El mayor ataque DDoS en 2013 fue el recibido por Spamhaus y mitigado por CloudFlare usando servidores Open DNS Resolvers y llegando a superar picos de 300Gbps. En 2014 el mayor ataque DDoS registrado ha sido de 400Gbps usando servidores vulnerables NTP, aprovechando su gran factor de amplificación .






Para hacer un tipo de ataque Distributed Reflection Denial of Service (DrDoS) usando tráfico UDP en el que no necesitamos una gran botnet (pc's infectados), simplemente una lista grande de servidores mal configurados que nos atacarán por la petición maliciosa de una tercera persona.

Un ataque de denegación de servicio distribuido supone el envío de solicitudes falsas (spoofed) a un gran número de equipos que responden a las solicitudes. Falsificando (spoofing) la dirección ip de origen el atacante consigue que respondan y ataquen "involuntariamente" a la víctima.



Un ataque de inundación UDP (Flood UPD) se inicia mediante el envío de un gran número de paquetes UDP a a puertos al azar del sistema de destino. El sistema de destino está además "obligado" a "responder" enviando muchos paquetes ICMP "Destination Unreachable", consumiendo así sus propios recursos y provocando DoS. Como UDP no requiere ningún procedimiento de configuración de la conexión para la transferencia de datos, cualquier persona con conexión a internet y suficientes conocimientos puede lanzar un ataque;

Según un reporte/informe en una encuesta realizada anualmente por la empresa Arbor:

La frecuencia, complejidad y mangnitud de los ataques DDoS va en aumento:

• El uso de la reflexión / amplificación para lanzar ataques masivos: El ataque más grande reportado en 2014 fue 400Gbps, con otros grandes eventos reportados en 300, 200 y 170Gbps con otros seis encuestados que informaron eventos por encima del umbral de 100 Gbps. Tan sólo hace diez años, el mayor ataque registrado fue de 8 Gbps.
• En 2013, poco más de una cuarta parte de los encuestados indicaron que habían visto más de 21 ataques por mes; en 2014, ese porcentaje casi se ha duplicado a 38 por ciento.

 Los atacantes siguen utilizando técnicas de reflexión / amplificación para crear ataques gigantescos. El mayor ataque reportado fue de 400 Gbps, con otros encuestados informar ataques de 300 Gbps, 200 Gbps y 170 Gbps. otros seis encuestados informaron eventos que excedieron el umbral de los 100 Gbps



Los tres principales motivaciones detrás de los ataques siguen siendo vandalismo nihilismo, juegos en línea y hacktivismo- ideológica todos los cuales han sido entre los tres primeros en los últimos años. El Gaming ha ganado en porcentaje, que no es de extrañar, las campañas de ataque relacionadas con el juego de este año.

El porcentaje de encuestados que utilizan sistemas de mitigación de DDoS inteligentes (IDMS) para mitigar ataques DDoS se ha adelantado a ACL por primera vez este año.

81% de los encuestados vio ataques a nivel de aplicaciones dirigidas a HTTP, y casi el 60 por ciento vio ataques contra HTTPS y DNS.

Más de un tercio de los operadores de centros de datos vio los ataques DDoS que agotaron su ancho de banda de Internet. 

Principales Protocolos Usados para el vector ataque

Malas noticias

La proporción de los encuestados de implementar BCP 38/84 anti-spoofing se ha reducido de alrededor de la mitad del año pasado a poco más de un tercio este año. Teniendo en cuenta que la falta de filtros anti-spoofing en el borde de Internet es una de las razones clave por las DDoS reflexión / amplificación ataques son posibles, se esperaba que esta proporción habría aumentado. Esta es una mala noticia.

Anatomía de un ataque NTP (Network Time Protocol)

Se calcula que hay más 1 millón de servidores NTP vulnerables (a fecha de Enero de 2014) -Reporte de http://openntpproject.org

¿Dönde está el problema? 

1. IP Spoofing

El atacante puede suplantar la ip de origen (Source Address Spoofing), udp no lo valida. No es un problema nada nuevo, ya que hay reportes en CERT desde el año 1997.