¿Qué es un ataque DoS?

Un ataque de denegación de servicio (DoS) es un ataque que intenta interrumpir los servicios de red y denegar el acceso a los usuarios legítimos, saturando el sistema objetivo con tráfico innecesario procedente de una o varias fuentes, hasta agotar sus recursos de hardware y software y hacer que deje de responder.

Puntos clave

• Un ataque DoS inunda un objetivo con tráfico hasta que este agota sus recursos.
• Los ataques se dirigen contra el ancho de banda, el estado de la conexión o el procesamiento de las aplicaciones.
• Los ataques DDoS lanzan el mismo aluvión de tráfico desde numerosas fuentes distribuidas al mismo tiempo.
• Versa Las políticas de DoS filtran el tráfico por zona, dirección, protocolo y hora.
• Los perfiles establecen umbrales de paquetes por segundo y permiten descartar, generar alertas o limitar la velocidad.

En esta página: Por qué es importante · Cómo funciona · Tipos · DoS y Versa · Preguntas frecuentes

¿Por qué es importante el DoS?

Un solo ataque DoS que tenga éxito puede dejar fuera de servicio una aplicación orientada al cliente, una pasarela VPN o toda una sucursal mientras continúe el aluvión de tráfico, y cada minuto de inactividad se traduce directamente en pérdida de ingresos, transacciones perdidas y tickets de asistencia. Dado que el objetivo es el agotamiento y no el robo de datos, un ataque DoS no requiere burlar un cortafuegos ni robar credenciales: solo tiene que enviar más tráfico, sesiones o paquetes malformados de los que el objetivo puede procesar, lo que pone en riesgo cualquier servicio conectado a Internet, independientemente de lo bien que estén configurados sus controles de acceso.

Además, lanzar una amenaza resulta ahora más barato y sencillo. Las redes de bots de alquiler y las técnicas de reflexión permiten a un atacante generar volúmenes de tráfico que superan con creces lo que podría producir una sola fuente, mientras que las inundaciones en la capa de aplicación pueden saturar un servidor con un número relativamente pequeño de solicitudes bien diseñadas. Para los equipos de redes y seguridad, la protección contra ataques DoS es un control básico, no un complemento opcional: debe integrarse en la línea de tráfico, distinguir el tráfico de ataque de los picos legítimos y responder automáticamente, ya que una respuesta a ritmo humano resulta demasiado lenta una vez que la inundación ya está en marcha.

¿Qué es un ataque DoS?

Todas las técnicas de denegación de servicio (DoS) persiguen el mismo objetivo —agotar un recurso que el objetivo necesita para seguir prestando servicio a los usuarios legítimos—, pero lo consiguen de diferentes maneras. Algunos ataques de inundación se dirigen al ancho de banda bruto, saturando un enlace para que no pase nada más. Otros se centran en la tabla de sesiones o la CPU de un dispositivo: abriendo un gran número de sesiones TCP sin completarlas nunca, escaneando puertos, barriendo los hosts de una subred o enviando paquetes malformados o de tamaño excesivo diseñados para consumir más recursos de procesamiento de los que deberían. Un dispositivo con recursos limitados —como un pequeño cortafuegos de sucursal o una pasarela de IoT— puede quedar fuera de servicio por volúmenes de tráfico que un dispositivo de centro de datos absorbería sin darse cuenta, por lo que la protección debe dimensionarse en función de lo que el dispositivo o enlace específico pueda realmente soportar.

Detectar un ataque en curso implica comparar el tráfico en tiempo real con los valores de referencia esperados, por protocolo y, a menudo, por dirección de origen o destino, de modo que un pico de tráfico que parezca una inundación para un servidor pequeño no tiene por qué parecerlo para uno grande. Una vez superado un umbral de tasa, la respuesta suele ser automática: se emite una alerta, se limita la tasa del flujo problemático o se descartan los paquetes directamente, ya que, para cuando se avise a una persona, es posible que el recurso atacado ya se haya agotado.

Tipos de DoS

Los ataques DoS suelen clasificarse según la capa de la pila a la que se dirigen. Los ataques volumétricos —inundaciones de tráfico y técnicas de reflexión o amplificación que abusan de protocolos como DNS o NTP para multiplicar el tráfico del atacante— saturan el ancho de banda disponible, de modo que no queda capacidad para las conexiones legítimas. Los ataques de protocolo aprovechan la forma en que los protocolos de la capa de red y de transporte asignan el estado; una inundación de paquetes TCP SYN abre un gran número de conexiones semiabiertas para agotar la tabla de conexiones del objetivo sin completar ni un solo protocolo de enlace. Los ataques de la capa de aplicación envían un volumen relativamente bajo de solicitudes que parecen legítimas —una inundación de solicitudes HTTP GET o una solicitud deliberadamente lenta— que son baratas de enviar pero costosas de procesar para la aplicación, lo que hace que sean más difíciles de distinguir de un pico de tráfico real.

