Ataque de denegación de servicio

Un ataque de denegación de servicio distribuido (DDoS) ocurre cuando múltiples sistemas saturan el ancho de banda o los recursos de un sistema objetivo, generalmente uno o más servidores web. ^{[ 31 ]} Un ataque DDoS utiliza más de una dirección IP o máquinas únicas, a menudo de miles de hosts infectados con malware . ^{[ 32 ] [ 33 ]} Un ataque de denegación de servicio distribuido generalmente involucra más de 3 a 5 nodos en diferentes redes; menos nodos pueden calificar como un ataque DoS, pero no como un ataque DDoS. ^{[ 34 ] [ 35 ]}

La mayoría de las veces, los atacantes operan desde un punto final que no es su objetivo previsto, por ejemplo, utilizando la máquina de otro usuario para atacar un servidor. Si un punto final desprevenido se ve comprometido, pueden pasar a otra estación de trabajo dentro de la red empresarial. ^{[ 36 ]} Sin embargo, incluso simulando muchos usuarios y ejecutando un ataque DoS, un solo atacante con pocas computadoras sigue teniendo un alcance muy limitado en la cantidad de tráfico que puede generar. ^{[ 37 ]} Si los ataques provienen de múltiples fuentes, puede ser difícil para el host identificarlos y detenerlos. ^{[ 38 ]}

La magnitud de los ataques DDoS ha seguido aumentando en los últimos años, superando en 2016 un terabit por segundo . ^{[ 39 ] [ 40 ]} Algunos ejemplos comunes de ataques DDoS son la inundación UDP , la inundación SYN y la amplificación DNS . ^{[ 41 ] [ 42 ]}

Un ataque DDoS de capa de aplicación (a veces denominado ataque DDoS de capa 7 ) es una forma de ataque DDoS en la que los atacantes se dirigen a los procesos de la capa de aplicación . ^{[ 47 ] [ 34 ]} El ataque sobrecarga funciones o características específicas de un sitio web con la intención de deshabilitar dichas funciones o características. Este ataque de capa de aplicación es diferente de un ataque a toda la red y se utiliza a menudo contra instituciones financieras para distraer al personal de TI y seguridad de las brechas de seguridad. ^{[ 48 ]} En 2013, los ataques DDoS de capa de aplicación representaron el 20 % de todos los ataques DDoS. ^{[ 49 ]} Según una investigación de Akamai Technologies , hubo un "51 % más de ataques de capa de aplicación" desde el cuarto trimestre de 2013 hasta el cuarto trimestre de 2014 y un "16 % más" desde el tercer trimestre de 2014 hasta el cuarto trimestre de 2014. ^{[ 50 ]} En noviembre de 2017; Junade Ali, ingeniero de Cloudflare, señaló que, si bien los ataques a nivel de red siguen siendo de alta capacidad, se producen con menos frecuencia. Ali también indicó que, aunque los ataques a nivel de red son menos frecuentes, los datos de Cloudflare demuestran que los ataques a nivel de aplicación no muestran signos de desaceleración. ^{[ 51 ]}

Un ataque DDoS persistente avanzado (APDoS) está asociado con una amenaza persistente avanzada y requiere mitigación especializada de DDoS . ^{[ 53 ]} Estos ataques pueden persistir durante semanas; el período continuo más largo registrado hasta ahora duró 38 días. Este ataque involucró aproximadamente más de 50 petabits (más de 50 000 terabits) de tráfico malicioso. ^{[ 54 ]} En este escenario, los atacantes pueden cambiar tácticamente entre varios objetivos para crear una distracción y evadir las contramedidas defensivas de DDoS, pero al mismo tiempo concentran el ataque principal en una sola víctima. En este escenario, los atacantes con acceso continuo a varios recursos de red muy potentes son capaces de mantener una campaña prolongada que genera enormes niveles de tráfico DDoS sin amplificar. Los ataques APDoS se caracterizan por:

• Reconocimiento avanzado ( inteligencia de fuentes abiertas previa al ataque y escaneo extenso con señuelos diseñado para evadir la detección durante largos períodos).
• Ejecución táctica (ataque con víctimas primarias y secundarias, pero con el foco puesto en las primarias).
• motivación explícita (un objetivo/meta final calculado)
• gran capacidad de procesamiento (acceso a una potencia informática y un ancho de banda de red sustanciales)
• Ataques simultáneos de capas OSI multihilo (herramientas sofisticadas que operan en las capas 3 a 7)
• persistencia durante períodos prolongados (combinando todo lo anterior en un ataque concertado y bien gestionado a través de una variedad de objetivos). ^{[ 55 ]}

Algunos proveedores ofrecen los llamados servicios de booter o stresser , que cuentan con interfaces web sencillas y aceptan pagos por internet. Comercializados y promocionados como herramientas de pruebas de estrés, pueden utilizarse para realizar ataques de denegación de servicio no autorizados y permiten a atacantes técnicamente inexpertos acceder a herramientas de ataque sofisticadas. ^{[ 56 ]} Generalmente impulsados ​​por una botnet, el tráfico producido por un stresser para consumidores puede oscilar entre 5 y 50 Gbit/s, lo que, en la mayoría de los casos, puede impedir el acceso a internet al usuario doméstico promedio. ^{[ 57 ]}

