Con motivo del reciente ataque DDoS perpetrado contra SpamHaus, Corero Network Security realizó una valoración del mismo, y emitió una serie de consejos para luchar contra los ataques DDoS.

El ataque, considerado por algunos como uno de los mayores de la historia en Internet, comenzó después de conocerse que SpamHaus, una organización sin ánimo de lucro dedicada a combatir el spam en Internet, había incluido en sus listas a un proveedor de alojamiento de Internet holandés llamado CyberBunker, conocido por no discriminar a los clientes y temas que aloja, a excepción de pornografía infantil o material terrorista.

Poco después de hacerse pública la noticia, los servidores DNS de Spamhaus recibieron un potente ataque de Denegación de Servicio (DDoS) el cual consiguió tumbar sus servicios, al tiempo que logró que Internet perdiera velocidad en distintas partes del mundo.

Los atacantes utilizaron una red de bots, con unas 1,000 computadoras infectadas y controladas remotamente por los atacantes. Cada uno de ellos, simulando ser Spamhaus (Spoofing), envió peticiones de información a servidores en Internet llamados open resolvers o DNS abiertos a recibir peticiones recursivas, es decir, peticiones provenientes de IPs desconocidas en Internet. En este caso, se utilizaron aproximadamente 100,000 DNS abiertos para amplificar el ataque.

Los resolvers crearon respuestas más largas (dirigidas a Spamhaus), consiguiendo el efecto de amplificación y multiplicación, por lo que Spamhaus se vio inundado de respuestas DNS y no pudo atender a las peticiones de clientes legítimos. Tras unos días de interrupción de servicio, Spamhaus reaccionó contratando los servicios de una compañía de protección en la nube.

Esto permitió a Spamhaus salvarse temporalmente, gracias a la posibilidad de absorber más tráfico, pero entonces, los atacantes se focalizaron en atacar a los nodos de comunicaciones utilizados por la compañía de protección en Europa y en Asia, afectando a los clientes de esta compañía, pero también al resto de usuarios que transitaban por estos nodos. El ataque paro el día 26 y volvió a empezar el día 28 de marzo, causando una congestión aislada en Europa.

“El ataque contra Spamhaus y sus proveedores de conectividad y seguridad de Internet es un ejemplo más de cómo los ataques DDoS se han convertido en el arma de facto elegida por ciberactivistas, cibercriminales o competidores desleales, entre otros”, afirma Marty Meyer, presidente de Corero Network Security.

“Desafortunadamente, la infraestructura compartida que es Internet puede ser vulnerable a este tipo de ataque en el sistema de DNS, dado que las empresas se focalizan en proteger las aplicaciones web pero se olvidan del DNS que puede utilizarse para afectarles a ellos o utilizarlo contra terceros”, apuntó.

Recomendaciones para mitigar los efectos de DDoS

• La defensa contra DDoS y tráfico no deseado en el centro de datos es imprescindible. Las conexiones a Internet, incluyendo servicios de tipo “Clean Pipe” proporcionadas por ISPs, dan una falsa sensación de seguridad. Las soluciones de protección deben ser instaladas inmediatamente frente a las aplicaciones y los servidores de bases de datos, para lograr una respuesta granular a los ataques por inundaciones, así como, para detectar y desviar los cada vez más frecuentes ataques DDoS contra la capa de aplicación.

• Proteger el DNS.  El DNS es un sistema de nombres distribuido que permite el acceso a Internet mediante el uso de denominaciones reconocibles y fáciles de recordar, en lugar de direcciones IP numéricas, en las cuales la infraestructura de red enruta los mensajes de un ordenador a otro. Desde que DNS es distribuido, muchas organizaciones utilizan y mantienen sus propios servidores DNS para que sus sistemas sean visibles en Internet. Sin embargo, estos servidores son a menudo blanco de ataques DDoS, y si el atacante consigue alterar las operaciones del DNS, todos los servicios de las víctimas pueden desaparecer de Internet, causando el deseado efecto de Denegación de Servicio. Es imprescindible disponer de mecanismos de protección bidireccionales permitiendo realizar un tracking de las peticiones y respuestas, tanto a aplicaciones Web, como a DNS.

CIO México