¿Qué es un ataque DDoS y cómo evitarlo?

11min

DDoS es la manera habitual de referirnos a los ataques por denegación de servicio distribuidos. Es un tipo de ataque frecuente que puede realizarse sobre sitios web o la infraestructura. En este post queremos que entiendas perfectamente qué es este tipo de ataques y cómo puedes prevenirlos, así como salir de ellos en caso que te encuentres en una situación crítica.

Índice

¿Qué es un ataque DDoS?

Primero que nada necesitas entender en qué consiste un ataque DDoS, siglas de Distributed Denial of Service, que en español traduciríamos por ataque de denegación de servicio distribuido.

Pues bien, consiste en un tipo de ataque a servidores o redes en el cual se intenta saturar los recursos del sistema atacado, de modo que los usuarios que intenten realizar un uso normal del sistema no puedan realizarlo porque el servidor o la infraestructura se encuentra absolutamente desbordada. El hecho de ser distribuido indica que este tipo de ataque se realiza desde distintos equipos, incluso de redes distintas conectadas a Internet. Esto hace que el ataque sea más difícil de mitigar, haciendo que resulte más dañino todavía.

Diferencia entre un ataque DoS y un DDoS

Como hemos dicho, en un ataque DDoS la diferencia fundamental es la «D» de «distribuido», lo que indica que se origina desde diversos sistemas a la vez. Al producirse desde múltiples orígenes resulta todavía más crítico porque se hace más difícil de detectar y de reaccionar.

¿Cómo funciona un ataque DDoS?

Para profundizar en este tipo de ataque vamos a conocer ahora las etapas que suelen producirse para su realización.

1. Creación y coordinación de múltiples equipos infectados por botnets

Todo comienza por la creación y coordinación de redes de equipos que han sido infectados por botnets. Estas botnets consisten en dispositivos como ordenadores, móviles, routers, etc. que han sido infectados por malware. De ese modo están bajo el control de una organización criminal que los puede utilizar para realizar ataques sin que sus dueños estén al tanto.

2. Comando a la botnet

El atacante entonces usa su propia botnet, o bien se apoya en alguna existente y controlada por otra organización criminal, para enviar órdenes desde un servidor de comando y control.

Esas órdenes son recibidas por todos los dispositivos infectados por el malware y hacen que se comience a enviar solicitudes masivas al objetivo que se pretende atacar.

3. Saturación del ancho de banda

Al producirse una cantidad gigantesca de solicitudes entrantes desde numerosos clientes, los sistemas son afectados casi de inmediato, consumiendo su ancho de banda en cuestión de instantes, lo que impide que puedan responder a los usuarios legítimos.

4. Sobrecarga del servidor

Por supuesto, aparte del ancho de banda también ocurre una sobrecarga del servidor afectado, ya que el volumen de peticiones que recibe es completamente inasumible. Esto hace que su rendimiento se degrade de manera instantánea y deje de responder a cualquier solicitud entrante.

Fases del ataque: preparación, lanzamiento y persistencia

Para producirse este tipo de ataques existen diversas fases que detallamos por orden de realización:

  • La preparación consiste en la infección de dispositivos por malware y la configuración de la botnet.
  • El lanzamiento es la ejecución del ataque en sí, afectando al objetivo particular que se pretende saturar.
  • La persistencia es el carácter del ataque a lo largo del tiempo, que puede realizarse de manera constante o por oleadas.

¿Cuánto puede durar un ataque DDoS?

No existe una duración exacta para los ataques de DDoS, ya que depende del propósito del atacante y de los recursos a los que se quiere afectar, así como la capacidad de defensa del objetivo. Puede haber ataques que sean simplemente puntuales para probar una botnet o la resistencia de un posible objetivo. Otros pueden durar días o semanas, si es que se quiere hacer más daño.

Tipos principales de ataques DDoS

Los ataques de denegación de servicio distribuido también pueden tener diversos tipos atendiendo a factores como el volumen o los protocolos a los que se intenta afectar.

