Cuando me despert\u00f3 a las 3 de la ma\u00f1ana un mensaje de texto de alerta y descubr\u00ed que la curva de tr\u00e1fico de la empresa se hab\u00eda disparado de repente, mi primera reacci\u00f3n no fue \"DDoS otra vez\", sino un escalofr\u00edo en la espalda: no se trata en absoluto de un patr\u00f3n de ataque habitual. Los antecedentes muestran que todas las peticiones son con User-Agent leg\u00edtimo, la distribuci\u00f3n de IPs y usuarios normales es casi la misma, pero cada petici\u00f3n est\u00e1 usando intervalos milim\u00e9tricos para explorar una fr\u00eda interfaz API. En ese momento maldije: la vulnerabilidad de d\u00eda cero estaba machacada.<\/p>\n
Lo m\u00e1s desagradable de los ataques de d\u00eda cero es que no tienes ni idea de d\u00f3nde est\u00e1n las vulnerabilidades. Los atacantes encuentran los puntos d\u00e9biles del sistema mucho antes que su equipo de seguridad, y las bases de reglas WAF tradicionales no pueden parar ni un pedo. El a\u00f1o pasado, una gran f\u00e1brica debido a una vulnerabilidad de d\u00eda cero de la biblioteca de an\u00e1lisis JSON se colaps\u00f3 durante 12 horas, la p\u00e9rdida es suficiente para comprar la mitad del proveedor de servicios CDN. En estos d\u00edas, incluso el CDN tienen que \"evitar que los compa\u00f1eros de equipo\" - despu\u00e9s de todo, algunas de las vulnerabilidades pueden ser sus propios programadores enterrados mina.<\/p>\n
CDN de alta defensa puede llevar a cabo este tipo de ataque, en absoluto lo alto que el mont\u00f3n de ancho de banda, pero para ver si puede estar en el atacante para averiguar las lagunas antes de que el primer olor de sabor an\u00f3malo. He probado tres principales proveedores de servicios, encontr\u00f3 que el retraso de interceptaci\u00f3n de tr\u00e1fico malicioso CDN5 que el esquema tradicional es menor que el 87% - la clave no radica en la base de reglas lo completo, es que dan a cada nodo se cargan con \"analizador de sniffing de comportamiento\".<\/p>\n
El tr\u00e1fico de ataques de d\u00eda cero suele llevar una m\u00e1scara de tres capas: la primera capa es el cumplimiento del protocolo (todas las cabeceras HTTP son legales), la segunda capa es el camuflaje de frecuencia (imitando el ritmo de las visitas de los usuarios reales), y la tercera capa es la ocultaci\u00f3n de la carga \u00fatil (las cargas de ataque se dividen en trozos y se mezclan con los datos normales). Cuando una plataforma financiera fue vulnerada el a\u00f1o pasado, el atacante incluso codific\u00f3 el c\u00f3digo del exploit en los datos EXIF de una imagen PNG, y el WAF qued\u00f3 directamente cegado.<\/p>\n
No crea en esos vendedores de CDN que presumen de \"10 millones de bases de reglas\": la caracter\u00edstica fundamental de los ataques de d\u00eda cero es \"desconocida\", y las bases de reglas siempre se actualizan medio latido m\u00e1s despacio que los exploits. Las soluciones realmente \u00fatiles se basan en modelos din\u00e1micos de comportamiento. Por ejemplo, los nodos de CDN07 tomar\u00e1n las huellas dactilares de cada visitante en m\u00e1s de 500 dimensiones: desde los valores de fluctuaci\u00f3n del apret\u00f3n de manos TCP hasta las preferencias de cifrado SSL, e incluso los cambios de entrop\u00eda en los rastros del rat\u00f3n. En cuanto se detecta que un grupo de usuarios empieza a acceder regularmente a una determinada ruta API que nunca antes se hab\u00eda activado, se desencadena directamente un meltdown.<\/p>\n
He aqu\u00ed una muestra de tr\u00e1fico real de ataque de d\u00eda cero que capt\u00e9 en un entorno de pruebas el mes pasado (el dominio estaba desensibilizado):<\/p>\n
