El siguiente artículo es la segunda parte de una serie de tres artículos sobre la resolución de problemas relacionados con ataques DDoS, y se trata de una publicación invitada de Matt Conran de Network Insight . En este artículo, Matt aborda los desafíos del enfoque manual para la resolución de problemas DDoS.
Un ataque DDoS (Denegación de Servicio Distribuida) es una emboscada cuyo objetivo es interrumpir los servicios en línea mediante un tráfico masivo proveniente de numerosas fuentes. En este ciberataque, el atacante utiliza más de una dirección IP. Por lo tanto, al pensar en un ataque DDoS, los primeros elementos que nos vienen a la mente son los componentes de detección y mitigación. Al fin y al cabo, es aquí donde se invierte la inversión y donde se introducen las nuevas funciones avanzadas. Sin embargo, es la eficacia integral de la solución la que detiene el ataque DDoS a tiempo.
La pieza que falta en este rompecabezas es la resolución de problemas. Muchos creen que mapear una red y solucionar problemas es una tarea técnica que solo requiere la intervención de un ingeniero. Sin embargo, existe todo un proceso empresarial que debe integrarse para culminar en la configuración final, deteniendo así el ataque DDoS.
El procedimiento implica la coordinación de personas de diferentes equipos y antecedentes técnicos para combinar de manera eficiente y formar una solución. Esto no es algo que suceda automáticamente o por casualidad. Necesita ser ensayado y controlado con precisión. Uno de los mayores problemas con los ataques DDoS es la falta de preparación. La falta de preparación lleva al pánico y luego nada se arreglará si eso ocurre.
Toda la experiencia técnica del mundo no lo ayudará a menos que las culturas entre los equipos funcionen de manera eficiente. Y con un evento DDoS, seguramente necesitará varios equipos que operen juntos.
El arte de la creación de redes ha dado lugar a miles de diseños de redes diferentes, a menudo denominados copos de nieve únicos. En la red SP, a menudo proporciona el mismo requisito de conectividad de objetivo final, como L2VPN y L3PVPN. Sin embargo, el tipo de diseño de red varía considerablemente de un proveedor a otro.
Muchos diseños quedan en la cabeza del diseñador cuando debería estar en un depósito central, rastreado con cambios. La solución de problemas de diversos diseños y configuraciones de red se vuelve difícil cuando recibe un ataque DDoS con volúmenes que alcanzan la escala de Terabyte.
El Agujero Negro Activado Remotamente (RTBH) es una de las formas más comunes de mitigar un ataque. Utiliza el Protocolo de Puerta de Enlace de Frontera (BGP) dentro de la red e instala reglas en el punto de reenvío para bloquear el destino y mitigar el ataque DDoS. Básicamente, ejecuta el ataque DDoS en nombre del atacante. Si bien RTBH ha sido útil en el pasado, uno de sus inconvenientes es que combina el enrutamiento en modo misión y las funciones de seguridad en el mismo dispositivo.
Las reglas de firewall que se utilizan para bloquear un ataque se colocan en el dispositivo de red que desempeña la función principal de enrutar el tráfico del punto A al punto B. Entonces, desde un punto de vista técnico, ya tenemos desafíos. Para agravar esto aún más, la mayoría de las veces tenemos que combinar dos equipos para trabajar en el mismo dispositivo, tanto de seguridad como de red. Desde un punto de vista operativo, el enfoque más común para la mitigación de DDoS es mezclar dos sombreros técnicos en el mismo dispositivo.
En el pico de un ataque DDoS, la colaboración del equipo es fundamental y la mitigación de DDoS existente, como RTBH, puede plantear desafíos de coordinación del equipo. Para protegerse de manera eficiente contra DDoS, una solución nunca puede verse como singular únicamente desde el punto de vista técnico. Es todo el proceso de resolución de problemas y la colaboración de los equipos lo que gana la carrera con éxito.
Para una protección eficaz contra ataques DDoS, es necesario examinar todas las capas del modelo de interconexión de sistemas abiertos (OSI). Ya no se trata solo de una capa; los ciberdelincuentes utilizan múltiples capas para infiltrarse en una red. A menudo se emplean ataques paralelos que combinan la capa 4 (aplicación volumétrica) con la capa 7 (aplicación a la aplicación). En esencia, tenemos dos capas del modelo que requieren análisis y solución de problemas: la capa 4 y la capa 7.
