\u00a1A las 3 de esa ma\u00f1ana, mi tel\u00e9fono m\u00f3vil de repente vibr\u00f3 como un loco - el jefe del departamento de negocios me llam\u00f3 directamente, su voz cambi\u00f3: \"El sitio web oficial y los servicios b\u00e1sicos est\u00e1n todos atascados, y las quejas de los usuarios han explotado! Al instante me levant\u00e9 de la cama, incluso las zapatillas no pueden usar para correr a la computadora, conexi\u00f3n SSH para ver, buen chico, la tarjeta de red del servidor est\u00e1 directamente lleno, el tr\u00e1fico entrante UDP como un perro rabioso se dispar\u00f3 a 4Gbps. esto es claramente un t\u00edpico ataque de inundaci\u00f3n UDP, y no es una peque\u00f1a pelea.<\/p>\n
UDP Flood esta cosa, en la familia de ataques DDoS es definitivamente un \"trabajo sucio profesional. No es como SYN Flood, pero tambi\u00e9n un poco de \"contenido t\u00e9cnico\", puramente por fuerza bruta. El atacante utiliza la naturaleza sin conexi\u00f3n del protocolo UDP para falsificar un gran n\u00famero de IPs de origen para enviar paquetes basura al servidor objetivo. Como el servidor intenta procesar estas peticiones inv\u00e1lidas, sus recursos se agotan r\u00e1pidamente y las peticiones normales de los usuarios no pueden entrar. Lo que es a\u00fan m\u00e1s repugnante es que los ataques de amplificaci\u00f3n de reflexi\u00f3n son ahora populares, como NTP, DNS, reflexi\u00f3n Memcached, el atacante puede husmear cientos de gigabytes de tr\u00e1fico con una peque\u00f1a pipa de agua, lo que es muy rentable.<\/p>\n
\u00bfPor qu\u00e9 los cortafuegos tradicionales suelen dar un tir\u00f3n de orejas ante este tipo de ataques?<\/strong> He descubierto que los cortafuegos de hardware en los que conf\u00edan muchas organizaciones se bloquean casi instant\u00e1neamente cuando se enfrentan a inundaciones UDP de m\u00e1s de 1 Gbps. Su dise\u00f1o se centra en la detecci\u00f3n de estado, pero el propio UDP no tiene estado, por lo que el cortafuegos tiene que consumir mucha CPU y memoria para intentar establecer una \"pseudo-sesi\u00f3n\" y, en \u00faltima instancia, se ve arrastrado a la muerte en primer lugar. Por eso la gente conf\u00eda cada vez m\u00e1s en las CDN de alta definici\u00f3n para soportar la carga, dirigiendo el tr\u00e1fico a centros de limpieza distribuidos por todo el mundo, lejos de sus propios sitios de origen.<\/p>\n Alta defensa CDN UDP Flood prevenci\u00f3n, el n\u00facleo de los dos golpes: la limpieza de tr\u00e1fico y filtrado de puertos. Pero estas dos palabras suenan simples, detr\u00e1s del agua es muy profunda. El nivel de aplicaci\u00f3n de los diferentes proveedores, que es realmente diferente.<\/p>\n Empecemos por la limpieza del tr\u00e1fico. No se trata simplemente de \"venir todos los que puedas y perder todos los que puedas\". Un centro de limpieza de calidad tiene una enorme capacidad de aprendizaje de la l\u00ednea de base del tr\u00e1fico justo en la entrada. Mediante el an\u00e1lisis en tiempo real, puede determinar con precisi\u00f3n en 3-5 segundos qu\u00e9 es tr\u00e1fico empresarial normal (como voz de juegos, videoconferencias) y qu\u00e9 es inundaci\u00f3n maliciosa. Por ejemplo, la red de limpieza global de CDN5, los he visto personalmente en un ataque de reflexi\u00f3n NTP de m\u00e1s de 300Gbps, puede completarse en 10 segundos de tracci\u00f3n y limpieza, y el tr\u00e1fico final a la estaci\u00f3n de origen es casi cero.<\/p>\n Su estrategia de limpieza es por capas. La primera capa es el cribado grueso: se basa directamente en el protocolo BGP para atraer din\u00e1micamente el tr\u00e1fico sospechoso de ataque al centro de limpieza distribuido. La segunda capa es el an\u00e1lisis de protocolos: an\u00e1lisis en profundidad del contenido de los paquetes UDP. Por ejemplo, en un paquete de consulta DNS, la longitud y el contenido del paquete normal tienen un patr\u00f3n espec\u00edfico, mientras que el paquete de ataque suele ser confuso o estar lleno de cargas \u00fatiles sobredimensionadas. La tercera capa es la limitaci\u00f3n de velocidad: el n\u00famero de paquetes UDP por unidad de tiempo de una IP de origen o un puerto de destino espec\u00edficos se controla mediante un umbral din\u00e1mico. Con esta combinaci\u00f3n, se filtra la mayor parte del tr\u00e1fico ruidoso.<\/p>\n Otra empresa digna de menci\u00f3n es CDN07, cuya especialidad es el \"modelo de aprendizaje inteligente\". En lugar de limitarse a establecer umbrales est\u00e1ticos, aprenden continuamente el modelo de tr\u00e1fico empresarial de cada cliente mediante modelos de aprendizaje autom\u00e1tico. Por ejemplo, si su negocio son los dispositivos IoT que env\u00edan datos, suele tratarse de paquetes peque\u00f1os, baja frecuencia y conexiones largas. En cuanto haya tr\u00e1fico UDP de alta frecuencia y paquetes grandes, el modelo lo marcar\u00e1 inmediatamente como anomal\u00eda, lo que es mucho m\u00e1s sensible que establecer reglas manualmente. Tras la migraci\u00f3n de uno de mis clientes a CDN07, la tasa de falsos positivos se redujo pr\u00e1cticamente a cero.