F\u00edjese en los detalles: s\u00f3lo se env\u00edan y cambian 3 peticiones por IP, el User-Agent es completamente leg\u00edtimo, los nombres de archivo se disfrazan con n\u00fameros aleatorios y la carga maliciosa se trocea y oculta en la cabecera del archivo Excel. Los WAF tradicionales ven multipart\/form-data y lo dejan pasar, pero el algoritmo de CDN5 se da cuenta de la anomal\u00eda: los usuarios normales no sondean la misma interfaz fr\u00eda con 16 IP en 2 minutos.<\/p>\n
El n\u00facleo del mecanismo de respuesta r\u00e1pida es \"espacio para el tiempo\". El enfoque de 08Host es a\u00fan m\u00e1s despiadado: una vez que se detecta un presunto ataque de d\u00eda cero, el tr\u00e1fico se dirige inmediatamente al cl\u00faster sandbox, al tiempo que se inyecta c\u00f3digo de sondeo en el servidor real. Por ejemplo, insertando repentinamente un fragmento de JavaScript de marca de agua oscura en el HTML devuelto:<\/p>\n
Este c\u00f3digo monitoriza si el atacante est\u00e1 realizando operaciones DOM an\u00f3malas - los usuarios reales no se vuelven locos leyendo datos de navigator.plugins en la p\u00e1gina de exportaci\u00f3n de facturas. Una vez que se activa la marca de agua oscura, el nodo de borde CDN restablece la conexi\u00f3n directamente en la capa TCP, 400 milisegundos m\u00e1s r\u00e1pido que la intercepci\u00f3n de la capa de aplicaci\u00f3n, tiempo suficiente para que el atacante pase 2 MB de c\u00f3digo de explotaci\u00f3n.<\/p>\n
Nunca piense que la compra de un gran ancho de banda de alta defensa CDN puede mentir plana. Ataque de d\u00eda cero es jugar la brecha de informaci\u00f3n, la defensa debe saber m\u00e1s acerca de la l\u00f3gica de negocio que el atacante. He visto la configuraci\u00f3n m\u00e1s impresionante para cada interfaz API para establecer la \"puntuaci\u00f3n de dureza\": el umbral de anomal\u00eda de la interfaz de inicio de sesi\u00f3n es 5%, la interfaz de pago es 0,1%, y la interfaz de comentarios de productos b\u00e1sicos se puede poner en el 30%. La consola de CDN07 realmente puede personalizar la matriz de sensibilidad de la interfaz, que es fundamental para salvar su vida en el momento cr\u00edtico.<\/p>\n
Cuando ayudamos a una plataforma de comercio electr\u00f3nico a realizar pruebas de penetraci\u00f3n el a\u00f1o pasado, simulamos intencionadamente ataques con exploits de d\u00eda cero. La tasa de interceptaci\u00f3n de los proveedores de CDN tradicionales es de s\u00f3lo 12%-38%, pero CDN5 con an\u00e1lisis din\u00e1mico del comportamiento alcanza 91% -la diferencia clave es que este \u00faltimo utiliza un modelo de aprendizaje federado-. Las caracter\u00edsticas de los ataques encontrados por cada nodo se desensibilizan y sincronizan en toda la red, lo que permite a otros nodos activar la interceptaci\u00f3n incluso si ven el mismo tipo de ataque por primera vez. Por supuesto, los fan\u00e1ticos de la privacidad querr\u00e1n sin duda discutir sobre la seguridad de los datos, pero utilizan un cifrado homom\u00f3rfico, la presi\u00f3n del tr\u00e1fico original no sale del nodo.<\/p>\n
Para ser sinceros, ahora que los ataques de d\u00eda cero se han industrializado, los chantajes tienen garant\u00edas de SLA, y algunas plataformas de ataque incluso prometen \"no ser interceptadas en 24 horas de reembolso\". Si una CDN de alta defensa sigue confiando en el IP negro manual, ser\u00eda mejor dar directamente el dinero al hacker. Una soluci\u00f3n realmente eficaz tiene que cumplir tres puntos: c\u00e1lculo de la l\u00ednea de base del comportamiento en tiempo real (milisegundos), intervenci\u00f3n ligera del sandbox (sin afectar a los usuarios normales) y sincronizaci\u00f3n de la inteligencia sobre amenazas en toda la red (retraso inferior a 10 segundos).<\/p>\n