Un ataque de denegación de servicio modulado por Markov ocurre cuando el atacante interrumpe los paquetes de control utilizando un modelo oculto de Markov . Un entorno donde los ataques basados ​​en modelos de Markov son frecuentes es el de los videojuegos en línea, ya que la interrupción de los paquetes de control perjudica la jugabilidad y la funcionalidad del sistema. ^{[ 58 ]}

En casos como MyDoom y Slowloris , las herramientas están integradas en el malware y lanzan sus ataques sin el conocimiento del propietario del sistema. Stacheldraht es un ejemplo clásico de una herramienta DDoS. Utiliza una estructura en capas donde el atacante usa un programa cliente para conectarse a manejadores, que son sistemas comprometidos que emiten comandos a los agentes zombi, los cuales a su vez facilitan el ataque DDoS. Los agentes se comprometen a través de los manejadores mediante rutinas automatizadas del atacante para explotar vulnerabilidades en programas que aceptan conexiones remotas que se ejecutan en los hosts remotos objetivo. Cada manejador puede controlar hasta mil agentes. ^{[ 60 ]}

En otros casos, una máquina puede formar parte de un ataque DDoS con el consentimiento de su propietario, como en la Operación Payback organizada por el grupo Anonymous . El Cañón de Iones de Órbita Baja se ha utilizado habitualmente de esta manera. Junto con el Cañón de Iones de Órbita Alta, hoy en día existe una amplia variedad de herramientas DDoS, tanto gratuitas como de pago, con diferentes funcionalidades. Existe un mercado negro para estas herramientas en foros y canales de IRC relacionados con la piratería informática.

Los ataques a nivel de aplicación emplean exploits que causan DoS y pueden provocar que el software que se ejecuta en el servidor llene el espacio en disco o consuma toda la memoria o el tiempo de CPU disponibles . Los ataques pueden usar tipos de paquetes o solicitudes de conexión específicos para saturar recursos finitos, por ejemplo, ocupando el número máximo de conexiones abiertas o llenando el espacio en disco de la víctima con registros. Un atacante con acceso a nivel de shell a la computadora de la víctima puede ralentizarla hasta que sea inutilizable o bloquearla mediante una bomba fork . Otro tipo de ataque DoS a nivel de aplicación es XDoS (o XML DoS), que puede ser controlado por los firewalls de aplicaciones web (WAF) modernos. Todos los ataques pertenecen a la categoría de explotación de tiempo de espera . ^{[ 61 ]}

Los ataques Slow DoS implementan un ataque a la capa de aplicación. Ejemplos de amenazas son Slowloris, que establece conexiones pendientes con la víctima, o SlowDroid , un ataque que se ejecuta en dispositivos móviles. Otro objetivo de los ataques DDoS puede ser generar costos adicionales para el operador de la aplicación, cuando este utiliza recursos basados ​​en computación en la nube . En este caso, normalmente los recursos utilizados por la aplicación están vinculados a un nivel de calidad de servicio (QoS) necesario (por ejemplo, las respuestas deben ser inferiores a 200 ms) y esta regla suele estar vinculada a software automatizado (por ejemplo, Amazon CloudWatch) ^{[ 62 ]} para aumentar los recursos virtuales del proveedor y cumplir con los niveles de QoS definidos para el aumento de solicitudes. El principal incentivo detrás de estos ataques puede ser obligar al propietario de la aplicación a aumentar los niveles de elasticidad para manejar el aumento del tráfico de la aplicación, causar pérdidas financieras o forzarlo a ser menos competitivo. Un ataque banana es otro tipo particular de DoS. Implica redirigir los mensajes salientes del cliente de vuelta al cliente, impidiendo el acceso externo, así como inundar al cliente con los paquetes enviados. Un ataque LAND es de este tipo.

Los zombies pulsantes son computadoras comprometidas que se dirigen a lanzar ataques intermitentes y de corta duración contra sitios web de víctimas con la intención de simplemente ralentizarlos en lugar de bloquearlos. Este tipo de ataque, denominado degradación del servicio , puede ser más difícil de detectar y puede interrumpir y dificultar la conexión a los sitios web durante períodos prolongados, lo que potencialmente causa una mayor interrupción general que un ataque de denegación de servicio. ^{[ 63 ] [ 64 ]} La exposición de los ataques de degradación del servicio se complica aún más por la cuestión de discernir si el servidor está siendo atacado realmente o si está experimentando cargas de tráfico legítimo superiores a lo normal. ^{[ 65 ]}

