¿Qué es un ataque DDoS de inundación UDP?

¿Qué es un ataque DDoS de inundación UDP?

Una inundación UDP es un ataque DDoS volumétrico que envía una cantidad enorme de paquetes UDP (User Datagram Protocol) a un objetivo, a menudo a muchos puertos distintos, hasta agotar su ancho de banda, su cortafuegos o su CPU, de modo que el tráfico legítimo no puede pasar. UDP no tiene negociación de conexión, así que el emisor puede falsear su dirección y el objetivo no distingue lo legítimo de lo malicioso. Esta entrada explica el mecanismo y las defensas. No es una guía para lanzar un ataque: atacar sistemas que no son tuyos es ilegal.

Por qué UDP es fácil de abusar

UDP se define en la RFC 768 como un protocolo de datagramas en el que la entrega y la protección contra duplicados no están garantizadas. No hay establecimiento de conexión y el puerto de origen es incluso opcional. Nada en el protocolo comprueba que la dirección IP de origen pertenezca a quien envía, así que un paquete con dirección falsa se acepta como cualquier otro.

Cómo funciona una inundación UDP

• Inundación directa. Muchas máquinas, normalmente una botnet, envían paquetes UDP a puertos aleatorios del objetivo. Por cada paquete, el host busca una aplicación en ese puerto. Si no hay ninguna, puede responder con un mensaje ICMP de "destino inaccesible" (puerto inaccesible, definido en la RFC 792), lo que añade carga de salida a la inundación de entrada.
• Reflexión y amplificación. El atacante envía peticiones pequeñas a servidores UDP públicos con la dirección de la víctima falsificada como origen. Los servidores envían sus respuestas, mayores, a la víctima. La alerta archivada de CISA sobre amplificación UDP (TA14-017A) recoge factores de amplificación como 28 a 54 para DNS, 556,9 para NTP y 358,8 para CharGEN, y hasta 51.000 para Memcached.
• Orígenes falsificados. Como la dirección de origen es falsa, bloquear por IP rara vez sirve y el origen real es difícil de rastrear.

Los ataques de reflexión tienen sus propias entradas: amplificación DNS y DDoS Memcached.

Ejemplo

Un estudio de videojuegos ejecuta un servidor en un puerto UDP. El tráfico salta a varias veces la capacidad de su enlace a internet, casi todo paquetes UDP pequeños desde direcciones dispersas. El enlace se llena antes de que ningún paquete llegue al cortafuegos, así que las reglas del servidor no cambian nada. El estudio necesita que su proveedor filtre antes de que el tráfico llegue.

Cómo defenderse de una inundación UDP

• Absorberla aguas arriba. Una inundación que llena tu enlace no se arregla en tu propio servidor. Usa un servicio de protección DDoS o un proveedor que depure el tráfico antes de que te llegue. CISA también menciona el blackholing remoto activado por BGP (RTBH), coordinado con los proveedores aguas arriba.
• Cerrar lo que no uses. Bloquea los puertos UDP que ningún servicio necesita y expón solo lo que ejecutas. La inspección UDP con estado ayuda en el perímetro.
• No convertirte en amplificador. Desactiva los servicios UDP innecesarios, aplica limitación de tasa de respuestas en DNS y otros servicios UDP, y nunca dejes resolutores abiertos ni Memcached accesibles desde internet.
• Cortar la suplantación en origen. Los operadores de red deben aplicar filtrado de entrada según la BCP 38 (RFC 2827), que descarta paquetes cuya dirección de origen no pertenece a la red de la que vienen.
• Vigilar el tráfico. Alerta ante saltos bruscos de volumen UDP, respuestas inusualmente grandes hacia una sola dirección y anomalías en el tamaño de paquetes en los datos de flujo.

El marco general está en cómo detener ataques DDoS. Una inundación UDP es el equivalente a nivel de red de una inundación HTTP, que apunta a la aplicación web.

Errores comunes

• Confiar en el cortafuegos del servidor frente a una inundación que satura el enlace antes de que el cortafuegos vea nada.
• Ejecutar servicios UDP públicos como DNS o NTP con la configuración por defecto y acabar formando parte de un ataque ajeno.
• No tener canal de contacto ni plan con el proveedor de hosting hasta que el ataque ya ha empezado.

Dónde encaja LoadFocus

LoadFocus no simula ataques, tampoco inundaciones UDP. Sus pruebas de carga envían peticiones HTTP y HTTPS desde 25 regiones en la nube, y un ataque UDP volumétrico lo tiene que absorber antes tu proveedor de hosting o de protección DDoS. Lo que sí muestra una prueba de carga es cómo se comporta tu aplicación web cuando crece el tráfico legítimo, para que conozcas tu capacidad real y tu margen. Mira pruebas de carga frente a pruebas de estrés y las pruebas de picos para planificarlo. Prueba solo sistemas tuyos o con permiso escrito, y revisa antes la política de pruebas de tu proveedor de hosting.

Preguntas frecuentes

¿Qué es una inundación UDP en pocas palabras?

Es un ataque que envía una cantidad muy grande de paquetes UDP a un objetivo para que su enlace de red, su cortafuegos o su servidor se queden sin capacidad y los usuarios legítimos no puedan conectarse.

¿Por qué se puede falsear la dirección de origen en UDP?

UDP no negocia una conexión ni verifica quién envió un paquete, así que un paquete con dirección de origen falsa se acepta. Por eso funcionan los ataques de reflexión y por eso importa el filtrado de entrada (BCP 38).

¿Puede un cortafuegos detener una inundación UDP?

Solo en parte. Un cortafuegos puede descartar tráfico UDP hacia puertos que no usas, pero una inundación capaz de llenar tu enlace a internet debe filtrarla antes tu proveedor o un servicio de protección DDoS.

¿Simula LoadFocus inundaciones UDP?

No. Las pruebas de carga de LoadFocus envían peticiones HTTP y HTTPS para medir cómo rinde tu aplicación con carga legítima. No hace simulaciones de ataque.