dispositivos comprometidos que están bajo el control del atacante, lo que hace que la avalancha de tráfico sea mucho más difícil de bloquear que un ataque procedente de una única fuente.

Puntos clave

• Un ataque DDoS inunda un objetivo con tráfico procedente de numerosas fuentes distribuidas para impedir el servicio.
• Los ataques van desde inundaciones volumétricas hasta el uso indebido de solicitudes en la capa de aplicación.
• Versa La protección contra ataques DoS utiliza perfiles «Aggregate» y «Classified» para bloquear los ataques masivos.
• La alarma de umbral de DDoS notifica los ataques a Analytics, SNMP y syslog.
• El panel de control de detección de amenazas de Concerto realiza un seguimiento de los ataques DDoS en tiempo real.

En esta página: Por qué es importante · Cómo funciona · Tipos · DDoS y Versa · Preguntas frecuentes

¿Por qué son importantes los ataques DDoS?

Los ataques DDoS son uno de los más habituales y perjudiciales contra las infraestructuras conectadas a Internet. Los atacantes no necesitan burlar las defensas del objetivo: solo tienen que enviar más tráfico del que el objetivo —o los enlaces y cortafuegos que lo protegen— puedan absorber. Las técnicas abarcan escaneos de puertos, inundaciones de TCP e ICMP, barridos de hosts e inundaciones de paquetes pequeños, distribuidos entre una o varias fuentes, lo que hace que el filtrado basado únicamente en la dirección de origen resulte ineficaz una vez que el ataque es distribuido.

Para las empresas, el coste es la disponibilidad: un ataque DDoS exitoso deja fuera de servicio un servicio público, la conexión a Internet de una sucursal o todo un centro de datos mientras dura el ataque, y el impacto en los ingresos, la asistencia técnica y la reputación aumenta proporcionalmente al tiempo de inactividad. Dado que las sucursales con SD-WAN suelen disponer de acceso directo a Internet (DIA), tanto la LAN como el circuito de Internet de una sucursal desprotegida quedan expuestos a avalanchas de tráfico procedentes del exterior de la WAN. Detectar y rechazar automáticamente el tráfico de ataque, antes de que sature el enlace o agote las tablas de sesión, es lo que permite que el tráfico real de una sucursal —voz, aplicaciones, acceso a la nube— siga siendo utilizable durante un ataque, en lugar de limitarse a sobrevivir a él.

¿Qué es un ataque DDoS?

Un ataque de denegación de servicio (DoS) satura un objetivo desde una única fuente; un ataque distribuido de denegación de servicio hace lo mismo desde muchas fuentes a la vez —a menudo miles de hosts comprometidos (una red de bots)— dirigidos contra una sola víctima. La distribución es lo que hace que los ataques DDoS sean difíciles de detener: bloquear una dirección de origen no sirve de nada cuando los siguientes mil siguen enviando tráfico.

El tráfico de ataque adopta diversas formas. Las inundaciones volumétricas (TCP, UDP, ICMP) saturan el ancho de banda disponible con un gran volumen de paquetes. Los escaneos de puertos y los barridos de hosts buscan servicios abiertos y direcciones accesibles, a menudo como reconocimiento previo a un ataque de mayor envergadura. Las inundaciones de paquetes pequeños de gran volumen se centran en el coste de procesamiento por paquete de los cortafuegos, los routers y las tablas de sesiones, más que en el ancho de banda bruto, agotando los recursos de cálculo y de seguimiento de conexiones incluso cuando el propio ancho de banda no es el cuello de botella. En todos los casos, el objetivo es el mismo: consumir un recurso finito —capacidad de enlace, CPU, ranuras de sesión— más rápido de lo que el objetivo puede procesarlo, de modo que las solicitudes legítimas se descarten junto con el tráfico de ataque.

Tipos de ataques DDoS

Los ataques DDoS suelen clasificarse en tres categorías, que a menudo se combinan en una misma campaña. Los ataques volumétricos —inundaciones UDP, inundaciones ICMP y ataques de reflexión/amplificación que suplantan la dirección de la víctima para provocar respuestas de tamaño excesivo desde servidores de terceros— tienen como objetivo agotar todo el ancho de banda disponible en un enlace o circuito. Los ataques de protocolo (agotamiento de estado) —inundaciones SYN, inundaciones de paquetes malformados y escaneos de puertos— se centran en la capacidad de seguimiento y procesamiento de conexiones de los cortafuegos, los equilibradores de carga y las tablas de sesión, más que en el ancho de banda, por lo que un enlace con amplio margen de capacidad puede quedar inoperativo. Los ataques a la capa de aplicación envían solicitudes que parecen tráfico legítimo —inundaciones HTTP, solicitudes repetidas de DNS o de establecimiento de conexión TLS— a una velocidad diseñada para agotar una aplicación o servicio específico, lo que hace que, sin una inspección más profunda, resulten más difíciles de distinguir de un pico de tráfico auténtico. Una protección eficaz contra los ataques DDoS debe abarcar estas tres capas, ya que un atacante bloqueado en una de ellas suele pasar a otra.

