DoS vs. DDoS
Un ataque de denegación de servicio (DoS) inunda un servidor con tráfico, lo que hace que un sitio web o recurso deje de estar disponible. Un ataque de denegación de servicio distribuido (DDoS) es un ataque de DoS que utiliza múltiples computadoras o máquinas para inundar un recurso específico. Ambos tipos de ataques cibernéticos sobrecargan el servidor o aplicación web con el objetivo de interrumpir los servicios.
A medida que el servidor es inundado con más paquetes de Protocolo de control de transmisión/Protocolo de datagrama de usuario (TCP/UDP) de los que puede procesar, puede bloquearse, los datos pueden dañarse y los recursos pueden desviarse o incluso agotarse hasta el punto de paralizar el sistema.
¿Cuál es la diferencia entre los ataques de DoS y DDoS?
La principal diferencia entre un ataque de DoS y uno de DDoS es que el primero es un ataque de sistema sobre sistema, mientras que el segundo involucra varios sistemas que atacan a un solo sistema. Sin embargo, existen otras diferencias que involucran su naturaleza o detección, como las siguientes:
- Facilidad de detección/mitigación: Dado que un ataque de DoS proviene de una única ubicación, es más fácil detectar su origen y cortar la conexión. De hecho, esto lo puede hacer un firewall eficaz. Por otro lado, un ataque de DDoS proviene de múltiples ubicaciones remotas, lo que oculta su origen.
- Velocidad de ataque: Debido a que un ataque de DDoS proviene de múltiples ubicaciones, puede implementarse mucho más rápido que un ataque de DoS, que se origina desde una única ubicación. El aumento de la velocidad del ataque dificulta su detección, lo que implica un mayor daño o incluso un resultado catastrófico.
- Volumen de tráfico: Un ataque de DDoS emplea múltiples máquinas remotas (zombies o bots), lo que significa que puede enviar cantidades mucho mayores de tráfico desde diversas ubicaciones de forma simultánea, lo que sobrecarga el servidor rápidamente y elude la detección.
- Modo de ejecución: Un ataque de DDoS coordina múltiples hosts infectados con malware (bots), lo que crea una botnet administrada por un servidor de comando y control (CyC). Por el contrario, un ataque de DoS generalmente utiliza una secuencia de comandos o una herramienta para llevar a cabo el ataque desde una sola máquina.
- Rastreo del origen: El uso de una botnet en un ataque de DDoS significa que rastrear el origen real es mucho más complicado que rastrear el origen de un ataque de DoS.
Tipos de ataques cibernéticos de DoS y DDoS
Los ataques de DoS y los ataques de DDoS pueden tomar muchas formas y utilizarse para diversos fines. Por ejemplo, hacer que una empresa pierda negocios, paralizar a un competidor, distraer de otros ataques o simplemente causar problemas o hacer una declaración. Las siguientes son algunas de las formas más comunes de estos ataques.
Ataque por fragmentación
Un ataque por fragmentación es un ataque de DoS que envía innumerables fragmentos de datos de Protocolo de Internet (IP) a una red. Cuando la red intenta recompilar los fragmentos en sus paquetes originales, no puede hacerlo.
Por ejemplo, el atacante puede tomar paquetes de datos muy grandes y dividirlos en múltiples fragmentos para que el sistema objetivo los vuelva a compilar. Sin embargo, el atacante cambia la forma en que se descompila el paquete para confundir al sistema objetivo que, luego, no puede volver a compilar los fragmentos en los paquetes originales.
Ataque por inundación
Un ataque por inundación es un ataque de DoS que envía múltiples solicitudes de conexión a un servidor, pero que, luego, no responde para completar el handshake.
Por ejemplo, el atacante puede enviar varias solicitudes para conectarse como cliente, pero cuando el servidor intenta comunicarse para verificar la conexión, el atacante se niega a responder. Después de repetir el proceso innumerables veces, el servidor se ve tan sobrepasado con las solicitudes pendientes que los clientes reales no pueden conectarse; luego el servidor aparece como “ocupado” o, incluso, se bloquea.
Ataque de fragmentación de IP
Un ataque de fragmentación de IP es un tipo de ataque de DoS que entrega paquetes de red alterados que la red receptora no puede volver a recompilar. La red se ve atascada con voluminosos paquetes sin recompilar y con todos sus recursos utilizados.
Ataque volumétrico
Un ataque volumétrico es un tipo de ataque de DDoS que se utiliza para apuntar a recursos de ancho de banda. Por ejemplo, el atacante utiliza una botnet para enviar un alto volumen de paquetes de solicitudes a una red, lo que sobrecarga el ancho de banda de la red con solicitudes de eco del Protocolo de mensajes de control de Internet (ICMP). Esto hace que los servicios se ralenticen o se interrumpan por completo.
Ataque de protocolo
Un ataque de protocolo es un tipo de ataque de DDoS que se aprovecha de las debilidades en las capas 3 y 4 del modelo OSI. Por ejemplo, el atacante se puede aprovechar de la secuencia de conexión TCP al enviar solicitudes, pero no responder según lo esperado o responder con otra solicitud con dirección IP de origen falsificado. Las solicitudes sin responder utilizan los recursos de la red hasta que esta deja de estar disponible.
Ataque basado en aplicaciones
Un ataque basado en aplicaciones es un tipo de ataque de DDoS que apunta a la capa 7 del modelo OSI. Un ejemplo es un ataque de Slowloris, en el que el atacante envía solicitudes parciales de Protocolo de transferencia de hipertexto (HTTP), pero no las completa. Los encabezados HTTP se envían periódicamente para cada solicitud, lo que da como resultado que los recursos de red se conecten.
El atacante continúa con su arremetida hasta que el servidor no pueda realizar nuevas conexiones. Este tipo de ataque es muy difícil de detectar porque en lugar de enviar paquetes dañados, envía paquetes parciales y utiliza poco o nada de ancho de banda.
Cómo mejorar la protección contra ataques de DoS y DDoS
Las siguientes son algunas de las mejores prácticas de alto nivel para la protección de DDoS y DoS:
1. Monitorear la red continuamente: Esto es beneficioso para identificar patrones de tráfico normales y es esencial para la detección y mitigación tempranas.
2. Ejecutar pruebas para simular ataques de DoS: Ayudará a evaluar el riesgo, exponer vulnerabilidades y capacitar a los empleados en ciberseguridad.
3. Crear un plan de protección: Cree listas de verificación, forme un equipo de respuesta, defina los parámetros de respuesta e implemente protección.
4. Identificar sistemas críticos y patrones de tráfico normales: Lo primero ayuda a planificar la protección y lo segundo ayuda a detectar las amenazas de manera temprana.
5. Aprovisionar ancho de banda adicional: Puede que no detenga el ataque, pero ayudará a la red a lidiar con los picos de tráfico y a disminuir el impacto de cualquier ataque.
Los ataques de DDoS están evolucionando y son cada vez más sofisticados y poderosos, por lo que las organizaciones requieren soluciones que utilicen estrategias integrales, como herramientas avanzadas de creación de informes y análisis, para monitorear innumerables parámetros de amenazas simultáneamente. Para proteger a una organización de ataques conocidos y prepararse para posibles ataques de día cero, es necesaria una protección de DDoS multicapa, como FortiDDoS.
FortiDDoS incluye el dispositivo de mitigación de ataques DDoS de Fortinet, que proporciona evaluación continua de amenazas y protección de seguridad para las capas 3, 4 y 7.
