Pasos para que las empresas eviten los ataques por Denegación de Servicio (DDoS)

Florian Malecki, EMEA Senior Product Marketing Manager de Dell SonicWALL.

Este es un titular muy común en todo el mundo: Una página web destacada ha sido hackeada. El origen de esta creciente amenaza es el ataque distribuido de denegación de servicios a las empresas (DDoS). Es importante que las empresas sean conscientes de esto y lleven a cabo acciones proactivas para prevenir ser víctimas de este tipo de ataques DDoS.

El riesgo es real y cada vez es más peligroso

Si piensas que eres demasiado pequeño o demasiado irrelevante para ser una víctima interesante para un hacker, piénsalo de nuevo. Cualquier organización es una posible víctima y la mayoría de nosotros somos vulnerables a los ataques DDoS. Tanto si se trata de una empresa global dentro de las Fortune 500, una agencia gubernamental o una pyme, todas ellas están dentro de la lista de objetivos de los ciberdelincuentes actuales. Incluso las empresas más seguras, con una gran inversión de recursos y expertos en seguridad han sido víctimas de estas amenazas.

Recientemente, el número de incidentes por DDoS se ha incrementado significativamente. Los ataques además han aumentado en escala, incluso excediendo el volumen del tráfico de 100 Gbps.

¿Por qué DDoS?

Los criminales utilizan DDoS ya que es barato, difícil de detectar, y altamente efectivo. Los ataques por DDoS son baratos ya que pueden proporcionar redes distribuidas de cientos de ordenadores zombies infectados con gusanos u otro tipo de métodos automáticos. Por ejemplo, los ataques DDoS de MyDoom utilizaron un gusano para distribuir el lanzamiento de un ataque por flujos. Debido a que estos botnets se venden y están disponibles globalmente en el mercado negro, un atacante puede comprar el uso de un botnet por menos de 100$ para un flujo de ataques, o contratar ataques específicos por tan solo 5$ la hora.

Los ataques DDoS son difíciles de detectar ya que a menudo utilizan conexiones normales e imitan el tráfico autorizado normal. Como resultado es altamente efectivo ya que normalmente los servidores objetivos confían por error en el tráfico y, por tanto, facilitan los ataques ejecutando la solicitud que en última instancia los inunda.

¿Qué pueden hacer los departamentos de TI?

1. Los departamentos TI necesitan ser preventivos.

Hablando claro, los departamentos TI deberían saber su ISP. Deberían colaborar en proporcionar un plan de respuesta más efectivo con sus proveedores de servicios. En muchos casos, los ISP pueden ser la primera línea de defensa frente a los DDoS.

Los departamentos de TI deberían saber cuales son sus cuellos de botella. Una organización TI bien preparada debería identificar las partes de la red más propensas a ser atacadas por DDoS, como el ancho de banda a internet, firewalls, prevención de intrusiones (IPS), balanceador de cargas o servidores. Más aún, las TI necesitan monitorizar de cerca estos potenciales puntos de fallo, y evaluar si actualizar u optimizar su rendimiento y resistencia.

Finalmente, los responsables TI deberían conocer su tráfico. Las TI no pueden controlar lo que se puede y lo que no se puede ver. Por tanto las TI deberían escanear y monitorizar tanto el tráfico de entrada como el de salida para ganar visibilidad en volúmenes poco usuales o diseños que puedan identificar sitios target o revelar botnets dentro de la red. Para los más preparados, las TI necesitan además visibilidad en el tráfico de capa 7 con el objetivo de identificar y controlar ataques DDoS por capas de aplicación.

2. Los departamentos TI necesitan estar preparados.

Las organizaciones TI deberían invertir en evaluar e implementar productos y servicios apropiados. Por ejemplo, algunos firewalls de próxima generación ponen de relieve las contramedidas de prevención y detección de intrusiones contra ataques DDoS conocidos, que pueden ser actualizados automáticamente con nuevas firmas.

De forma ideal, los departamentos de TI necesitarán un firewall para analizar en profundidad tanto el tráfico de entrada como el de salida – incluyendo visibilidad en las aplicaciones – y monitorizar y alertar en caso de diseños sospechosos.

Para una inteligencia de tráfico mejorada, los departamentos TI deben además considerar la implementación de un software que analice el flujo de tráfico que pueda examinar el uso de datos por aplicación o usuarios, mirar los datos sobre diferentes periodos de tiempo y los datos del tráfico correlativo desde múltiples fuentes como NetFlow e IPFIX.

Más aún, los departamentos de TI líderes deberían evaluar las tecnologías emergentes para añadir al arsenal, como geolocalización IP, que podría ayudar a identificar fuentes geográficas sospechosas.

3. Las TI necesitan ser fuertes.

Como hemos descrito, los ataques por denegación de servicio normalmente se producen a través sistemas de desbordados y con cuellos de botella. Siempre que sea posible, las TI debería mejorar la fuerza y flexibilidad de la red con componentes de alto rendimiento y altamente redundantes, así como gestión de ancho de banda basado en políticas.

Por ejemplo, algunos firewalls de nueva generación pueden combinar un diseño muli-core escalable masivamente con tecnología de escáner de paquetes en profundidad para permitir el escaneo de aplicaciones y amenazas de forma simultánea así como el análisis de archivos de todos los tamaños y conexiones a velocidades gigabit. Este tipo de firewalls puede ser configurado para un rendimiento y flexibilidad óptima bajo ataques, con alta disponibilidad de failover activo/activo, control e inteligencia de aplicación, así como priorización de ancho de banda.

Conclusiones

Si una organización lleva a cabo su trabajo desde cualquier lugar a través de Internet, no es una cuestión de “si…” sino de “cuando…” será objetivo de un ataque DDoS. Todavía hay muchas cosas que los departamentos de TI pueden hacer para minimizar su impacto. La organización de TI debería colaborar de cerca con empresas líderes para prevenir los puntos vulnerables, para estar preparados con las contramedidas apropiadas y para fortalecerse con alto rendimiento y componentes de seguridad de red altamente redundantes.