<\/p>\n La limpieza del tr\u00e1fico no es suficiente, el filtrado de puertos es otra l\u00ednea clave de defensa. Su concepto es extremadamente simple: s\u00f3lo liberar los puertos que son necesarios para el negocio, y matar a todos los dem\u00e1s. Sin embargo, en realidad, muchas operaciones y mantenimiento por miedo a los problemas, directamente en la alta defensa CDN UDP rango de puertos establecido en 0:65535 (todos abiertos), lo que equivale a la puerta est\u00e1 completamente abierta, la presi\u00f3n de limpieza es enorme.<\/p>\n Lo correcto es extremar la convergencia de puertos. Por ejemplo, si su negocio son s\u00f3lo servicios DNS, entonces abra s\u00f3lo el puerto UDP 53. Si se trata de videoconferencias, puede que s\u00f3lo abra algunos rangos de puertos para convenciones RTP\/RTCP. Una CDN de alta defensa debe ofrecer una configuraci\u00f3n flexible de las reglas de filtrado de puertos, admitir segmentos de puertos masivos y puertos individuales, y poder establecer diferentes pol\u00edticas de limpieza para distintos puertos.<\/p>\n He aqu\u00ed un ejemplo de una configuraci\u00f3n que utilizo habitualmente, basada en la API de CDN5 (simulaci\u00f3n):<\/p>\n No crea a esos vendedores que le dicen que \"est\u00e1 bien abrir todos los puertos, somos muy buenos limpiando\". Hoy en d\u00eda, incluso las CDN tienen que \"prevenir a los compa\u00f1eros de equipo\", y reducir proactivamente la superficie de ataque es el camino a seguir. Una vez ayud\u00e9 a un cliente a hacer la optimizaci\u00f3n, s\u00f3lo de toda la gama de puertos UDP abiertos se redujo a la empresa realmente necesita 3 puertos, el costo de ancho de banda de ataque del mes siguiente se redujo en 60%.<\/p>\n En cuanto al emergente 08Host, su estrategia es un poco diferente. Se centran principalmente en la tecnolog\u00eda \"port stealth\". Para los puertos UDP que no est\u00e1n abiertos al tr\u00e1fico, directamente no responden a nivel del centro de limpieza, en lugar de recibirlos y luego dejarlos caer. De este modo, los atacantes ni siquiera pueden detectar la accesibilidad del puerto, y mucho menos lanzar un ataque eficaz. Esto resulta especialmente eficaz para reducir el ruido de fondo del tr\u00e1fico.<\/p>\n Por supuesto, ninguna t\u00e9cnica por s\u00ed sola es una bala de plata. En la pr\u00e1ctica, tiene que ser una vinculaci\u00f3n de pol\u00edticas multicapa. Mi propio sistema de defensa suele ser: filtrado de puertos (capa 1) + comprobaci\u00f3n del cumplimiento de protocolos (capa 2) + limitaci\u00f3n de velocidad y huella digital din\u00e1mica (capa 3) + diluci\u00f3n global del tr\u00e1fico Anycast (capa 4). Con esta capa de filtrado, lo que llega al origen ya es tr\u00e1fico claro y normal.<\/p>\n Al final, no puedo evitar escupir una frase: muchas empresas siempre esperan a quedarse paralizadas antes de pensar en comprar alta defensa. De hecho, por lo general deben hacer un buen trabajo de base, como restricciones estrictas en los puertos UDP, elegir la fuerza de los grandes proveedores de limpieza (no ser codicioso de barato), y regularmente hacer ejercicios de ataque y defensa.UDP Flood no va a desaparecer, s\u00f3lo se har\u00e1 m\u00e1s y m\u00e1s feroz. Pero siempre que comprendas su mecanismo y utilices las capacidades de limpieza y filtrado de la CDN, podr\u00e1s pasar de la \"pasividad para luchar\" a la \"defensa activa\".<\/p>\n La seguridad es esencialmente un juego de costes. Los atacantes no tienen recursos ilimitados. Cuando subes el coste del ataque lo suficiente, naturalmente ir\u00e1n a buscar un caqui m\u00e1s blando que pellizcar. Y tener un CDN de alta defensa correctamente configurado es una de las cartas m\u00e1s dif\u00edciles de su juego.<\/p>","protected":false},"excerpt":{"rendered":" \u00a1A las 3 de esa ma\u00f1ana, mi tel\u00e9fono m\u00f3vil de repente vibr\u00f3 como un loco - el jefe del departamento de negocios me llam\u00f3 directamente, su voz cambi\u00f3: \"El sitio web oficial y los servicios b\u00e1sicos est\u00e1n todos atascados, y las quejas de los usuarios han explotado! Al instante me levant\u00e9 de la cama, incluso zapatillas no pueden usar para correr a la computadora, conexi\u00f3n SSH para ver, buen chico, la tarjeta de red del servidor est\u00e1 directamente lleno, el tr\u00e1fico entrante UDP como un perro rabioso se dispar\u00f3 a 4Gbps. esto es claramente un t\u00edpico ataque de inundaci\u00f3n UDP, y no es una peque\u00f1a pelea. UDP Flood esta cosa, en la familia de ataque DDoS es sin duda un \"trabajo sucio profesional. No es como SYN Flood, pero tambi\u00e9n un poco de \"contenido t\u00e9cnico\", puramente por fuerza bruta. Los atacantes utilizan la caracter\u00edstica sin conexi\u00f3n del protocolo UDP<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-996","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/996","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=996"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/996\/revisions"}],"predecessor-version":[{"id":1129,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/996\/revisions\/1129"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=996"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=996"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=996"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=996"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}