DDoS y Versa

Versa Secure SD-WANLa protección contra ataques DoS forma parte del conjunto de funciones del cortafuegos con estado (NGFW) y requiere la suscripción correspondiente. La protección se compone de dos elementos: un perfil DoS que define los umbrales de inundación y una regla de política DoS que identifica el tráfico por zona, origen, destino, encabezado IP o servicio TCP/UDP, y aplica el perfil con una acción de protección. Existen dos tipos de perfiles: el «Agregado», que supervisa los umbrales en todo el tráfico que cumple los criterios y es adecuado para ataques repartidos por una amplia gama de direcciones de origen; y el «Clasificado», que realiza un seguimiento de los umbrales por cada par de direcciones IP de origen y destino y es adecuado para ataques dirigidos a un punto final específico o limitados a unas pocas fuentes. Una implementación típica protege la LAN de una sucursal o un circuito de acceso directo a Internet (DIA) frente a inundaciones procedentes de Internet.

Cuando un dispositivo bloquea un ataque, la sesión se etiqueta con el módulo de rechazo «ddos» y se puede ver en la pestaña «Monitor», en la CLI y en Versa Analytics, en «Logs» > «Threat Detection» > «DDoS» y en «Dashboard» > «Security» > «Threats» > «DDoS». Los paneles de seguridad de Concerto ofrecen la misma visibilidad por cliente en «Protección de Internet > Detección de amenazas > DDoS». Por otra parte, se activa la alarma del dispositivo «ddos-threshold» —que se borra automáticamente una vez que el tráfico vuelve a situarse por debajo del umbral— con un nivel de gravedad «Grave» o «Crítico», y se envía por defecto a Analytics, SNMP y syslog.

Preguntas frecuentes

¿Cuál es la diferencia entre un ataque DoS y un ataque DDoS?

Un ataque DoS proviene de una única fuente, por lo que bloquear esa fuente lo detiene. Un ataque DDoS inunda el objetivo desde muchas fuentes a la vez —a menudo una red de bots formada por dispositivos comprometidos—, por lo que no basta con bloquear una sola fuente; para mitigarlo, es necesario recurrir a una detección basada en umbrales y en el comportamiento.

¿Cuál es la diferencia entre los perfiles de DoS «agregados» y «clasificados»?

Un perfil «Agregado» supervisa los umbrales en todo el tráfico que se ajusta a una política de DoS, lo que resulta adecuado para ataques distribuidos entre numerosas direcciones IP de origen dirigidos a una subred. Un perfil «Clasificado» supervisa los umbrales por cada par de direcciones IP de origen y destino, lo que resulta adecuado para ataques dirigidos a un único punto final o a unas pocas fuentes.

¿Cómo detecta « Versa » un ataque DDoS activo?

Las sesiones de ataque bloqueadas se etiquetan con el módulo de rechazo «ddos» y se pueden ver en la pestaña «Monitor» y en la CLI casi en tiempo real. Versa Analytics registra los detalles en «Logs» > «Threat Detection» > «DDoS», y tanto Analytics como la pestaña «Threat Detection» > «DDoS» de Concerto muestran un gráfico con los principales ataques.

¿Se desactiva automáticamente una alarma de DDoS?

Sí. La alarma del dispositivo «ddos-threshold» se borra automáticamente: se activa cuando el tráfico agregado o clasificado supera el umbral configurado y se borra por sí sola una vez que el tráfico vuelve a situarse por debajo de dicho umbral; no es necesario confirmarla manualmente, a diferencia de las alarmas de eventos, como las relacionadas con un cambio de configuración.

¿Se pueden prevenir por completo los ataques DDoS?

No del todo: el tráfico distribuido, falsificado o reflejado no siempre puede bloquearse antes de que llegue al perímetro de una red. El objetivo realista es la mitigación: perfiles basados en umbrales y filtrado sensible a los protocolos que detecten y descarten el tráfico de ataque con la rapidez suficiente para mantener el flujo del tráfico legítimo.

Más información sobre los ataques DDoS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los ataques DDoS, te conviene echar un vistazo a lo siguiente.