Inteligencia sobre amenazas DDoS

El panorama de las amenazas DDoS evoluciona constantemente. Estas son las tendencias actuales a tener en cuenta.

Ataques DDoS de día cero

Qué son: Ataques que explotan vulnerabilidades desconocidas o utilizan técnicas novedosas.

‍

Características:

• No existen firmas de detección previas
• Los sistemas de defensa no reconocen el patrón
• A menudo altamente efectivos al inicio

Ejemplos recientes:

• Explotación de nuevas vulnerabilidades en protocolos
• Nuevos vectores de ataque en la capa de aplicación
• Abuso de funciones recién lanzadas en software popular

Enfoque de defensa:

• Análisis conductual (detectar anomalías, no solo firmas conocidas)
• IA y aprendizaje automático para el reconocimiento de patrones
• Capacidades de respuesta y adaptación rápidas

Ataques de bombardeo (Carpet Bombing)

Detección: Identificado por Investigación de Nexusguard como "ataque de fragmentación"

‍

Qué lo hace diferente: A diferencia de los ataques tradicionales que se dirigen a una sola IP, el bombardeo de alfombra distribuye el tráfico de ataque a través de rangos completos de IP.

‍

Cómo funciona:

• El tráfico de ataque se dispersa entre cientos o miles de direcciones IP
• Se envían pequeñas cantidades a cada IP (por debajo de los umbrales de detección individuales)
• El tráfico converge hacia el prefijo objetivo, formando un flujo agregado masivo
• El tráfico contaminado se mezcla con el tráfico legítimo

Por qué es efectivo:

• Evade la limitación de velocidad y la detección por IP
• Los dispositivos tradicionales de análisis de flujo (firewalls, IPS, IDS) no logran detectarlo
• No se puede utilizar el bloqueo de tráfico (blackholing) tradicional, ya que bloquearía demasiadas IP legítimas
• Abruma la infraestructura de los CSP/ISP
• Provoca una alta latencia o el bloqueo de la red

Quiénes están en riesgo:

• Proveedores de servicios de comunicación (CSP)
• Proveedores de servicios de Internet (ISP)
• Redes de gran escala a nivel de ASN
• Organizaciones con infraestructura IP distribuida

Requisitos de defensa:

• Análisis del comportamiento de red (NBA) en rangos IP
• Detección de anomalías de tráfico a nivel agregado
• Limpieza basada en la nube con capacidad masiva
• Visibilidad y análisis de tráfico en tiempo real

(Fuente: Nexusguard, "Cómo detectar y mitigar ataques DDoS de tipo "bit-and-piece"")

Campañas de DDoS por rescate (RDoS)

La amenaza: Los atacantes exigen un pago para detener ataques en curso o prevenir futuros.

‍

Cómo funciona:

• Pequeño ataque de "demostración" para probar su capacidad
• Demanda de rescate (normalmente pago en Bitcoin)
• Amenaza con fecha límite: "Pague en 24 horas o enfrentará un ataque mayor"
• Escalada de ataques si no se realiza el pago

Actividad reciente:

• 2020: Más de 100 instituciones financieras atacadas
• Coste medio para los servicios financieros: 227.865 $ por ataque (Fuente: Guía del sector de servicios financieros de Nexusguard)
• Las campañas suelen atacar a varias organizaciones del mismo sector simultáneamente

Por qué las organizaciones pagan:

• Miedo a un tiempo de inactividad prolongado
• Falta de protección contra DDoS
• Presión durante periodos críticos para el negocio

Por qué no debería pagar:

• No hay garantía de que los ataques cesen
• Le marca como alguien dispuesto a pagar (objetivo futuro)
• Financia operaciones delictivas
• Es posible que no tenga derecho legal a pagar (sanciones, leyes de financiación del terrorismo)

Respuesta adecuada:

• Disponga de protección contra DDoS antes ataques
• Denuncie a las autoridades
• Active la mitigación de inmediato
• Comuníquese con sus clientes de forma proactiva

Ataques combinados de DDoS y ransomware

La nueva amenaza: Los atacantes combinan DDoS con ransomware para realizar una "triple extorsión".

‍

Cómo funciona:

• Primera extorsión: Cifrar datos y exigir un rescate
• Segunda extorsión: Amenazar con filtrar los datos robados
• Tercera extorsión: Lanzar ataques DDoS para presionar el pago

Por qué es eficaz:

• Múltiples puntos de presión sobre la víctima
• El DDoS impide las operaciones comerciales durante la negociación del rescate
• Genera urgencia y pánico
• Aumenta la probabilidad de pago

Estrategia de defensa:

• Equipos separados para la respuesta ante DDoS y ransomware
• No permita que un ataque DDoS distraiga la investigación de una brecha de datos
• Mantenga la continuidad del negocio durante ambos tipos de ataque
• Planes integrales de respaldo y recuperación ante desastres

Ataques relámpago

Qué son: Ataques de corta duración y alta intensidad que finalizan antes de que la mitigación se active por completo.

‍

Características:

• Duran entre 5 y 15 minutos
• Alta intensidad (suficiente para causar interrupciones)
• Se repiten a lo largo del día o la semana
• Dirigidos a organizaciones con activación manual de mitigación

Por qué los atacantes usan esta táctica:

• Evadir los umbrales de detección
• Explotar la lentitud en la activación de la mitigación
• Causar interrupciones acumulativas sin un esfuerzo sostenido
• Poner a prueba las defensas para futuros ataques de mayor envergadura

Requisitos de defensa:

• Protección permanente (sin retrasos de activación)
• Detección y respuesta automatizadas
• Activación rápida de mitigación (en segundos, no en minutos)

‍