http://www.openlearning.

es

3. Proteccin de Datos
7. Denegacin de Servicio
7.1 Introduccin
Internet se ha convertido en la ltima dcada en una revolucin tecnolgica y social por diversos
motivos:

Accesibilidad: Es accesible desde casi cualquier punto del planeta y en cualquier

momento.
Informacin: Es la mayor fuente de informacin del mundo y est desplazando a los
medios de comunicacin tradicionales: peridicos, radio, televisin
Comunicacin y conectividad: Gracias a servicios como el e-mail, chats, grupos de
noticias permiten la comunicacin de millones de personas de una manera econmica.
Anonimato: La conexin a Internet es relativamente annima y permite a los usuarios
ser prcticamente invisibles al resto.

Esas propias ventajas de Internet son su taln de Aquiles:

La accesibilidad y el anonimato permiten que sea muy difcil identificar la ubicacin fsica
o la identidad de los posibles atacantes a un sistema.
La informacin permite que muchas personas se puedan formar para atacar a las
vulnerabilidades de los sistemas. Lo nico que necesitan es acceso a internet y un poco
de predisposicin para aprender.
La comunicacin permite coordinar a diferentes personas para realizar un ataque. Y la
conectividadpermite distribuir el software malicioso de manera rpida. Es precisamente
esta caracterstica que hace ms vulnerable a Internet ya que un programa malicioso
que aproveche una vulnerabilidad de un sistema operativo en pocas horas se puede
distribuir por miles de equipos.

Podramos definir los ataques DOS (Denegation Of Service) como la apropiacin exclusiva de un
recurso o servicio con la intencin de evitar cualquier acceso de terceros. Tambin se incluyen
en esta definicin los ataques destinados a colapsar un recurso o sistema con la intencin de
destruir el servicio o recurso.
Un ataque de denegacin de servicio (Denial of Service) se caracteriza por intentar evitar el uso
legtimo de un bien, servicio o recurso.
Un DDoS (Distributed DoS) consiste en la utilizacin de muchos atacantes para lograr un DoS.
Pero, cmo es posible lanzar este tipo de ataques en Internet?

Las tcnicas de diseo de la Internet actual se centran en ser eficiente en el transporte

de paquetes de fuente a destino. Se trata de un modelo extremo a extremo: la red
proporciona un servicio best-effort
Es responsabilidad de los extremos utilizar los protocolos convenientes para garantizar
calidad de servicio, transporte robusto y fiable o seguridad.

http://www.openlearning.es

Si uno de los extremos se comporta de manera malintencionada puede provocar daos

al otro extremo
Dado el diseo de la red intermedia (Internet) no se actuar contra el host malicioso.
Consecuencias de estos ataques:
o Suplantacin de direcciones IP: IP Spoofing
o Ataques de denegacin de servicio distribuido (DDoS)

Los ataques DOS nacen como una consecuencia natural de la propia arquitectura de Internet.
No es necesario tener grandes conocimientos para realizar este tipo de ataques y no es tan
arriesgado como realizar un ataque directo contra un servidor: este tipo de ataques utilizan
otros equipos intermedios para luego poder borrar rastros.
Por ejemplo: Si un servidor tiene un ancho de banda de 1mbps y un usuario tiene un ancho de
banda de 30mbps, este usuario podra denegar el servicio del servidor hacindole muchas
peticiones y agotando su ancho de banda.
Existen tres tipos bsicos de denegacin de servicio:

Consumo de recursos: El atacante intenta consumir los recursos del servidor hasta
agotarlos: ancho de banda, tiempo de cpu, memoria, disco duro
Destruccin o alteracin de la configuracin: Se intenta modificar la informacin de la
mquina. Este tipo de ataques necesitan de tcnicas ms sofisticadas.
Destruccin o alteracin fsica de los equipos: Se intenta denegar el servicio
destruyendo fsicamente el servidor o algunos de sus componentes, cortando el cable
de conexin, o el cable de la red elctrica.

