El ataque DDoS a Dyn: un resumen de Imperva

El viernes 21 de octubre, el proveedor de DNS Dyn estuvo desconectado durante gran parte del día, lo que provocó la interrupción de varias aplicaciones SaaS y sitios de Internet conocidos, incluidos Amazon, Twitter, GitHub y The Boston Globe. Más tarde ese día, la compañía confirmó que la causa era un gran ataque DDoS y que se trataba de un ataque de Internet de las cosas (IoT) utilizando la botnet Mirai recién descubierta.
El equipo de productos de Imperva Incapsula tiene años de experiencia en el manejo de bots y ataques DDoS. A continuación se muestra un resumen de Tim Matthews, vicepresidente de Imperva para la línea de productos Imperva Incapsula, de su investigación y medición relevantes.
Hemos estado observando el crecimiento de las botnets de IoT, lo que llamamos «la botnet de las cosas (BoT)» desde 2015, y fuimos de los primeros en publicar estudios de botnets que utilizan enrutadores domésticos y cámaras de CCTV:

Una vez que se publicó el código fuente de la nueva botnet Mirai, nuestro equipo de seguridad llevó a cabo un análisis completo, incluida la ubicación de los bots en todo el mundo, los tipos de ataques y los detalles sobre el código de malware en sí.
Con respecto al ataque Dyn, aquí hay comentarios de algunos miembros de nuestro equipo:
“El ataque a Dyn es lo que se conoce como un ataque DDoS de servidor de nombres, donde los atacantes se concentran en los servidores de nombres para evitar que las direcciones web se resuelvan. Esto se puede lograr utilizando lo que se conoce como inundaciones de DNS contra servidores o atacando la infraestructura de red de los proveedores de servicios de DNS. El ataque es similar a cortar la red telefónica antes de una invasión para evitar la comunicación «.
– Igal Zeifman, evangelista de seguridad en Imperva para la línea de productos Incapsula.
“La infraestructura de DNS es un componente clave para hacer que Internet funcione, y los grandes proveedores de DNS han invertido mucho para proteger sus sistemas de tales ataques. Sin embargo, con el aumento significativo en el tamaño de los ataques en los últimos 18 meses, que ahora a menudo superan ráfagas de medio terabit por segundo, muchos proveedores de infraestructura y SaaS buscan reforzar su capacidad general y las medidas de mitigación de DDoS «
– Marc Gaffan, vicepresidente y gerente general de Imperva para la línea de productos Incapsula
“Imagínese si todos los letreros de las calles en los Estados Unidos desaparecieran repentinamente. Aquellos que saben a dónde van están bien, las carreteras (rutas) siguen ahí. Aquellos que necesitan señales para navegar se pierden y no pueden llegar a su destino. Si conoce la dirección TCP / IP del servidor al que está intentando acceder (por ejemplo, 1.2.3.4), está bien; si necesita buscar la dirección TCP / IP de randomsite.com, entonces no podrá llegar a su destino «.
– Marc Gaffan, vicepresidente y gerente general de Imperva para la línea de productos Incapsula
Activos educativos DDoS:
1) El video DDoS Underground – explica los ataques para el profano
2) La economía de los bots subterráneos – explica cómo funcionan las botnets y quién está detrás de ellas
Preguntas frecuentes sobre el ataque Dyn
P. ¿Cuál fue el ataque?
R. El ataque a Dyn es lo que se conoce como un ataque DDoS de servidor de nombres, en el que los atacantes se centran en los servidores de nombres para evitar que las direcciones web se resuelvan. Esto se puede lograr utilizando lo que se conoce como inundaciones de DNS contra servidores o atacando la infraestructura de red de los proveedores de servicios de DNS. El ataque es similar a cortar la red telefónica antes de una invasión para evitar la comunicación. Para obtener más información sobre los ataques DDoS del servidor de nombres, haga clic en aquí.
P. En términos relativos, ¿qué tan grande es este ataque?
R. No sabemos el tamaño exacto del ataque ya que no protegemos a Dyn. Pero dado el tamaño de la red de Dyn, estimaríamos esto en el rango de grande a muy grande.