Ataques de volumen (volumétricos)

En este tipo de ataques se intenta consumir el ancho de banda enviando volúmenes de tráfico muy grandes.

Ataques de protocolo

Los ataques de protocolo intentan aprovechar vulnerabilidades de los protocolos de red, manteniendo conexiones abiertas para desbordar las capacidades de éstos.

Ataques a nivel de aplicación (Capa 7)

Los ataques a veces se realizan como si fueran usuarios reales, enviando peticiones que podrían ser perfectamente verídicas, haciendo que las aplicaciones las ejecuten, consumiendo recursos diversos del sistema. Esto se conoce como ataques de Capa 7 o de nivel de aplicación y afecta también a través de la saturación de sistemas asociados, como los servidores de bases de datos, hasta que se agotan completamente.

Ataques multivector

También pueden darse diversos tipos de ataques, como los mencionados anteriormente, combinados de modo que sea todavía más difícil detectarlos y mitigar sus efectos.

Ataques basados en IoT (botnets)

Incluso pueden haber botnets que se apoyan en los dispositivos conocidos como IoT (Internet de las Cosas). Este tipo de dispositivos incluyen cámaras, bombillas, sensores y otro tipo de dispositivos que están conectados a Internet y cuyos niveles de seguridad reducidos a veces los hacen más vulnerables.

Consecuencias de un ataque DDoS en un sitio web

Las consecuencias de los ataques de denegación de servicio distribuido pueden ser muy negativas para los proyectos en la web, pudiendo afectar de diversos modos a los sistemas atacados.

Pérdida temporal o total de la disponibilidad del sitio

Lo primero que ocurrirá será una pérdida de la disponibilidad del sitio web atacado. Esto hace que sea inaccesible para los usuarios o que se haga extremadamente lento, provocando que la experiencia se afecte de manera muy sensible.

Impacto negativo en la reputación y confianza del cliente

Los sitios atacados hacen que los usuarios se frustren cuando los utilizan, pensando que simplemente tienen muy mal rendimiento. Incluso, si son conocedores de que están siendo atacados, pueden percibir estos servicios como inseguros o poco fiables, reduciendo la confianza que tienen hacia ellos.

Costes económicos derivados del tiempo de inactividad

Todo ello al final se traduce en costes económicos para los sitios web que están siendo atacados, ya que los periodos de inactividad o la falta de confianza de los clientes pueden costarles dinero o perder oportunidades de obtener ingresos.

Posibles brechas de seguridad aprovechadas durante el ataque

Incluso estos ataques pueden realizarse como una cortina de humo, a modo de distracción, para que sea más difícil de detectar otro tipo de ataques que están siendo realizados sobre un sitio web, por ejemplo para robar datos.

Deterioro del SEO y penalizaciones por parte de buscadores

Si las caídas del sistema son persistentes a lo largo del tiempo podrán además afectar negativamente al SEO del sitio, ya que los buscadores pensarán que son sitios inseguros o con un pobre rendimiento.

¿Cómo detectar un ataque DDoS a tiempo?

Vamos a ver ahora algunos síntomas que puedes percibir si estás siendo objetivo de un ataque DDoS,  de modo que puedas detectarlo cuanto antes y tratar de mitigarlo.

Aumento repentino e inusual del tráfico de red

Si experimentas un aumento repentino en el tráfico del sitio, de manera totalmente abrupta y sin una explicación palpable, puedes estar siendo objetivo de un ataque de DDoS. Este aumento del tráfico se detecta porque las solicitudes hacia tu sitio son totalmente inusuales y repentinas.

Respuestas lentas o errores frecuentes del servidor

Cuando utilizas tu propio servicio y experimentas que está respondiendo con lentitud, o incluso mostrando errores de servidor (errores 500) que son totalmente anormales, puede que esté siendo atacado. Estos errores pueden deberse simplemente a recibir timeouts de servicios como las bases de datos durante un ataque.

