Después de la publicación por parte de Brian Krebs de la detención de dos israelís propietarios de VDOS, uno de los servicios de ataques DDoS de pago más utilizado del mundo, su blog http://krebsonsecurity.com/ ha sido atacado con 620 Gbps de ancho de banda, lo que ha provocado que su empresa de protección DDoS haya decidido no protegerle más. Finalmente la única empresa que ha accedido a proteger gratuitamente a Brian Krebs ha sido Google, con el programa de protección para la censura en internet del proyecto Google Shield

Akamai se rinde

Resulta cuanto menos curioso que una empresa proveedora de servicios de internet que se dedica principalmente a la protección de ataques de denegación de servicios (DDoS) le diga a un cliente que no le va a proteger más.

La verdad es que un ataque de tal magnitud es muy complicado de manejar, ya que abarca tanto ancho de banda que por mucha infraestructura que tengas, incluso el resto de clientes se ven afectados por los daños colaterales.

Otras empresas han ofrecido protección al blog de krebsonsecurity.com pero el presupuesto manejado sería de unos 150.000$ a 200.000$ anuales algo muy díficilmente asumible para un periodista dedicado a la seguridad informática.

Google protege la libertad de expresión

Parece que el único gigante tecnológico con infraestrctura capaz de soportar semejantes ataques es la de de Google, gracias a su proyecto gratuito contra la censura en internet llamado Google Shield, ofrece protección gratuita a medios de comunicación censurados mediante ataques.

• https://projectshield.withgoogle.com/public/

Los sitios hosteados por Project Shield estarían detrás de la infraestructura de PageSpeed, por lo que Google podría reunir todos sus recursos para reforzar una página si ésta cae víctima de un ataque DDoS.

• Noticias o contenido de medios de comunicación independientes
• Información electoral
• Información acerca de los derechos humanos

Actualmente, solo puedes acceder a Project Shield si recibes una invitación, y estamos buscando "verificadores de confianza" adicionales. Se invita a las organizaciones con sitios que suministran contenido de medios de comunicación o relacionado con las elecciones o los derechos humanos a enviar una solicitud a través del formulario que aparece a continuación. Obtén más información acerca de la iniciativa aquí.

El problema de fondo: BCP38

Los ataques DDoS mediante reflexión y amplificación son un gran problema de fondo difícilmente solucionable mientras muchos ISP no apliquen medidas contra el spoofing de IP'S como el BCP38

Los atacantes usando una técnica llamada DrDDoS usaron servidores DNS mal configurados, para amplificar el ataque hasta generar 665 Gigabits de tráfico por segundo.

Los servidores vulnerables deberían ser cerrados o configurados correctamente:

• DNS En Bind DNS los servidores que sean "Open resolvers" deben usar Response Rate Limiting (RRL). usar ACL'S

El Grupo de Trabajo de la Red de la Internet Engineering Task Force (IETF) publicó Best Current Practice documento 38 en mayo de 2000 y Mejores Prácticas actuales 84 marzo 2004 que describe como un proveedor de servicios de Internet puede filtrar el tráfico de red en su red para rechazar los paquetes con direcciones de origen no puede llegar a través del recorrido del paquete actual


Los paquetes falsos deberían prohibirse en el origen (BCP38) Network Ingress Filtering: Defeating Denial of Service Attacks que emplea "IP Source Address Spoofing"

Implementar (para evitar IP Spoofing)

• BCP38 (RFC2827)
• BCP84 (RFC3704)

Fuentes:
http://www.redeszone.net/2016/09/25/akamai-deja-tirado-krebsonsecurity-ataque-ddos-sufrido-google-viene-al-rescate/
https://krebsonsecurity.com/2016/09/the-democratization-of-censorship/