El ataque, considerado por algunos como uno de los mayores de la historia en Internet, comenzó después de conocerse que SpamHaus, una organización sin ánimo de lucro dedicada a combatir el spam en Internet, había incluido en sus listas a un proveedor de alojamiento de Internet holandés llamado CyberBunker, conocido por no discriminar a los clientes y temas que aloja, a excepción de pornografía infantil o material terrorista.
Poco después de hacerse pública la noticia, los servidores DNS de Spamhaus recibieron un potente ataque de Denegación de Servicio (DDoS) el cual, consiguió tumbar sus servicios, al tiempo que logró que Internet perdiera velocidad en distintas partes del mundo.
Análisis del mayor ataque de Denegación de Servicio registrado
La técnica, conocida como amplificación DNS, y similar al ataque llamado smurf, aprovecha la potencia de un puñado de ordenadores robots para generar una cantidad enorme de tráfico, utilizando la amplificación de servidores DNS abiertos e inundando el sistema atacado.
Así, los atacantes utilizaron una red de bots, con unos 1.000 ordenadores infectados controlados remotamente por los atacantes. Cada uno de ellos, simulando ser Spamhaus (Spoofing), envió peticiones de información a servidores en Internet llamados open resolvers o DNS abiertos a recibir peticiones recursivas, es decir, peticiones provenientes de IP’s desconocidas en Internet. En este caso, se utilizaron aproximadamente 100.000 DNS abiertos para amplificar el ataque.
Los resolvers crearon respuestas más largas (dirigidas a Spamhaus), consiguiendo el efecto de amplificación y multiplicación, por lo que Spamhaus se vio inundado de respuestas DNS y no pudo atender a las peticiones de clientes legítimos. Tras unos días de interrupción de servicio, Spamhaus reaccionó contratando los servicios de una compañía de protección en la nube.
Esto permitió a Spamhaus salvarse temporalmente, gracias a la posibilidad de absorber más tráfico, pero entonces, los atacantes se focalizaron en atacar a los nodos de comunicaciones utilizados por la compañía de protección en Europa y en Asia, afectando a los clientes de esta compañía, pero también al resto de usuarios que transitaban por estos nodos. El ataque paro el día 26 y volvió a empezar el día 28 de marzo, causando una congestión aislada en Europa.
“El ataque contra Spamhaus, y sus proveedores de conectividad y seguridad de Internet, es un ejemplo más de cómo los ataques DDoS se han convertido en el arma de facto elegida por ciber-activistas, cibercriminales o competidores desleales, entre otros”, afirma Marty Meyer, presidente de Corero Network Security. “Desafortunadamente, la infraestructura compartida que es Internet puede ser vulnerable a este tipo de ataque en el sistema de DNS, dado que las empresas se focalizan en proteger las aplicaciones web pero se olvidan del DNS que puede utilizarse para afectarles a ellos o utilizarlo contra terceros”.
Pasada la tempestad, y aunque todavía se desconoce el origen del ataque -los cuerpos de policía de cinco países continúan investigando los hechos-, lo que sí es cierto es que este ataque ha puesto de manifiesto una vez más la necesidad de extremar las medidas de seguridad de los sitios Web, ya que los ataques DDoS y el tráfico no deseado se hallan en aumento constante, erigiéndose como uno de los mayores problemas de seguridad actuales.
Recomendaciones para mitigar los efectos de DDoS
Aunque en el mercado existen soluciones de seguridad anti DDoS, muchas de ellas no analizan el tráfico de forma bidireccional, haciéndolo sólo en un único sentido (inbound), por lo que no pueden asegurar la protección completa de la red.
Las soluciones de Primera Línea de Defensa de Corero inspeccionan el tráfico en ambos sentidos (inbound/outbound) realizando un tracking de las conexiones, y permitiendo identificar y bloquear una respuesta en el caso que no se haya realizado una petición. De no permitirse la realización de estas funciones, el tráfico no legitimo impactaría la infraestructura y los servidores, ya que una respuesta DNS es siempre valida a efectos de un firewall, Web Application Firewall, balanceador de carga o detector de intrusiones.
En este sentido, Corero expone unas mejores prácticas para reducir el riesgo frente a este tipo de ataques en las empresas.
- La defensa contra DDoS y tráfico no deseado en el centro de datos es imprescindible.-. Las conexiones a Internet, incluyendo servicios de tipo “Clean Pipe” proporcionadas por ISPs, dan una falsa sensación de seguridad. Las soluciones de protección deben ser instaladas inmediatamente frente a las aplicaciones y los servidores de bases de datos, para lograr una respuesta granular a los ataques por inundaciones, así como, para detectar y desviar los cada vez más frecuentes ataques DDoS contra la capa de aplicación.
- Proteger el DNS.-. El DNS es un sistema de nombres distribuido que permite el acceso a Internet mediante el uso de denominaciones reconocibles y fáciles de recordar, en lugar de direcciones IP numéricas, en las cuales la infraestructura de red enruta los mensajes de un ordenador a otro. Desde que DNS es distribuido, muchas organizaciones utilizan y mantienen sus propios servidores DNS para que sus sistemas sean visibles en Internet. Sin embargo, estos servidores son a menudo blanco de ataques DDoS, y si el atacante consigue alterar las operaciones del DNS, todos los servicios de las víctimas pueden desaparecer de Internet, causando el deseado efecto de Denegación de Servicio. Es imprescindible disponer de mecanismos de protección bi-direccionales permitiendo realizar un tracking de las peticiones y respuestas, tanto a aplicaciones Web, como a DNS.
Ilustración: Corero