http://www.openlearning.es
7.2 Internet y DDoS
Las caractersticas de Internet hacen que sea relativamente sencillo lanzar ataques DDoS usando
esta infraestructura. Entre otras tenemos:

La seguridad en Internet es altamente interdependiente

Los recursos en Internet son limitados: Ancho de banda, CPU, memoria, espacio en disco
La inteligencia y los recursos no son gestionados de manera coordinada
No es obligatorio llevar un registro de la actividad
El control es distribuido

Aunque pueden existir diferentes tipos de ataque, cuando se lleva a cabo un ataque DDoS,
podemos identificar unas fases comunes:

Reclutamiento de los agentes que realizarn el ataque:

o Bsqueda de vulnerabilidades.
o Utilizacin de la vulnerabilidad para acceder a la mquina.
o Infeccin de la mquina con el cdigo del ataque. De esta forma, el atacante
est construyendo lo que suele denominarse como Botnet
Utilizacin de las mquinas comprometidas para ejecutar el ataque.

7.2.1 Motivaciones de los ataques DDoS

Detrs de los DDoS puede haber diversos motivos que enumeramos aqu:

Provocar un dao en la vctima.

Razones personales
Ganar prestigio. Los atacantes suelen alardear de sus logros para conseguir renombre
dentro de su comunidad.
Motivos econmicos.
Se han registrado ataques DDoS que han inutilizado
infraestructuras de empresas a las que se les ha exigido dinero a cambio de terminar el
ataque.
Razones polticas

http://www.openlearning.es
7.3 Ataques DoS Clsicos
Dentro de estos ataques podemos dividir en las siguientes categoras:

Ataques lgicos o software: consiste en enviar al equipo remoto una serie de

datagramas mal construidos para aprovechar algn error conocido en dicho sistema.
Son fciles de evitar actualizando el SW a versiones que corrijan dichos fallos o
aadiendo reglas al FW para filtrar paquetes mal construidos.
o Ping of Death
o Teardrop
o Land
Ataques de inundacin (flood): consisten en bombardear un sistema con un flujo
continuo de trfico que acaba por consumir todos los recursos del mismo y el BW de la
red del sistema atacado.
o TCP SYN
o Smurf IP
o UDP Flood
o ICMP Flood

Los sistemas de DOS ms utilizados:

Mail Bombing: El primer sistema de denegacin de servicio fue el denominado mail

bombing, consistente en el envo masivo de mensajes a una mquina hasta saturar el
servicio.
Smurfing: Este sistema de ataque se basa en transmitir a la red una trama ICMP
correspondiente a una peticin de ping. Esta trama lleva como direccin de origen la
direccin IP de la vctima (usando IP Spoofing) y como direccin de destino la direccin
broadcast de la red atacada. De esta forma todos los equipos de la red contestan a la
vctima de tal modo que pueden llegar a saturar su ancho de banda.

Es muy simple pero desgraciadamente muy efectivo.

http://www.openlearning.es
o

Aprovecha las direcciones IP de broadcasting y los paquetes ICMP ECHO

Request/Reply (PING)
o No existe una proteccin total contra este ataque, por lo que sigue siendo muy
peligroso.
o Este ataque necesita al menos tres protagonistas: el atacante, el atacado y un
conjunto de redes intermediarias que se utilizan para el ataque.
o El atacante busca redes (a ser posible grandes, con ms de 30 hosts), que tengan
direccin IP de broadcasting (X.Y.Z.255, o X.Y.255.255, o incluso mejor,
X.255.255.255).
o Falsifica un paquete IP poniendo como direccin Origen la de la vctima, y enva
un paquete ICMP ECHO Request (PING) a la direccin de broadcast de las redes
intermediarias seleccionadas.
o Los centenares (o miles) de hosts de esas direcciones de broadcasting
respondern a quien ellos creen ser el origen (en realidad la desprevenida
vctima) con un paquete ICMP de respuesta al PING, colapsando la lnea de ese
servidor.
o Si este proceso se repite cada pocos segundos el efecto es devastador.
SYN Flood: El sistema atacante utiliza una IP inexistente y enva multitud de tramas SYN
de sincronizacin a la vctima. Como la vctima no puede contestar al peticionario
(porque su IP es inexistente) las peticiones llenan la cola de tal manera que las
solicitudes reales no puedan ser atendidas.

