¿Qué es la denegación de servicio distribuido (DDoS)?

¿Qué es un ataque de denegación de servicio distribuido (DDoS)?

Un ataque de denegación de servicio distribuido (DDoS) intenta dejar inaccesible un sitio web, un servidor o una red inundándolo de tráfico desde muchas máquinas a la vez. Según CISA, las fuentes suelen ser una botnet, un grupo de dispositivos conectados a internet secuestrados cuyos dueños muchas veces no saben que están infectados. Como el tráfico llega de muchos sitios, bloquear una dirección no detiene el ataque, y es más difícil de rastrear que un ataque de denegación de servicio (DoS) desde una sola fuente.

Cómo funciona un ataque DDoS

El atacante controla una botnet y ordena a cada dispositivo que envíe peticiones al mismo objetivo. Al objetivo se le agota el ancho de banda, las conexiones disponibles o la capacidad de proceso, se vuelve lento y los usuarios legítimos reciben errores o tiempos de espera agotados. Las botnets también se alquilan, de modo que lanzar un ataque no exige conocimientos técnicos, una de las razones por las que siguen siendo comunes.

Tipos principales de ataque DDoS

Los ataques suelen agruparse según la capa que sobrecargan. Cada tipo tiene su propia entrada:

• Inundaciones volumétricas llenan el propio enlace de red. Ejemplos: inundación UDP, amplificación DNS y reflexión Memcached, donde una petición pequeña con dirección falsificada hace que un servidor envíe una respuesta mucho mayor a la víctima.
• Ataques de protocolo agotan el estado de conexión de servidores y equipos de red, por ejemplo una inundación SYN que deja peticiones de conexión sin terminar.
• Ataques de capa de aplicación parecen peticiones normales pero apuntan a trabajo costoso: el DDoS de capa de aplicación en general y la inundación HTTP en particular.
• Ataques contra DNS apuntan a la resolución de nombres para que los usuarios no encuentren su sitio: véase DDoS contra DNS.
• Extorsión une un ataque, o la amenaza de uno, a una exigencia de pago: véase DDoS con rescate.

Señales de un ataque

CISA menciona un rendimiento de red inusualmente lento, que un sitio concreto no esté disponible o que no se pueda acceder a ningún sitio. Estos síntomas también pueden deberse a mantenimiento o a fallos comunes, así que la monitorización del tráfico es la forma de confirmar un ataque: busque un salto repentino de peticiones, concentrado en una URL o procedente de pocas redes, sin un motivo de negocio como una campaña.

Defensa

CISA recomienda un servicio de protección DoS que filtre el tráfico malicioso, un plan de recuperación ante desastres que cubra comunicación, mitigación y recuperación, un cortafuegos que restrinja el tráfico, una configuración de seguridad sólida y monitorización con alertas ante carga anómala. Los pasos prácticos están en cómo detener ataques DDoS, protección DoS y el resumen de ataques DDoS.

Dónde encajan las pruebas de carga y la monitorización

Una prueba de carga no es una defensa contra DDoS, y LoadFocus no simula ataques DDoS. Le da el límite de capacidad con tráfico normal: dónde suben los tiempos de respuesta y empiezan los errores, es decir, cuánto margen tiene antes de cualquier oleada, hostil o no. Use una prueba de carga en la nube para encontrarlo y consulte las pruebas de picos para escenarios de subidas bruscas. Pruebe solo sistemas que sean suyos o para los que tenga permiso expreso. Nunca dirija tráfico al servicio de otra persona.

Preguntas frecuentes: ataques DDoS

¿Cuál es la diferencia entre DoS y DDoS?

Un ataque DoS viene de una sola fuente. Un ataque DDoS viene de muchas fuentes a la vez, normalmente una botnet, por lo que es mayor y bloquear una dirección no lo detiene.

¿Por qué usan botnets los atacantes?

Una botnet multiplica el volumen de tráfico y oculta el origen real, porque las peticiones llegan desde miles de dispositivos de aspecto normal.

¿Puede un ataque DDoS robar mis datos?

El objetivo de un DDoS es dejar un servicio inaccesible, no llevarse datos. Sin embargo, puede servir de distracción mientras ocurre otra cosa, así que revise sus registros durante un incidente.

¿Puedo probar mi sitio frente a un ataque DDoS?

No genere usted mismo tráfico de ataque. Use un proveedor de mitigación con ejercicios autorizados y controlados, y pruebas de carga normales, con permiso, para conocer su capacidad.