Denegación de Servicio (DoS)
Los ataques de DoS (Denial of Service) dan como resultado cierto tipo de
interrupción del servicio de red a los usuarios, los dispositivos o las
aplicaciones. Tiene como objetivo degradar la calidad de servicio de un
sistema o una red llegando a dejarlo en un estado no operativo o
inaccesible. Se consideran un riesgo importante porque pueden interrumpir
fácilmente la comunicación y causar una pérdida significativa de tiempo y
dinero. Estos ataques son relativamente simples de llevar a cabo, incluso por
un atacante inexperto.
DDoS
Un DDoS es un ataque DoS pero proviene de múltiples fuentes
coordinadas.
Un atacante crea una red de hosts infectados, denominada
botnet. Los hosts infectados se denominan zombies. Los zombies son controlados
por sistemas manipuladores.
Las computadoras “zombie” constantemente analizan e infectan
más hosts, lo que genera más zombies. Cuando está listo, el hacker proporciona
instrucciones a los sistemas manipuladores para que los botnet de zombies
lleven a cabo un ataque DDoS.
Tipos de ataques DoS
Esto ocurre cuando se envía una gran cantidad de datos a una red, a un host o a una aplicación a una velocidad que no pueden administrar. Esto ocasiona una disminución de la velocidad de transmisión o respuesta o una falla en un dispositivo o servicio.
- UDP Flood: Este tipo de ataque inunda puertos aleatorios de un host remoto con numerosos paquetes UDP, causando que el equipo víctima compruebe ante cada petición a cada puerto.
- ICMP Flood: Satura el recurso de destino con solicitud de paquetes “eco” ICMP (más conocido como ping), básicamente se trata de enviar paquetes de solicitud sin esperar los paquetes de respuesta.
- Service Flood Port: En este tipo de ataques las peticiones irán dirigidas hacia los puertos estándar en los que se conoce que habrá más volumen de tráfico (el puerto TCP 80, por ejemplo) tanto entrante como saliente.
- HTTP Flood: Se hace uso de peticiones GET o POST en apariencia válidas para atacar servidores o aplicaciones web, para inhabilitar a nuestra víctima, o incluso tomar el control.Otro uso común es para usar sus recursos y atacar a otros servidores o aplicaciones web o comenzar a crear una botnet.
- SYN Flood: (secuencia de conexión de tres pasos del protocolo SYN) Este ataque Provoca que una máquina siga enviando peticiones SYN-ACK; saturando así el tráfico saliente y entrante del host. El ataque comienza cuando ignoramos la petición ACK
- NTP Amplification: Si este proceso lo repetimos al estilo PoD (Ping of Death), o bien usando una botnet, el resultado será la saturación del servicio de la IP de nuestra víctima hasta hacer inaccesible por la propia saturación del servicio.
Paquetes maliciosos formateados
Esto sucede cuando se envía un paquete malicioso formateado a un host o una aplicación y el receptor no puede manejarlo. Por ejemplo, un atacante envía paquetes que contienen errores que las aplicaciones no pueden identificar o reenvía paquetes incorrectamente formateados. Esto hace que el dispositivo receptor se ejecute muy lentamente o se detenga.
- Ping of Death: Se envían paquetes mediante ping, pero con un
tamaño mucho mayor y a mayor frecuencia de lo normal. El esquema es el siguiente:ping DIRECCIÓN.IP.DEL.OBJETIVO -l 65535 -n 10000000 -w 0.00001
- Blended Flood: Esto se da cuando múltiples tipos de ataques se combinan en el servidor, lo cual al final termina confundiendo al equipo
Modificación de la configuración
Su objetivo es alterar o eliminar la configuración de alguno
de los elementos clave del sistema, típicamente servidores o routers. Estos
cambios suelen provocar efectos críticos en los sistemas afectados, dejándolos
fuera de servicio.
Destrucción
El resultado del ataque es la destrucción o alteración
física de alguno de los componentes del sistema. Hoy en día con la conexión a Internet de los sistemas de
control industrial es más fácil realizar este tipo de ataque de forma remota.
Algunos consejos que pueden ayudar a prevenir un Ataque DoS son:
- Revisar la configuración de Routers y Firewalls para detener IPs inválidas así como también el filtrado de protocolos que no sean necesarios.
- Contar con un plan de respuesta a incidentes.
- Limitar la tasa de tráfico proveniente de un único host.
- Limitar el número de conexiones concurrentes al servidor.
- Restringir el uso del ancho de banda por aquellos hosts que cometan violaciones.
- Realizar un monitoreo de las conexiones TCP/UDP que se llevan a cabo en el servidor (permite identificar patrones de ataque).
Como sugerencia, contar con IDS/IPS (intrusión-detection/prevention
system), estos pueden detectar el mal uso de protocolos válidos como posibles
vectores de ataque. La configuración de estas herramientas debe realizarse con
el tiempo necesario y mediante personal capacitado y se deben mantener
actualizadas las firmas de estos dispositivos.
Fuentes:
Curso en linea en Cisco Networking Academy: Introduction to cybersecurity
Welivesecurity
Openwebinars
Recomendaciones:
Defender de ataques DOS.
Curso en linea en Cisco Networking Academy: Introduction to cybersecurity
Welivesecurity
Openwebinars
Recomendaciones:
Defender de ataques DOS.