Por \u00faltimo, me gustar\u00eda lanzar una teor\u00eda violenta: en los pr\u00f3ximos tres a\u00f1os, la funci\u00f3n WAF de 90% se hundir\u00e1 hasta el borde del nodo CDN. Los que todav\u00eda est\u00e1n vendiendo \"caja WAF independiente\" vendedores pueden lavarse las manos - la velocidad de respuesta del ataque de d\u00eda cero se lleva a cabo por la velocidad de la luz, esperando a que el tr\u00e1fico para volver a la fuente de la sala de servidores ha sido durante mucho tiempo fresco. 08Host recientemente incluso comprimido el modelo de IA a 5 MB dentro del nodo de borde que se ejecuta en el borde del nodo FPGA, la latencia de detecci\u00f3n se presiona a 0,8 milisegundos o menos, la cifra es m\u00e1s r\u00e1pida que la velocidad de conducci\u00f3n de la neurona humana.<\/p>\n
Si ahora elegir proveedores de servicios CDN, se centran en tres cosas: no hay mapa de comportamiento global en tiempo real (no informes de registro), puede personalizar las reglas de l\u00f3gica de negocio (no simplemente IP negro), se atreven a prometer el tiempo de respuesta de ataque de d\u00eda cero (escrito en el tipo de SLA). No se deje enga\u00f1ar \"defensa de clase T\" \"800Gbps de ancho de banda\" este tipo de ret\u00f3rica - ataque de d\u00eda cero a menudo s\u00f3lo 10Mbps de tr\u00e1fico puede ser su n\u00facleo de datos rastrillado.<\/p>\n
Por cierto, hace poco se descubri\u00f3 que algunos hackers empezaron a utilizar GPT para generar tr\u00e1fico camuflado, la era m\u00e1gica de la IA contra la IA est\u00e1 llegando de verdad. Es bueno saber que CDN07 ya est\u00e1 probando redes generativas adversarias (GAN) por ah\u00ed, usando IA para predecir patrones de ataque de IA. Pero esa es otra historia para otro momento, cuando nos despierten las alertas de madrugada.<\/p>","protected":false},"excerpt":{"rendered":"
Cuando me despert\u00f3 a las 3 de la ma\u00f1ana un mensaje de texto de alerta y descubr\u00ed que la curva de tr\u00e1fico de la empresa se hab\u00eda disparado de repente, mi primera reacci\u00f3n no fue \"DDoS otra vez\", sino un escalofr\u00edo en la espalda: no se trata en absoluto de un patr\u00f3n de ataque habitual. Los antecedentes muestran que todas las peticiones son con User-Agent leg\u00edtimo, la distribuci\u00f3n de IPs y usuarios normales es casi la misma, pero cada petici\u00f3n est\u00e1 usando intervalos milim\u00e9tricos para explorar una fr\u00eda interfaz API. En ese momento maldije: la vulnerabilidad de d\u00eda cero estaba machacada. Lo m\u00e1s desagradable de los ataques de d\u00eda cero es que no tienes ni idea de d\u00f3nde est\u00e1 la vulnerabilidad. Los atacantes encuentran los puntos d\u00e9biles del sistema antes que tu equipo de seguridad, y la base de reglas WAF tradicional no puede parar ni un pedo. El a\u00f1o pasado, una gran f\u00e1brica debido a una vulnerabilidad de d\u00eda cero de la biblioteca de an\u00e1lisis JSON se colaps\u00f3 durante 12 horas, la p\u00e9rdida es suficiente para comprar la mitad del proveedor de servicios CDN. Hoy en d\u00eda, incluso las CDN tienen que ser \"equipos de defensa\".<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-999","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/999","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=999"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/999\/revisions"}],"predecessor-version":[{"id":1126,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/999\/revisions\/1126"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=999"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=999"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=999"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=999"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}