Un ataque DDoS intenta tumbar un servicio con peticiones de miles de equipos a la vez. Un cortafuegos ayuda, pero el CCN-CERT advierte de que no debe ser la única medida: si el ataque satura tu línea, hay que pararlo antes de que llegue, y ahí entra el operador.
Foto: Brett Sayles, en Pexels
Un ataque de denegación de servicio no busca robar nada: busca que tu web, tu correo o tu conexión dejen de funcionar. INCIBE lo define como un ataque que reduce o anula la capacidad de los servidores u otros recursos para dar servicio. Cuando el tráfico llega de muchos equipos repartidos, normalmente una botnet, se habla de DDoS.
La guía conjunta de las agencias estadounidenses CISA y FBI, y del centro MS-ISAC, lo resume así:
| Tipo | Qué hace | A qué apunta |
|---|---|---|
| Volumétrico | Envía una cantidad enorme de tráfico | El ancho de banda o los recursos del objetivo |
| De protocolo | Aprovecha debilidades de los protocolos de red | Las capas 3 y 4, las de red y transporte |
| De aplicación | Aprovecha debilidades de una aplicación concreta y consume su capacidad de proceso | La capa 7, la de aplicación |
La misma guía avisa de que estas categorías no son excluyentes: un ataque puede combinar varias técnicas.
El aviso del CCN-CERT sobre este asunto, de 2017, sigue siendo la referencia más clara en español. Dice dos cosas: los dispositivos de perímetro tienen funciones contra DoS y contribuyen a una defensa en varias capas, y no deben ser la única medida. Pide una estrategia multicapa que probablemente incluya al proveedor de internet.
La razón se ve en la tabla de arriba, y aquí va criterio de esta web a partir de esas fuentes:
| Tipo | Papel del cortafuegos |
|---|---|
| Volumétrico | Poco, si el tráfico satura la línea: cuando llega al cortafuegos, la línea ya está llena. Hay que pararlo antes, en el operador o en un servicio especializado |
| De protocolo | Puede ayudar bastante, con límites de sesiones y protecciones específicas, siempre que el equipo aguante |
| De aplicación | Poco en un cortafuegos de red, porque las peticiones parecen normales. Aquí encaja mejor un WAF |
La guía de CISA incluye los cortafuegos entre los componentes que pueden convertirse en blanco. Un cortafuegos con estado guarda en memoria cada sesión, y el número tiene límite. Por eso, además del rendimiento, conviene mirar dos filas de la ficha.
Como ejemplo, la del FortiGate 40F da 700.000 sesiones simultáneas y 35.000 sesiones nuevas por segundo, frente a sus 5 Gbps de rendimiento de cortafuegos. Son cifras máximas del fabricante, no una garantía de lo que soportará ante un ataque.
Tampoco ayuda poner más inspección. INCIBE lo advierte con los WAF: consumen capacidad de proceso, y si el servicio falla o se degrada durante un ataque, la web puede caer con él. Lo mismo cabe esperar de un IPS, que también analiza el tráfico que recibe.
Estas son las que recomiendan INCIBE y la guía de CISA, ordenadas por dónde actúan:
| Dónde | Medida |
|---|---|
| Operador o proveedor | Tener ancho de banda suficiente y contratar, si hace falta, un servicio de mitigación de DDoS que filtre el tráfico antes de que llegue |
| Red | Cortafuegos o listas de control de acceso entre la red y el operador, y limitación de tráfico |
| Web | Una CDN, que INCIBE considera de lo más eficaz ante los ataques grandes de saturación, o un proxy inverso que reparta la carga entre varios servidores |
| Separación | Repartir los servicios en equipos distintos, con los web en una DMZ |
| Equipos | Mantener el software actualizado, y cerrar los puertos y servicios que no se usen |
| Geografía | Si solo das servicio en un país, aceptar únicamente peticiones de allí. INCIBE señala que así solo pasa la parte de la botnet que esté en esa zona |
| Organización | Medir el tráfico normal para detectar anomalías, y tener escritos un plan de respuesta y otro de comunicación |
Si tu web está en un alojamiento externo, INCIBE recuerda que estas protecciones se aplican como servicios en el servidor o desde el panel del proveedor, y que conviene preguntar qué medidas tiene ya en su red.
No siempre es evidente. La guía de CISA da estas señales:
Muchas de estas señales también aparecen con una avería o con un pico legítimo, así que hay que confirmarlo mirando el tráfico. Por eso sirve de tanto conocer de antemano cómo es el normal.
Una última recomendación, esta de la propia web: decide todo esto antes. El teléfono del operador y saber qué incluye tu contrato no se pueden buscar con calma en plena caída. Y ten una forma de llegar a tus equipos que no dependa de la línea atacada, porque INCIBE recuerda que estos ataques también pueden impedir a tus técnicos entrar a resolverlo.
Un ataque DoS sale de una sola fuente o de muy pocos equipos. Un DDoS sale de muchas fuentes a la vez, a menudo una botnet de equipos comprometidos. Por eso genera mucho más tráfico y es más difícil de bloquear.
En parte. El CCN-CERT dice que los dispositivos de perímetro tienen funciones contra DoS y contribuyen a la defensa, pero que no deben ser la única medida, y pide una estrategia en varias capas que probablemente incluya al proveedor de internet.
La guía de CISA, FBI y MS-ISAC propone activar el plan de respuesta, avisar al operador o al proveedor de alojamiento, guardar pruebas como horas, direcciones y registros, y filtrar o limitar el tráfico en la red y el cortafuegos.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SD-WAN es una forma de usar varias líneas a la vez y decidir por cuál va cada aplicación, sin depender de una sola. Muchos cortafuegos ya lo traen. Aquí está qué es, en qué se dis…