El esquema del establecimiento de conexin TCP es,

1) C ----------------- NSc, Syn ----------------- >> S
2) C <<------- NSc+1, Ack, Syn, NSs ---------- S
3) C ------------------ NSs+1, Ack --------------->> S
Normalmente los pasos 1,2 y 3 se producen consecutiva y rpidamente. El
servidor suele establecer un timeout de 75 segundos entre el paso 2 y la
respuesta del ciente del paso 3.

http://www.openlearning.es
o
o

El ataque TCP Syn se basa en falsificar (spoof) el IP origen del paso 1, poniendo
el IP de un host legal pero inalcanzable (unreacheable)
Por tanto nadie responder al paso 2, y el servidor deber esperar 75 segundos
en un estado muy incmodo, con su socket a medio abrir, sus bufferes
reservados, etc..
Adems TCP suele tener una cola finita y no muy grande (de 6 a 15 entradas)
para estas conexiones en trmite, por lo que si enviamos varias decenas de estas
peticiones de conexin TCP falsas colapsaremos la cola haciendo que el servidor
tenga que rechazar el resto de peticiones legales que le estn llegando.
Si adems repetimos esa tanda de peticiones cada 80 segundos (un poco ms
de 75s, para que d tiempo de que se desbloqueen las anteriores),
conseguiremos parar el servicio TCP.
Este ataque es difcil de evitar, ya que se basa en una debilidad intrnseca de
TCP.

http://www.openlearning.es
7.4 Ataques DDoS
Podemos definir el ataque DDOS como un ataque de denegacin de servicio (DOS) donde existen
mltiples focos distribuidos y sincronizados que focalizan su ataque en un mismo destino.
Es decir, el ataque DDOS es una ampliacin del concepto DOS sumndole la capacidad de acceso
simultneo y desde cualquier punto del mundo que ofrece Internet.

Existen diferentes tipos de ataques DDOS pero todos tienen en comn un gran consumo de
ancho de banda. Aqu est el gran peligro de este tipo de ataques que tienen dos vertientes:

Denegacin del servicio: Es su objetivo principal, hacer que un sistema no pueda cumplir
su cometido.
Saturacin de la red: Debido a que los paquetes de estos ataques comparten las mismas
rutas que el resto de comunicaciones.

El crecimiento del nmero de nodos conectados y la mejora del ancho de banda hacen que
existan cada vez ms atacantes potenciales. Se puede dar el caso de cientos de atacantes
coordinados pero este fenmeno no se da en la realidad:

Es muy arriesgado para un atacante usar su propio equipo.

Es muy difcil coordinar a muchos atacantes.

En la prctica el mtodo utilizado es:

Uno o varios hackers buscan sistemas vulnerables. Esto es fcil ya que:

o Cada vez hay ms nodos conectados permanentemente a internet.
o Muchos equipos carecen de las actualizaciones crticas de sus sistemas
operativos o stos son antiguos.
El desconocimiento de muchos de los usuarios hace que no sean conscientes de que sus
equipos estn infectados por algn programa malicioso.
Se realiza un ataque sobre esos nodos y se les instala el programa. Estos son los nodos
masters, es decir, los que tienen una conexin directa con el atacante.
A su vez el programa instalado en estos nodos busca un segundo nivel de nodos
(slaves) que sern los encargados de realizar el ataque final.
Los atacantes dan la orden de manera sincronizada para que todos los nodos slave
ataquen al sistema victima.