Esto también podría involucrar potencialmente a dos equipos separados: el equipo de redes para la capa 4 y un equipo de aplicaciones para la capa 7. Combinando algunos cortafuegos y balanceadores de carga, tenemos una buena combinación de interacción de equipo disperso. Este tipo de colaboración debe optimizarse y coordinarse de manera eficiente.
El enfoque manual de DDoS contiene una serie de pasos antes de llegar al origen del problema. Todo esto puede necesitar ser llevado a cabo por diferentes personas, equipos, lugares y tiempos. Seguramente, las personas involucradas no estarán sentadas una al lado de la otra. Dependiendo del ataque y cómo fue señalado es lo que cuenta. Si se trata de un ataque a nivel de aplicación, es posible que un administrador deba ver los registros de servidores individuales iniciando sesión manualmente o a través de un analizador de registros central.
Otro administrador podría tener que rastrear un grupo de máquinas y ejecutar comandos como "Netstat" para determinar qué conexiones están abiertas en ese servidor o dispositivo. Otro administrador tendría que comprobar si la carga de la máquina es alta o determinar la cantidad de procesos HTTP en ejecución. Un administrador de Linux o de firewall tendría que crear scripts personalizados y ejecutarlos en las tablas IP para obtener otro tipo de información de seguridad.
Los scripts personalizados creados por ingenieros individuales son excelentes para uno de los trabajos, pero si desea que se automaticen entre equipos, las cosas se complican. La persona que crea el guión suele ser la que gestiona el guión. ¿Qué sucede cuando esta persona se va o si hay errores o cambios necesarios?
El trabajo adicional que está más allá del ámbito de ese ingeniero se agrupa en sus operaciones diarias normales y eventualmente se dejará de lado. Es mucho mejor almacenar todas sus secuencias de comandos en una base de datos administrada centralmente donde no hay una sola persona a cargo. Los ataques DDoS están evolucionando rápidamente. El tipo de cambios aleatorios requeridos (TCP – > UDP) sería un simple comando en el servidor C2. Tratar de rastrear todo esto con scripts personalizados es perjudicial para usted y su empresa.
Puede que sea necesario recurrir a un ingeniero más experimentado para que examine los encabezados de host HTTP o las tablas de sesión en un balanceador de carga y determine si se trata de un ataque más sofisticado. Los ataques de capa 7 no superan los paquetes por segundo, por lo que debemos ir más allá de la quíntupla estándar y detectar problemas intermitentes.
En ocasiones, es posible que debamos hacer más esfuerzos para examinar los recuentos de congestión, las ventanas de congestión, TCP RTT u otras características avanzadas. En un servidor web, es posible que debamos buscar encabezados específicos para escribir en Null0.
Las comunidades BGP a menudo son adecuadas para las mitigaciones de DDoS. La comunidad BGP se establece en una ruta y luego esa ruta se bloquea en el borde de la WAN. Si se configura incorrectamente, implicaría mucho trabajo manual para averiguar dónde está la fuente del problema.
En última instancia, es necesario recurrir al método manual para la resolución de problemas, y luego recopilar toda la información de diagnóstico en un solo lugar para tomar una decisión sobre qué hacer. Intentar repetir estos pasos con el mismo personal sin automatización no garantiza un funcionamiento fluido. Hay muchos pasos involucrados que requieren de diversos equipos, combinando diferentes roles tecnológicos.
Algunos de los dispositivos necesarios para la resolución de problemas pueden estar en redes distintas con diferentes credenciales de acceso. Es posible que incluso necesite abrir un ticket de soporte para acceder al dispositivo y comenzar la resolución de problemas. Ya estamos en una situación complicada y los ataques DDoS nos están superando con creces. Este tipo de resolución de problemas nos perjudica, sobre todo cuando ya estamos en un juego del gato y el ratón. Combinar equipos, perfiles técnicos y habilidades es una tarea difícil que requiere una buena gestión de equipos y proyectos. En lugar de dejarlo todo en manos del destino, es mejor tener una solución preparada para que las cosas funcionen. Así, cuando ocurra un ataque DDoS, y sin duda ocurrirá, estará listo para mitigarlo con solo pulsar un botón.
NetBrain ofrece un enfoque único para la automatización de redes cerrando así la brecha entre la detección y la mitigación de DDoS. la habilidad para NetBrain integrarse con los sistemas de detección y mitigación completa la pieza faltante del rompecabezas de Denegación de servicio (DDoS). No es la empresa de mapeo sino la empresa de automatización la que aprovecha Mapeo de Red Dinámico, Ejecutable Runbooks y rico marco de integración de API y flujos de trabajo para solucionar cualquier tipo de DDoS.