Cualquiera de ellos puede lanzarse desde una única fuente (un ataque DoS) o desde múltiples fuentes distribuidas a la vez, normalmente una red de bots: un ataque de denegación de servicio distribuido (DDoS). La distribución es ahora la norma: multiplica el volumen de ataque disponible y hace que el bloqueo basado en el origen sea mucho menos eficaz, ya que no hay una única dirección que filtrar.

DoS y Versa

Versa Incorpora la protección contra ataques DoS directamente en VOS como un par formado por una política y un perfil. Un perfil de protección contra DoS establece umbrales por protocolo —para ICMP, ICMPv6, TCP, UDP, SCTP y otro tráfico IP— en forma de tasa de alarma, tasa activa (de respuesta) y tasa máxima, cada una expresada en paquetes por segundo, además de la acción que se lleva a cabo una vez que se supera la tasa activa: descartes aleatorios tempranos o «cookies» TCP SYN. Los perfiles se presentan en dos modalidades: un perfil agregado aplica un umbral compartido a todo el tráfico que cumpla los criterios, adecuado para inundaciones a nivel de subred procedentes de numerosas direcciones IP de origen; un perfil clasificado realiza un seguimiento de los umbrales por dirección IP de origen, por dirección IP de destino o por ambas, adecuado para ataques dirigidos a un punto final específico. Una política de DoS compara el tráfico entrante según la zona de origen y destino, la dirección, los campos de la cabecera IP, el servicio TCP/UDP y la hora del día, y luego aplica «Permitir», «Denegar» o «Proteger» —la mitigación basada en perfiles— a todo lo que coincida.

Esta configuración se realiza en «Servicios > Cortafuegos de última generación (o cortafuegos con seguimiento de estado) > DoS» en el Director de « Versa », y en «Seguridad > Política de denegación de servicio (DoS)» para las implementaciones de cortafuegos en la nube gestionadas a través de Concerto, lo que requiere una licencia de optimización segura de aplicaciones o de seguridad avanzada. El tráfico detectado y los casos en los que se superan los umbrales se registran en « Versa Analytics», que cuenta con un panel de control específico para DoS que permite analizar en profundidad las principales amenazas. Consulte «Configurar la protección contra DoS», «Configurar la protección contra DoS (NGFW)» y «Configurar la seguridad » para obtener la referencia de configuración completa.

Preguntas frecuentes

¿Cuál es la diferencia entre un ataque DoS y un ataque DDoS?

Un ataque DoS proviene de una única fuente; un ataque de denegación de servicio distribuido (DDoS) inunda al objetivo con tráfico procedente de múltiples fuentes a la vez, normalmente una red de bots. Los ataques DDoS son más difíciles de bloquear porque no hay una única dirección que filtrar y generan volúmenes de ataque mucho mayores que los de una sola máquina.

¿Cuál es la diferencia entre un ataque DoS y una filtración de datos?

Un ataque DoS tiene como objetivo la disponibilidad —dejar un servicio fuera de servicio— y no la confidencialidad ni la integridad de los datos, que es lo que se ve comprometido en una filtración. Ambos tipos de ataques no son mutuamente excluyentes: algunos atacantes utilizan una avalancha de ataques DoS como distracción mientras se lleva a cabo otra intrusión en otro lugar.

¿Puede un cortafuegos detener por sí solo un ataque DoS?

Un cortafuegos estándar filtra según reglas —puerto, dirección, aplicación—, pero por sí solo no limita el caudal de los ataques de saturación; el tráfico de gran volumen puede agotar su tabla de sesiones antes incluso de que se apliquen las reglas. Los perfiles DoS diseñados específicamente añaden los umbrales de caudal y la clasificación de los que carece un cortafuegos por sí solo.

¿Qué es un ataque SYN flood?

Un ataque SYN flood es un ataque DoS a nivel de protocolo que abre un gran número de conexiones TCP sin completar nunca el proceso de establecimiento de conexión, lo que llena la tabla de conexiones del objetivo con sesiones semiabiertas hasta que este ya no puede aceptar conexiones legítimas. Las «SYN cookies» son la medida de mitigación estándar.

¿Afecta la protección contra ataques DoS al tráfico legítimo?

Una protección contra ataques DoS bien configurada no debería hacerlo, ya que los perfiles establecen umbrales por encima de los patrones normales de tráfico y solo se activan cuando se supera una determinada tasa. Dado que consume muchos recursos, la mejor práctica consiste en habilitarla de forma selectiva: en los sistemas críticos y en las subredes que realmente la necesitan, y no de forma predeterminada en todas partes.

Más información sobre los ataques DoS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre los ataques DoS, te conviene echar un vistazo a lo siguiente.