P. ¿Qué expone un ataque de este tipo sobre la vulnerabilidad de Internet y los ISP?
R. La apertura de Internet la hace vulnerable. La intención del diseño inicial era crear servidores de búsqueda que fueran accesibles para cualquiera que quisiera encontrar la dirección de un sitio o red. Los atacantes se dieron cuenta de que podían inundar estos servidores con tráfico y hacer que no estuvieran disponibles, básicamente cortando el acceso a los sitios que figuran en esos servidores. Los ISP y otros servicios de infraestructura necesitan fortalecer sus servidores DNS y asegurarse de que tengan servidores o servicios redundantes solo para estos tipos de escenarios de ataque.
P. ¿Representa una tendencia constante a atacar piezas clave de la infraestructura de Internet?
R. Los ataques a servidores DNS no son nuevos. Los más comunes, llamados «inundaciones de DNS», existen desde hace años. Nosotros escribió sobre un ataque similar en UltraDNS en 2014
Preguntas frecuentes sobre bots
P. ¿Qué es un bot de Internet?
R. Un bot de Internet es una aplicación diseñada para realizar automáticamente una tarea específica en un sitio web. Las tareas suelen ser relativamente sencillas y habitualmente repetitivas. Los bots a menudo están programados para realizar estas tareas repetitivas a velocidades muy altas.
P. ¿Para qué se utilizan los bots?
R. Debido a su capacidad para repetir rápidamente una tarea específica, los bots se utilizan para hacer cosas a una escala que los humanos no pueden o simplemente no quieren hacer. Los bots vienen en dos variedades: buenos y malos, y algunos se encuentran entre las dos categorías. Los buenos bots son los que hacen funcionar Internet. Los robots malos se utilizan a menudo con fines tortuosos al imitar el comportamiento humano.
P. ¿Qué tan comunes son los bots?
R. Los bots de Internet son sorprendentemente comunes. De hecho, las últimas investigaciones dicen que los bots representan la mitad de toda la actividad de Internet. Internet como lo conocemos no funcionaría sin bots. Pero hay una enorme cantidad de bots que no hacen nada bueno. La última investigación dice que los bots malos son un 50% más comunes que los buenos, y que los bots malos representan casi el 30% de todo el tráfico de Internet.
P. ¿Cuáles son algunos ejemplos de bots «buenos»?
R. Los buenos bots mantienen Internet en funcionamiento. Los bots buenos más comunes se utilizan para rastrear Internet e indexarlo. Estos buenos bots incluyen bots como Google, Bing y Baidu que se utilizan para indexar sitios y hacer que los motores de búsqueda funcionen con precisión. Otros bots se utilizan para mantener actualizados los resultados deportivos y la información meteorológica. Algunos buenos bots se utilizan para verificar que un sitio esté en funcionamiento o que no se haya ralentizado debido a una sobrecarga.
P. ¿Cuáles son algunos de los bots «malos»?
R. Existe una amplia variedad de bots maliciosos, la mayoría de los cuales están diseñados para hacer algo malicioso. Los bots raspadores rastrean sitios web como buenos bots, pero están robando información que va desde el contenido original hasta los precios para volver a publicarla en otro lugar de Internet. Los robots de correo no deseado y correo electrónico intentan recopilar y publicar información personal sin permiso. Los bots zombis intentan apoderarse de las PC para usar esas máquinas como soldados para difundir y controlar, aún más, bots. Los robots imitadores intentan contaminar Internet con publicaciones falsas en las redes sociales. Los bots espías están buscando las vulnerabilidades en los sitios web para explotarlas más tarde. Existen otros bots con el único propósito de derribar un sitio web; estos bots distribuidos de denegación de servicio o «DDoS» se cuentan por millones y están controlados por redes de delincuentes.
P. ¿Cómo puede saberlo: bot o no?
R. Afortunadamente, existe tecnología que puede detectar bots y luego separar lo bueno de lo malo. Puede saber mucho sobre un bot en función del vecindario (o dirección IP) del que proviene. La tecnología de detección de bots también puede desafiar a un bot con pruebas simples que pueden separar los navegadores humanos de los bots automatizados. La tecnología de detección de bots también puede medir el orden y la frecuencia de las solicitudes de un bot y observar el comportamiento de navegación para separar aún más al humano de la máquina y lo bueno de lo malo.
P. ¿Se pueden controlar o eliminar los robots malos?
R. La misma tecnología que se usa para detectar bots a menudo puede limitar la actividad de un bot bueno o malo o incluso eliminar la capacidad de un bot malo para acceder a un sitio web en primer lugar.