Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Buscador

Entradas Mensuales

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Foro de elhacker.net - Noticias

elhacker.NET en Facebook

Entradas populares

PostHeaderIcon El mayor ataque DDoS alcanzó los 400Gbps en 2014




El mayor ataque DDoS en 2013 fue el recibido por Spamhaus y mitigado por CloudFlare usando servidores Open DNS Resolvers y llegando a superar picos de 300Gbps. En 2014 el mayor ataque DDoS registrado ha sido de 400Gbps usando servidores vulnerables NTP, aprovechando su gran factor de amplificación .






Para hacer un tipo de ataque Distributed Reflection Denial of Service (DrDoS) usando tráfico UDP en el que no necesitamos una gran botnet (pc's infectados), simplemente una lista grande de servidores mal configurados que nos atacarán por la petición maliciosa de una tercera persona.

Un ataque de denegación de servicio distribuido supone el envío de solicitudes falsas (spoofed) a un gran número de equipos que responden a las solicitudes. Falsificando (spoofing) la dirección ip de origen el atacante consigue que respondan y ataquen "involuntariamente" a la víctima.



Un ataque de inundación UDP (Flood UPD) se inicia mediante el envío de un gran número de paquetes UDP a a puertos al azar del sistema de destino. El sistema de destino está además "obligado" a "responder" enviando muchos paquetes ICMP "Destination Unreachable", consumiendo así sus propios recursos y provocando DoS. Como UDP no requiere ningún procedimiento de configuración de la conexión para la transferencia de datos, cualquier persona con conexión a internet y suficientes conocimientos puede lanzar un ataque;

Según un reporte/informe en una encuesta realizada anualmente por la empresa Arbor:



La frecuencia, complejidad y mangnitud de los ataques DDoS va en aumento:

  • El uso de la reflexión / amplificación para lanzar ataques masivos: El ataque más grande reportado en 2014 fue 400Gbps, con otros grandes eventos reportados en 300, 200 y 170Gbps con otros seis encuestados que informaron eventos por encima del umbral de 100 Gbps. Tan sólo hace diez años, el mayor ataque registrado fue de 8 Gbps.
  • En 2013, poco más de una cuarta parte de los encuestados indicaron que habían visto más de 21 ataques por mes; en 2014, ese porcentaje casi se ha duplicado a 38 por ciento.
 Los atacantes siguen utilizando técnicas de reflexión / amplificación para crear ataques gigantescos. El mayor ataque reportado fue de 400 Gbps, con otros encuestados informar ataques de 300 Gbps, 200 Gbps y 170 Gbps. otros seis encuestados informaron eventos que excedieron el umbral de los 100 Gbps



Los tres principales motivaciones detrás de los ataques siguen siendo vandalismo nihilismo, juegos en línea y hacktivismo- ideológica todos los cuales han sido entre los tres primeros en los últimos años. El Gaming ha ganado en porcentaje, que no es de extrañar, las campañas de ataque relacionadas con el juego de este año.

El porcentaje de encuestados que utilizan sistemas de mitigación de DDoS inteligentes (IDMS) para mitigar ataques DDoS se ha adelantado a ACL por primera vez este año.

81% de los encuestados vio ataques a nivel de aplicaciones dirigidas a HTTP, y casi el 60 por ciento vio ataques contra HTTPS y DNS.

Más de un tercio de los operadores de centros de datos vio los ataques DDoS que agotaron su ancho de banda de Internet. 

Principales Protocolos Usados para el vector ataque



Malas noticias

La proporción de los encuestados de implementar BCP 38/84 anti-spoofing se ha reducido de alrededor de la mitad del año pasado a poco más de un tercio este año. Teniendo en cuenta que la falta de filtros anti-spoofing en el borde de Internet es una de las razones clave por las DDoS reflexión / amplificación ataques son posibles, se esperaba que esta proporción habría aumentado. Esta es una mala noticia.


Anatomía de un ataque NTP (Network Time Protocol)



Se calcula que hay más 1 millón de servidores NTP vulnerables (a fecha de Enero de 2014) -Reporte de http://openntpproject.org

¿Dönde está el problema? 

1. IP Spoofing

El atacante puede suplantar la ip de origen (Source Address Spoofing), udp no lo valida. No es un problema nada nuevo, ya que hay reportes en CERT desde el año 1997.

2. Amplificación (Amplification)


El atacante hace una pequeña solicitud que genera significativamente una mayor respuesta / respuesta. Se han visto ataques que pueden generar un tráfico de hasta 300gb/sec. Se  caclcula que un atacante con una velocidad de subida uplink de 1 Gb/s podría  generar varios ataques de varios Tbit/s

3. Reflectores (Reflection)

 
El atacante envía peticiones falsificados a un gran número de servidores vulnerables que responden a las peticiones. El uso falsificado de la dirección IPhace que la dirección "origen" es en realidad  el objetivo real del ataque, donde se envían todas las respuestasCómo veremos, muchos servicios pueden ser explotados para actuar como reflectores.



UDP Reflection
  • DNS Reflection (port 53, udp) open DNS recursive Poder Amplifcación del tráfico 18x/1000x
  • CharGen (Character Generator Procotol) port 19. GetBulk request Poder Amplificación grande: 160x
  • Echo (puerto 7)
  • QOTD: (Quote of the Day) Muy similar a CharGen (puerto 17)
  • NTP (Networt Time Protocol) port 123 Poder Amplificación muy grande 1000x
  • SNMP (Simple Network Management Protocol) port 161 Poder Amplificación 880x
  • SSDP (Simple Service Discovery ProtocolPuerto 1900 udp SSDP Plug & Play (UPnP)

Soluciones - Mitigación - Contramedidas

Los servidores vulnerables deberían ser cerrados o configurados correctamente:
  • NTP (Networt Time Protocol) no responder al comando, orden "monlist" es vulnerable se pueden filtrar consultas mediante "restrict"
El Grupo de Trabajo de la Red de la Internet Engineering Task Force (IETF) publicó Best Current Practice documento 38 en mayo de 2000 y Mejores Prácticas actuales 84 marzo 2004 que describe como un proveedor de servicios de Internet puede filtrar el tráfico de red en su red para rechazar los paquetes con direcciones de origen no puede llegar a través del recorrido del paquete actual


Los paquetes falsos deberían prohibirse en el origen (BCP38) Network Ingress Filtering: Defeating Denial of Service Attacks que emplea "IP Source Address Spoofing"


Implementar (para evitar IP Spoofing)


  • BCP38 (RFC2827)
  • BCP84 (RFC3704)


La idea es simpple. Dropear (drop, descartar) los paquetes que entran la red (border router) cuya dirección de origen no es la misma que la dirección de red asignada de la red de origen

Implementar filtros ingress/egress filter en el border router del ISP:

Para verificar si en su red se ha implementado el filtrado de entrada, puedes descarga las herramientas de código abierto del proyecto Spoofer:



0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.