Si un atacante lanza un ataque desde un único host, se clasificaría como un ataque DoS. Cualquier ataque contra la disponibilidad se clasificaría como un ataque de denegación de servicio. Por otro lado, si un atacante utiliza muchos sistemas para lanzar ataques simultáneamente contra un host remoto, esto se clasificaría como un ataque DDoS. El malware puede contener mecanismos de ataque DDoS; uno de los ejemplos más conocidos fue MyDoom . Su mecanismo DoS se activaba en una fecha y hora específicas. Este tipo de DDoS implicaba codificar la dirección IP objetivo antes de liberar el malware y no era necesaria ninguna otra interacción para lanzar el ataque. Un sistema también puede verse comprometido con un troyano que contiene un agente zombie . Los atacantes también pueden infiltrarse en los sistemas utilizando herramientas automatizadas que explotan vulnerabilidades en programas que escuchan conexiones de hosts remotos. Este escenario afecta principalmente a los sistemas que actúan como servidores web. Stacheldraht es un ejemplo clásico de una herramienta DDoS. Utiliza una estructura en capas donde el atacante usa un programa cliente para conectarse a manejadores, que son sistemas comprometidos que emiten comandos a los agentes zombi, los cuales a su vez facilitan el ataque DDoS. Los agentes son comprometidos a través de los manejadores por el atacante. Cada manejador puede controlar hasta mil agentes. ^{[ 60 ]} En algunos casos, una máquina puede formar parte de un ataque DDoS con el consentimiento del propietario, por ejemplo, en la Operación Payback , organizada por el grupo Anonymous . Estos ataques pueden usar diferentes tipos de paquetes de internet como TCP , UDP, ICMP, etc.

Estas colecciones de sistemas comprometidos se conocen como botnets . Las herramientas DDoS como Stacheldraht todavía utilizan métodos clásicos de ataque DoS centrados en la suplantación y amplificación de IP como ataques smurf y ataques fraggle (tipos de ataques de consumo de ancho de banda). También se pueden utilizar inundaciones SYN (un ataque de agotamiento de recursos). Las herramientas más nuevas pueden utilizar servidores DNS para fines DoS. A diferencia del mecanismo DDoS de MyDoom, las botnets se pueden usar contra cualquier dirección IP. Los script kiddies las utilizan para negar la disponibilidad de sitios web conocidos a usuarios legítimos. ^{[ 66 ]} Los atacantes más sofisticados utilizan herramientas DDoS con fines de extorsión , incluso contra sus rivales comerciales. ^{[ 67 ]} Se ha informado que hay nuevos ataques desde dispositivos de Internet de las cosas (IoT) que han estado involucrados en ataques de denegación de servicio. ^{[ 68 ]} Uno de esos ataques alcanzó un pico de alrededor de 20 000 solicitudes por segundo; provino de alrededor de 900 cámaras de CCTV. ^{[ 69 ]} El GCHQ del Reino Unido tiene herramientas diseñadas para DDoS, llamadas PREDATORS FACE y ROLLING THUNDER. ^{[ 70 ]} 

Los ataques simples, como las inundaciones SYN, pueden aparecer con una amplia gama de direcciones IP de origen, dando la apariencia de un ataque DoS distribuido. Estos ataques de inundación no requieren la finalización del protocolo de enlace TCP de tres vías e intentan agotar la cola SYN de destino o el ancho de banda del servidor. Dado que las direcciones IP de origen se pueden falsificar fácilmente, un ataque podría provenir de un conjunto limitado de fuentes, o incluso originarse en un solo host. Las mejoras de la pila, como las cookies SYN, pueden ser una mitigación eficaz contra la inundación de la cola SYN, pero no abordan el agotamiento del ancho de banda. En 2022, los ataques TCP fueron el método principal en los incidentes DDoS, representando el 63 % de toda la actividad DDoS. Esto incluye tácticas como TCP SYN , TCP ACK e inundaciones TCP. Dado que TCP es el protocolo de red más extendido, se espera que sus ataques sigan siendo frecuentes en el panorama de amenazas DDoS. ^{[ 16 ]}

En 2015, las botnets DDoS como DD4BC cobraron mayor prominencia, dirigiendo sus ataques contra instituciones financieras. ^{[ 71 ]} Los ciberextorsionadores suelen comenzar con un ataque de bajo nivel y una advertencia de que se llevará a cabo un ataque mayor si no se paga un rescate en bitcoin . ^{[ 72 ]} Los expertos en seguridad recomiendan a los sitios web objetivo que no paguen el rescate. Los atacantes tienden a iniciar un esquema de extorsión más extenso una vez que reconocen que la víctima está dispuesta a pagar. ^{[ 73 ]}

Descubierto por primera vez en 2009, el ataque HTTP Slow POST envía una cabecera HTTP POST completa y legítima , que incluye un campo Content-Length para especificar el tamaño del cuerpo del mensaje. Sin embargo, el atacante procede a enviar el cuerpo del mensaje a una velocidad extremadamente lenta (por ejemplo, 1 byte cada 110 segundos). Dado que el mensaje es correcto y completo, el servidor objetivo intentará respetar el campo Content-Length de la cabecera y esperará a que se transmita todo el cuerpo del mensaje, lo que puede tardar mucho tiempo. El atacante establece cientos o incluso miles de estas conexiones hasta que se agotan todos los recursos para conexiones entrantes en el servidor víctima, lo que imposibilita cualquier conexión adicional hasta que se hayan enviado todos los datos. Cabe destacar que, a diferencia de muchos otros ataques DoS o DDoS, que intentan saturar el servidor sobrecargando su red o CPU, un ataque HTTP Slow POST se dirige a los recursos lógicos de la víctima, lo que significa que esta aún tendría suficiente ancho de banda de red y capacidad de procesamiento para operar. ^{[ 74 ]} Sumado al hecho de que el servidor HTTP Apache acepta, por defecto, solicitudes de hasta 2 GB, este ataque puede ser particularmente potente. Los ataques HTTP POST lentos son difíciles de diferenciar de las conexiones legítimas y, por lo tanto, pueden eludir algunos sistemas de protección. OWASP , un proyecto de seguridad de aplicaciones web de código abierto , lanzó una herramienta para probar la seguridad de los servidores frente a este tipo de ataque. ^{[ 75 ]}

Un ataque Challenge Collapsar (CC) es un ataque en el que se envían solicitudes HTTP estándar a un servidor web objetivo con frecuencia. Los identificadores uniformes de recursos (URI) en las solicitudes requieren algoritmos complejos que consumen mucho tiempo u operaciones de base de datos que pueden agotar los recursos del servidor web objetivo. ^{[ 76 ] [ 77 ] [ 78 ]} En 2004, un hacker chino apodado KiKi inventó una herramienta de hacking para enviar este tipo de solicitudes para atacar un firewall NSFOCUS llamado Collapsar, y por lo tanto la herramienta de hacking se conoció como Challenge Collapsar, o CC para abreviar. En consecuencia, este tipo de ataque recibió el nombre de ataque CC . ^{[ 79 ]}

Un ataque Smurf se basa en dispositivos de red mal configurados que permiten el envío de paquetes a todos los equipos de una red específica a través de la dirección de difusión de la red, en lugar de a una máquina concreta. El atacante envía un gran número de paquetes IP con la dirección de origen falsificada para que parezca ser la de la víctima. ^{[ 80 ]} La mayoría de los dispositivos de la red responden, por defecto, enviando una respuesta a la dirección IP de origen. Si el número de máquinas de la red que reciben y responden a estos paquetes es muy elevado, el ordenador de la víctima se satura de tráfico. Esto sobrecarga el ordenador de la víctima e incluso puede dejarlo inutilizable durante el ataque. ^{[ 81 ]}

El ataque de inundación de ping se basa en enviar a la víctima una cantidad abrumadora de paquetes ping , generalmente mediante el comando ping desde hosts tipo Unix . ^{[ a ]} Es muy sencillo de lanzar; el requisito principal es tener acceso a un ancho de banda mayor que el de la víctima. El ataque de ping de la muerte se basa en enviar a la víctima un paquete ping malformado, lo que provocará un fallo del sistema en un sistema vulnerable. El ataque BlackNurse es un ejemplo de un ataque que aprovecha los paquetes ICMP de puerto de destino inalcanzable.

Un ataque de denegación de servicio (Nuke) es un ataque de negación de servicio tradicional contra redes informáticas que consiste en el envío de paquetes ICMP fragmentados o inválidos al objetivo. Esto se logra mediante el uso de una utilidad ping modificada que envía repetidamente estos datos corruptos , ralentizando así el ordenador afectado hasta que se detiene por completo. Un ejemplo específico de un ataque de este tipo que cobró cierta notoriedad es WinNuke , que explotaba una vulnerabilidad en el controlador NetBIOS de Windows 95. Se enviaba una cadena de datos fuera de banda al puerto TCP 139 del equipo de la víctima, lo que provocaba que se bloqueara y mostrara una pantalla azul de la muerte . ^{[ 82 ]}

Los atacantes han encontrado una forma de explotar varios errores en los servidores peer-to-peer para iniciar ataques DDoS. El más agresivo de estos ataques DDoS peer-to-peer explota la red de intercambio de archivos DC++ . ^{[ 83 ]} Con los ataques peer-to-peer no hay botnet y el atacante no tiene que comunicarse con los clientes que compromete. En cambio, el atacante actúa como un titiritero , instruyendo a los clientes de grandes centros de intercambio de archivos peer-to-peer para que se desconecten de su red peer-to-peer y se conecten al sitio web de la víctima. ^{[ 83 ] [ 84 ] [ 85 ]}

El ataque de denegación de servicio permanente (PDoS), también conocido informalmente como phlashing, ^{[ 86 ]} es un ataque que daña un sistema de tal manera que requiere el reemplazo o la reinstalación del hardware. ^{[ 87 ]} A diferencia del ataque de denegación de servicio distribuido (DDoS), un ataque PDoS explota fallas de seguridad que permiten la administración remota en las interfaces de administración del hardware de la víctima, como enrutadores , impresoras u otro hardware de red . El atacante utiliza estas vulnerabilidades para reemplazar el firmware de un dispositivo con una imagen de firmware modificada, corrupta o defectuosa, un proceso que, cuando se realiza legítimamente, se conoce como flasheo. La intención es inutilizar el dispositivo, dejándolo inservible para su propósito original hasta que pueda ser reparado o reemplazado. El PDoS es un ataque dirigido exclusivamente al hardware que puede ser mucho más rápido y requiere menos recursos que el uso de una botnet en un ataque DDoS. Debido a estas características, y al potencial y alta probabilidad de exploits de seguridad en dispositivos integrados con capacidad de red, esta técnica ha llamado la atención de numerosas comunidades de hackers. BrickerBot , un malware dirigido a dispositivos IoT, utilizó ataques PDoS para deshabilitar sus objetivos. ^{[ 88 ]} PhlashDance es una herramienta creada por Rich Smith (un empleado del Laboratorio de Seguridad de Sistemas de Hewlett-Packard ) utilizada para detectar y demostrar vulnerabilidades PDoS en la Conferencia de Seguridad Aplicada EUSecWest de 2008 en Londres, Reino Unido. ^{[ 89 ]}

Un ataque de denegación de servicio distribuido puede implicar el envío de solicitudes falsificadas de algún tipo a un gran número de computadoras que responderán a las solicitudes. Mediante la suplantación de direcciones de protocolo de Internet , la dirección de origen se establece como la de la víctima objetivo, lo que significa que todas las respuestas irán a (y saturarán) el objetivo. Esta forma de ataque reflejado a veces se denomina ataque de denegación de servicio reflejado distribuido (DRDoS). ^{[ 90 ]} Los ataques de solicitud de eco ICMP ( ataques Smurf ) pueden considerarse una forma de ataque reflejado, ya que los hosts que inundan envían solicitudes de eco a las direcciones de difusión de redes mal configuradas, incitando así a los hosts a enviar paquetes de respuesta de eco a la víctima. Algunos programas DDoS antiguos implementaron una forma distribuida de este ataque.

Los ataques de amplificación se utilizan para aumentar el ancho de banda que se envía a una víctima. Muchos servicios pueden ser explotados para actuar como reflectores, algunos más difíciles de bloquear que otros. ^{[ 91 ]} US-CERT ha observado que diferentes servicios pueden generar diferentes factores de amplificación, como se muestra en la siguiente tabla: ^{[ 92 ]}

Los ataques de amplificación de DNS implican que un atacante envíe una solicitud de búsqueda de nombre DNS a uno o más servidores DNS públicos, suplantando la dirección IP de origen de la víctima. El atacante intenta solicitar la mayor cantidad de información posible, amplificando así la respuesta DNS enviada a la víctima. Dado que el tamaño de la solicitud es significativamente menor que la respuesta, el atacante puede aumentar fácilmente la cantidad de tráfico dirigido al objetivo. ^{[ 98 ] [ 99 ]}

El Protocolo simple de administración de red (SNMP) y el Protocolo de tiempo de red (NTP) también pueden ser explotados como reflectores en un ataque de amplificación. Un ejemplo de un ataque DDoS amplificado a través del NTP es mediante un comando llamado monlist, que envía los detalles de los últimos 600 hosts que han solicitado la hora al servidor NTP de vuelta al solicitante. Una pequeña solicitud a este servidor de hora puede enviarse utilizando una dirección IP de origen falsificada de alguna víctima, lo que resulta en una respuesta 556,9 veces mayor que el tamaño de la solicitud enviada a la víctima. Esto se amplifica cuando se utilizan botnets que envían todas las solicitudes con la misma IP de origen falsificada, lo que resultará en una cantidad masiva de datos enviados de vuelta a la víctima. ^{[ 100 ]} Es muy difícil defenderse de este tipo de ataques porque los datos de respuesta provienen de servidores legítimos. Estas solicitudes de ataque también se envían a través de UDP, que no requiere una conexión con el servidor. Esto significa que la IP de origen no se verifica cuando el servidor recibe una solicitud. Para concienciar sobre estas vulnerabilidades, se han puesto en marcha campañas dedicadas a encontrar vectores de amplificación que han llevado a que la gente repare sus resolutores o a que estos se desactiven por completo.

La botnet Mirai funciona utilizando un gusano informático para infectar cientos de miles de dispositivos IoT en Internet. El gusano se propaga a través de redes y sistemas tomando el control de dispositivos IoT con poca protección, como termostatos, relojes con Wi-Fi y lavadoras. ^{[ 101 ]} El propietario o usuario generalmente no tendrá ninguna indicación inmediata de cuándo el dispositivo se infecta. El dispositivo IoT en sí no es el objetivo directo del ataque; se utiliza como parte de un ataque más amplio. ^{[ 102 ]} Una vez que el hacker ha esclavizado la cantidad deseada de dispositivos, les ordena que intenten contactar a un ISP. En octubre de 2016, una botnet Mirai atacó a Dyn, que es el ISP de sitios como Twitter , Netflix , etc. ^{[ 101 ]} Tan pronto como ocurrió esto, todos estos sitios web fueron inaccesibles durante varias horas.

El ataque RUDY ataca las aplicaciones web mediante el agotamiento de las sesiones disponibles en el servidor web. Al igual que Slowloris, RUDY mantiene las sesiones bloqueadas mediante transmisiones POST interminables y el envío de un valor de encabezado content-length arbitrariamente grande. ^{[ 103 ]}

La manipulación del tamaño máximo del segmento y el acuse de recibo selectivo (SACK) puede ser utilizada por un par remoto para causar una denegación de servicio por un desbordamiento de enteros en el kernel de Linux, lo que podría provocar un pánico del kernel . ^{[ 104 ]} Jonathan Looney descubrió CVE - 2019-11477 , CVE- 2019-11478 y CVE- 2019-11479 el 17 de junio de 2019. ^{[ 105 ]}

El ataque de la musaraña es un ataque de denegación de servicio contra el Protocolo de Control de Transmisión (TCP) en el que el atacante emplea técnicas de intermediario (man-in-the-middle) . Explota una vulnerabilidad en el mecanismo de tiempo de espera de retransmisión de TCP, utilizando breves ráfagas de tráfico sincronizadas para interrumpir las conexiones TCP en el mismo enlace. ^{[ 106 ]}

Un ataque de lectura lenta envía solicitudes legítimas de la capa de aplicación, pero lee las respuestas muy lentamente, manteniendo las conexiones abiertas durante más tiempo con la esperanza de agotar el grupo de conexiones del servidor. La lectura lenta se logra anunciando un número muy pequeño para el tamaño de la ventana de recepción TCP y, al mismo tiempo, vaciando lentamente el búfer de recepción TCP de los clientes, lo que provoca una tasa de flujo de datos muy baja. ^{[ 107 ]}

Un ataque DDoS sofisticado de bajo ancho de banda es una forma de DoS que utiliza menos tráfico y aumenta su efectividad al apuntar a un punto débil en el diseño del sistema de la víctima; es decir, el atacante envía tráfico que consiste en solicitudes complejas al sistema. ^{[ 108 ]} En esencia, un ataque DDoS sofisticado es más económico debido a que utiliza menos tráfico, es de menor tamaño, lo que dificulta su identificación, y puede dañar sistemas que están protegidos por mecanismos de control de flujo. ^{[ 108 ] [ 109 ]}

Un ataque de inundación SYN ocurre cuando un host envía una gran cantidad de paquetes TCP/SYN, a menudo con una dirección de remitente falsificada. Cada uno de estos paquetes se maneja como una solicitud de conexión, lo que provoca que el servidor establezca una conexión semiabierta , envíe un paquete TCP/SYN-ACK y espere un paquete de respuesta de la dirección del remitente. Sin embargo, debido a que la dirección del remitente está falsificada, la respuesta nunca llega. Estas conexiones semiabiertas agotan las conexiones disponibles que el servidor puede establecer, impidiendo que responda a solicitudes legítimas hasta que finalice el ataque. ^{[ 110 ]}

Un ataque teardrop implica el envío de fragmentos IP distorsionados con cargas útiles superpuestas y de gran tamaño a la máquina objetivo. Esto puede provocar el fallo de varios sistemas operativos debido a un error en su código de reensamblaje de fragmentación TCP/IP . ^{[ 111 ]} Los sistemas operativos Windows 3.1x , Windows 95 y Windows NT , así como las versiones de Linux anteriores a las versiones 2.0.32 y 2.1.63, son vulnerables a este ataque. ^{[ b ]} Uno de los campos en una cabecera IP es el campo de desplazamiento de fragmento , que indica la posición inicial, o desplazamiento, de los datos contenidos en un paquete fragmentado en relación con los datos del paquete original. Si la suma del desplazamiento y el tamaño de un paquete fragmentado difiere de la del siguiente paquete fragmentado, los paquetes se superponen. Cuando esto ocurre, un servidor vulnerable a los ataques teardrop no puede reensamblar los paquetes, lo que resulta en una condición de denegación de servicio. ^{[ 114 ]}

La tecnología de voz sobre IP ha hecho que la generación abusiva de un gran número de llamadas telefónicas sea económica y fácilmente automatizable, al tiempo que permite falsificar el origen de las llamadas mediante la suplantación de identidad del llamante . Según el FBI , los ataques de denegación de servicio telefónico (TDoS) han aparecido como parte de diversos esquemas fraudulentos.

• Un estafador contacta al banquero o corredor de bolsa de la víctima, haciéndose pasar por ella para solicitar una transferencia de fondos. El intento del banquero de contactar a la víctima para verificar la transferencia fracasa, ya que las líneas telefónicas de la víctima están saturadas de llamadas fraudulentas, lo que la hace ilocalizable. ^{[ 115 ]}
• Un estafador contacta a los consumidores con una falsa reclamación para cobrar un préstamo de día de pago pendiente de miles de dólares. Cuando el consumidor se opone, el estafador toma represalias bombardeando al empleador de la víctima con llamadas automáticas. En algunos casos, se falsifica el identificador de llamadas para suplantar la identidad de la policía o de agencias de seguridad. ^{[ 116 ]}
• Estafa de llamada falsa : Un estafador contacta a los consumidores con una falsa demanda de cobro de deudas y amenaza con enviar a la policía. Cuando la víctima se niega, el estafador satura los números de la policía local con llamadas en las que falsifica el identificador de llamadas para mostrar el número de la víctima. La policía llega pronto al domicilio de la víctima para intentar averiguar el origen de las llamadas.

Los ataques TDoS pueden existir incluso sin telefonía por Internet . En el escándalo de interferencia telefónica de las elecciones al Senado de New Hampshire de 2002 , se utilizaron teleoperadores para inundar a los opositores políticos con llamadas falsas y colapsar las líneas telefónicas el día de las elecciones. La publicación masiva de un número también puede saturarlo con tantas llamadas que lo deje inutilizable, como ocurrió accidentalmente en 1981 con varios abonados del prefijo +1- (867-5309) que recibieron cientos de llamadas diarias en respuesta a la canción " 867-5309/Jenny ". Los ataques TDoS se diferencian de otros tipos de acoso telefónico (como las llamadas de broma y las llamadas obscenas ) por la cantidad de llamadas que originan. Al ocupar las líneas continuamente con llamadas automáticas repetidas, se impide a la víctima realizar o recibir llamadas telefónicas, tanto rutinarias como de emergencia. Entre las técnicas relacionadas se incluyen los ataques de inundación de SMS y el fax negro o la transmisión continua de fax mediante un bucle de papel en el remitente.

Se requieren más recursos del enrutador para descartar un paquete con un valor TTL de 1 o menos que para reenviar un paquete con un valor TTL mayor. Cuando se descarta un paquete debido a la expiración del TTL, la CPU del enrutador debe generar y enviar una respuesta ICMP de tiempo excedido . Generar muchas de estas respuestas puede sobrecargar la CPU del enrutador. ^{[ 117 ]}

Un ataque UPnP aprovecha una vulnerabilidad existente en el protocolo Universal Plug and Play (UPnP) para eludir la seguridad de la red e inundar la red y los servidores del objetivo. El ataque se basa en una técnica de amplificación DNS, pero el mecanismo de ataque consiste en un enrutador UPnP que reenvía solicitudes de una fuente externa a otra. El enrutador UPnP devuelve los datos a través de un puerto UDP inesperado desde una dirección IP falsa, lo que dificulta tomar medidas sencillas para detener la inundación de tráfico. Según los investigadores de Imperva , la forma más eficaz de detener este ataque es que las empresas restrinjan el acceso a sus enrutadores UPnP. ^{[ 118 ] [ 119 ]}

En 2014, se descubrió que el Protocolo Simple de Descubrimiento de Servicios (SSDP) se estaba utilizando en ataques DDoS conocidos como ataques de reflexión SSDP con amplificación . Muchos dispositivos, incluidos algunos enrutadores residenciales, tienen una vulnerabilidad en el software UPnP que permite a un atacante obtener respuestas del puerto UDP 1900 a una dirección de destino de su elección. Con una botnet de miles de dispositivos, los atacantes pueden generar tasas de paquetes suficientes y ocupar ancho de banda para saturar los enlaces, causando la denegación de servicio. ^{[ 120 ] [ 121 ] [ 122 ]} Debido a esta debilidad, la empresa de redes Cloudflare ha descrito a SSDP como el "Protocolo DDoS Estúpidamente Simple". ^{[ 122 ]}

La suplantación de ARP es un ataque DoS común que aprovecha una vulnerabilidad en el protocolo ARP. Esta vulnerabilidad permite al atacante asociar su dirección MAC a la dirección IP de otro ordenador o puerta de enlace , lo que provoca que el tráfico destinado a la IP auténtica original se redirija a la del atacante, causando una denegación de servicio.

Todo el tráfico destinado a la víctima se desvía para pasar por un centro de limpieza o un centro de filtrado mediante diversos métodos, tales como: cambiar la dirección IP de la víctima en el sistema DNS, métodos de tunelización (GRE/VRF, MPLS, SDN), ^{[ 124 ]} proxies, interconexiones digitales o incluso circuitos directos. El centro de limpieza separa el tráfico malicioso (DDoS y otros ataques comunes de Internet) y solo envía tráfico legítimo al servidor de la víctima. ^{[ 125 ]} La víctima necesita conectividad central a Internet para utilizar este tipo de servicio, a menos que se encuentre en las mismas instalaciones que el centro de limpieza. Los ataques DDoS pueden saturar cualquier tipo de cortafuegos de hardware, y el paso de tráfico malicioso a través de redes grandes y consolidadas se vuelve cada vez más eficaz y económicamente sostenible contra los DDoS. ^{[ 126 ]}

El hardware de interfaz de aplicación es un hardware inteligente que se ubica en la red antes de que el tráfico llegue a los servidores. Se puede utilizar en redes junto con enrutadores y conmutadores , y como parte de la gestión del ancho de banda . Este hardware analiza los paquetes de datos al ingresar a la red, identifica y descarta los flujos peligrosos o sospechosos.

Los enfoques para la detección de ataques DDoS contra aplicaciones basadas en la nube pueden basarse en un análisis de la capa de aplicación, que indica si el tráfico masivo entrante es legítimo. ^{[ 127 ]} Estos enfoques se basan principalmente en una ruta de valor identificada dentro de la aplicación y monitorean el progreso de las solicitudes en esta ruta, a través de marcadores llamados indicadores clave de finalización . ^{[ 128 ]} En esencia, estas técnicas son métodos estadísticos para evaluar el comportamiento de las solicitudes entrantes para detectar si está ocurriendo algo inusual o anormal. Una analogía es la de una tienda física donde los clientes pasan, en promedio, un porcentaje conocido de su tiempo en diferentes actividades como tomar artículos y examinarlos, devolverlos, llenar una cesta, esperar para pagar, pagar y salir. Si una multitud de clientes llegara a la tienda y pasara todo su tiempo tomando artículos y devolviéndolos, pero nunca realizara ninguna compra, esto podría ser señalado como un comportamiento inusual.