Alertas anómalas en herramientas de monitoreo

Es ideal que utilices herramientas de monitorización en tu sitio web. Si es el caso, estas herramientas te permitirán recibir alertas ante situaciones anómalas en el uso de recursos del sistema, lo que puede ayudarte a detectar un posible ataque DDoS.

Verificación de direcciones IP sospechosas o repetitivas

Sí ocurren numerosas conexiones simultáneas desde IPs particulares, o IPs que se encuentran en rangos específicos, puede ser sospechoso de un ataque al servidor. Puedes revisar los logs del sistema para comprobar si esto se repite.

Uso de sistemas de detección temprana y análisis de logs

Puedes usar sistemas de detección y prevención de intrusiones, así como sistemas de análisis de los logs. Esto te permitirá detectar comportamientos inusuales, de modo que puedas actuar de manera temprana.

Estrategias para prevenir y evitar ataques DDoS

Ahora te preguntarás ¿Cómo puedo prevenir este tipo de ataques de seguridad? Vamos a ver las prácticas más recomendadas para conseguirlo.

Implementar firewalls y sistemas de protección específicos

Cuantas más barreras pongas para posibles atacantes, más seguro podrás estar. En este sentido puedes configurar firewalls comunes o firewalls de aplicaciones web, que permiten establecer reglas de seguridad más minuciosas, filtrando tráfico que pudiera ser sospechoso.

Utilizar servicios de mitigación en la nube

Existen diversos servicios de mitigación de ataques, como los que ofrecen proveedores como Cloudflare,o AWS Shield. Estos servicios permiten mitigar los posibles DDoS, ya que pueden absorber grandes volúmenes de tráfico y proteger la infraestructura principal.

Limitar el ancho de banda y segmentar la red

Si tienes que administrar una red que contiene numerosos servidores o servicios es ideal que realices una limitación del ancho de banda, dividiendo además tu red en distintos segmentos aislados. Esto ayudará mucho cuando uno de los servicios reciba un ataque, haciendo que no se propague afectando a toda la infraestructura.

Configurar correctamente el DNS y el servidor

Estudia la configuración del DNS, ya que puedes usarlo para distribuir la carga entre varios servidores y minimizar los efectos de posibles ataques, o poder redirigir las señales hacia otros servidores que no estén siendo afectados.

Realizar auditorías de seguridad periódicas

Si mantienes un servicio crítico o que requiera una alta disponibilidad es importante que realices auditorías de seguridad periódicas para poder detectar posibles problemas de configuración del servidor o la red.

Buenas prácticas para proteger tu infraestructura web

Vamos a acabar este post enumerando una serie de buenas prácticas que queremos sugerirte, para que puedas proteger tu infraestructura web ante posibles ataques de todo tipo.

Actualizar software y servidores regularmente

Un primer punto que siempre recomendamos es que mantengas todos los sistemas actualizados. Esto incluye tanto sistemas operativos, lenguajes, librerías y frameworks, así como las aplicaciones que estén instaladas dentro del servidor.

El hecho de mantener todo software actualizado hace que las vulnerabilidades sean siempre menores, ya que las actualizaciones corrigen posibles agujeros que pueden ser explotados por atacantes.

Establecer un plan de respuesta ante incidentes DDoS

También te recomendamos contar con un plan de respuesta ante ataques de seguridad, que incluya los pasos que tienes que realizar, tú o cualquier otro miembro del equipo, para poder mitigar posibles ataques y reaccionar de una manera rápida.

Implementar redundancia y balanceadores de carga

Si tus recursos lo permiten, siempre es bueno implementar sistemas de redundancia y balanceadores de carga. De este modo podrás redirigir el tráfico a servidores o redes que no estén siendo afectados por los ataques DDoS.

Formar al equipo técnico en gestión de ciberataques

El personal de la empresa debe estar siempre preparado para poder reconocer síntomas de posibles ataques y saber cómo tienen que reaccionar ante ellos. Por ello es importante formar al equipo técnico para poder gestionar estas situaciones y defenderse de una manera adecuada en tiempos reducidos.

Sergio Arias

Artículos relacionados

Productos relacionados: