Hace unos días publicamos una nota sobre un ataque cibernético contra SpamHaus, una organización sin ánimo de lucro dedicada a combatir el spam en internet. Esta organización incluyó en sus listas a un proveedor de alojamiento de internet holandés llamado CyberBunker, conocido por no discriminar a los clientes y temas que aloja, con excepción de pornografía infantil o material terrorista.
Poco después de hacerse pública la noticia, los servidores DNS de Spamhaus recibieron un potente ataque de Denegación de Servicio (DDoS) el cual, consiguió tumbar sus servicios, al tiempo que logró que internet perdiera velocidad en distintas partes del mundo.
De acuerdo con un análisis de la firma de seguridad Corero Network Security, la técnica (conocida como amplificación DNS y similar al ataque llamado smurf) aprovecha la potencia de un puñado de ordenadores robots para generar una cantidad enorme de tráfico, utilizando la amplificación de servidores DNS abiertos e inundando el sistema atacado.
Así, los atacantes utilizaron una red de bots, con unos 1,000 equipos infectados que fueron controlados remotamente por los atacantes. Cada uno de ellos, simulando ser Spamhaus (Spoofing), envió peticiones de información a servidores en internet llamados open resolvers o DNS abiertos a recibir peticiones recursivas, es decir, peticiones provenientes de IP’s desconocidas en Internet. En este caso, se utilizaron aproximadamente 100,000 DNS abiertos para amplificar el ataque.
Los resolvers crearon respuestas más largas (dirigidas a Spamhaus), consiguiendo el efecto de amplificación y multiplicación, por lo que Spamhaus se vio inundado de respuestas DNS y no pudo atender a las peticiones de clientes legítimos. Tras unos días de interrupción de servicio, Spamhaus reaccionó contratando los servicios de una compañía de protección en la nube.
Esto permitió a Spamhaus salvarse temporalmente, gracias a la posibilidad de absorber más tráfico, pero entonces, los atacantes se focalizaron en atacar a los nodos de comunicaciones utilizados por la compañía de protección en Europa y en Asia, afectando a los clientes de esta compañía, pero también al resto de usuarios que transitaban por estos nodos. El ataque paro el día 26 y volvió a empezar el día 28 de marzo, causando una congestión aislada en Europa.
Recomendaciones para mitigar los efectos de DDoS
A continuación, Corero expone un par de mejores prácticas para reducir el riesgo frente a este tipo de ataques en las empresas.
- La defensa contra DDoS y tráfico no deseado en el centro de datos es imprescindible. Las conexiones a Internet, incluyendo servicios de tipo “Clean Pipe” proporcionadas por ISPs, dan una falsa sensación de seguridad. Las soluciones de protección deben ser instaladas inmediatamente frente a las aplicaciones y los servidores de bases de datos, para lograr una respuesta granular a los ataques por inundaciones, así como, para detectar y desviar los cada vez más frecuentes ataques DDoS contra la capa de aplicación.
- Proteger el DNS. El DNS es un sistema de nombres distribuido que permite el acceso a Internet mediante el uso de denominaciones reconocibles y fáciles de recordar, en lugar de direcciones IP numéricas, en las cuales la infraestructura de red enruta los mensajes de un ordenador a otro. Desde que DNS es distribuido, muchas organizaciones utilizan y mantienen sus propios servidores DNS para que sus sistemas sean visibles en Internet. Sin embargo, estos servidores son a menudo blanco de ataques DDoS, y si el atacante consigue alterar las operaciones del DNS, todos los servicios de las víctimas pueden desaparecer de Internet, causando el deseado efecto de Denegación de Servicio. Es imprescindible disponer de mecanismos de protección bi-direccionales permitiendo realizar un tracking de las peticiones y respuestas, tanto a aplicaciones Web, como a DNS.
Fuente: Search Data Center