Con el enrutamiento de agujero negro , todo el tráfico dirigido a la dirección DNS o IP atacada se envía a un agujero negro (interfaz nula o servidor inexistente). Para mayor eficiencia y para evitar afectar la conectividad de la red, puede ser gestionado por el ISP. ^{[ 129 ]} Un sumidero DNS enruta el tráfico a una dirección IP válida que analiza el tráfico y rechaza los paquetes maliciosos. El uso de sumideros puede no ser eficiente para ataques severos.

Los sistemas de prevención de intrusiones (IPS) son efectivos si los ataques tienen firmas asociadas. Sin embargo, la tendencia actual es que los ataques tengan contenido legítimo pero mala intención. Los sistemas de prevención de intrusiones que funcionan mediante el reconocimiento de contenido no pueden bloquear los ataques DoS basados ​​en el comportamiento. ^{[ 53 ]} Un IPS basado en ASIC puede detectar y bloquear ataques de denegación de servicio porque tiene la potencia de procesamiento y la granularidad para analizar los ataques y actuar como un interruptor de circuito de forma automatizada. ^{[ 53 ]}

Más enfocado en el problema que un IPS, un sistema de defensa contra ataques de denegación de servicio (DDS) puede bloquear ataques DoS basados ​​en la conexión y aquellos con contenido legítimo pero con malas intenciones. Un DDS también puede abordar tanto ataques de protocolo (como teardrop y ping of death) como ataques basados ​​en la tasa (como inundaciones ICMP y SYN). El DDS cuenta con un sistema diseñado específicamente para identificar y bloquear fácilmente los ataques de denegación de servicio a mayor velocidad que un sistema basado en software. ^{[ 130 ]}

En el caso de un ataque simple, un cortafuegos puede ajustarse para denegar todo el tráfico entrante de los atacantes, basándose en protocolos, puertos o direcciones IP de origen. Sin embargo, los ataques más complejos serán difíciles de bloquear con reglas simples: por ejemplo, si hay un ataque en curso en el puerto 80 (servicio web), no es posible bloquear todo el tráfico entrante en este puerto porque hacerlo impediría que el servidor recibiera y sirviera tráfico legítimo. ^{[ 131 ]} Además, los cortafuegos pueden estar demasiado profundos en la jerarquía de la red, afectando negativamente a los enrutadores antes de que el tráfico llegue al cortafuegos. Asimismo, muchas herramientas de seguridad aún no son compatibles con IPv6 o pueden no estar configuradas correctamente, por lo que los cortafuegos pueden ser eludidos durante los ataques. ^{[ 132 ]}

Al igual que los conmutadores, los enrutadores tienen ciertas capacidades de limitación de velocidad y ACL . Estas también se configuran manualmente. La mayoría de los enrutadores pueden verse fácilmente saturados por un ataque DoS. Nokia SR-OS, que utiliza procesadores FP4 o FP5, ofrece protección DDoS. ^{[ 133 ]} Nokia SR-OS también utiliza Nokia Deepfield Defender, basado en análisis de big data, para la protección DDoS. ^{[ 134 ]} Cisco IOS tiene funciones opcionales que pueden reducir el impacto de las inundaciones. ^{[ 135 ]}

La mayoría de los conmutadores tienen alguna capacidad de limitación de velocidad y ACL . Algunos conmutadores proporcionan limitación de velocidad automática o a nivel de sistema , modelado de tráfico , enlace retardado ( empalme TCP ), inspección profunda de paquetes y filtrado bogon (filtrado de IP falsas) para detectar y remediar ataques DoS mediante filtrado de velocidad automático y conmutación por error y balanceo de enlace WAN. Estos esquemas funcionarán siempre que los ataques DoS puedan prevenirse mediante su uso. Por ejemplo, el ataque SYN flood puede prevenirse mediante enlace retardado o empalme TCP. De manera similar, el ataque DoS basado en contenido puede prevenirse mediante inspección profunda de paquetes. Los ataques que utilizan paquetes marcianos pueden prevenirse mediante filtrado bogon. El filtrado de velocidad automático puede funcionar siempre que los umbrales de velocidad establecidos se hayan configurado correctamente. La conmutación por error del enlace WAN funcionará siempre que ambos enlaces tengan un mecanismo de prevención de DoS. ^{[ 53 ]}

En seguridad de redes informáticas, la retrodispersión es un efecto secundario de un ataque de denegación de servicio con suplantación de identidad. En este tipo de ataque, el atacante falsifica la dirección IP de origen en los paquetes IP enviados a la víctima. Generalmente, la máquina víctima no puede distinguir entre los paquetes falsificados y los legítimos, por lo que responde a los paquetes falsificados como lo haría normalmente. Estos paquetes de respuesta se conocen como retrodispersión. ^{[ 146 ]}

Si el atacante suplanta aleatoriamente las direcciones de origen, los paquetes de respuesta de la víctima se enviarán de vuelta a destinos aleatorios. Este efecto puede ser utilizado por los observadores de redes como evidencia indirecta de dichos ataques. El término análisis de retrodispersión se refiere a la observación de los paquetes de retrodispersión que llegan a una porción estadísticamente significativa del espacio de direcciones IP para determinar las características de los ataques de denegación de servicio (DoS) y de las víctimas.