http://www.openlearning.es

La gran ventaja de este sistema es que permite mantener el anonimato de los atacantes ya que
analizan el trfico de los nodos slave y cuando detectan que estn siendo analizados cierran la
conexin, posteriormente limpian cualquier prueba en el master y finalmente cierran su
conexin con el master.

http://www.openlearning.es
7.5 Herramientas en Ataques DDoS
La proliferacin de herramientas ha ido creciendo gracias a la aparicin de comunidades de
intrusos que, con mucha organizacin y muy poco tiempo de respuesta, consiguen pasar de una
versin beta a su versin final en tiempos rcords.
Esto hace que la dificultad para enfrentarse a ellos resulte cada vez mayor.
Las herramientas usadas para crear ataques DDOS son cada vez ms sencillas y fciles de usar
para usuarios poco expertos, esto hace que tambin aumente el nmero de ataques y los daos
que producen.
Veamos algunos ejemplos clsicos:
Trinoo
Trinoo es la primera herramienta de ataque distribuido conocida.
Los primeros demons trinoo fueron encontrados en mquinas solaris, al parecer infectadas
por vulnerabilidades sobre los RPC.
Trinoo aprovecha vulnerabilidades y errores conocidos de distintos SO para su contagio.
Despus de su fase de contagio la Red Trinoo est lista para recibir los comandos y actuar en
consecuencia.
El punto dbil de Trinoo est en que la transmisin de comandos usa un patrn fcilmente
reconocible por programas de deteccin y el almacenaje de las IP comprometido en ficheros no
encriptados.

TFN y TFN2K
Estas herramientas son la evolucin natural del Trinoo.
Las herramientas TFN (Tribe Food Network), implementa la mayora de ataques DDOS
conocidos.
La diferencia fundamental con Trinoo es que la sincronizacin de la red ya no viaja en TCP o UDP
sino por ICMP echo reply, para conseguir de esta manera una mayor dificultad a la hora de ser
detectados por monitorizadores de la red.
Su punto dbil es que no comprueba el origen del paquete ICMP, por ello un solo paquete ICMP
con los datos correctos puede dejarlo fuera de combate.
TFN2K fue la ms sofisticada herramienta descubierta hasta el momento.
Entre sus caractersticas ms novedosas destacaban:
1. La comunicacin entre maestro y esclavo est encriptada.
2. Los paquetes de comandos y los ataques propiamente dichos, pueden ser
enviados de una forma aleatoria utilizando TCP, UDP, ICMP.
3. El maestro es capaz de falsificar su propia direccin IP lo que hace
complicado prevenir este tipo de ataques.

http://www.openlearning.es
4. La comunicacin es totalmente "silenciosa". Ningn comando es
reconocido con el envo de un paquete aceptando o diciendo haber
entendido su contenido.
5. Los comandos utilizados no estn basados en cadenas.
6. Comprobacin de la autenticidad de los mensajes recibidos, aprovechando
caractersticas del mecanismo de encriptacin.

http://www.openlearning.es
7.6 Soluciones a Ataques DDoS:
Si analizamos el funcionamiento de los DDOS nos daremos cuenta que no existen soluciones
100% fiables contra ellos.
Sin embargo si podemos defendernos de sus efectos. Y el modo de defensa debe cumplir 5
requisitos bsicos:
1.
2.
3.
4.
5.

Una solucin distribuida para un problema distribuido

La solucin no debe penalizar el trfico de usuarios legtimos
Solucin robusta y universal (amenazas internas y externas)
El sistema debe ser viable es su aplicacin
Debe ser una solucin incremental

Las soluciones actuales se basan en firewalls clsicos y sistemas de deteccin de intrusos.

Organismos como CISCO recomiendan soluciones sencillas como modificar el tamao de la pila
de TCP o disminuir el tiempo de espera de establecimiento de las conexiones.