Hoy en día existen muchas formas de realizar pruebas de simulación de DDoS y asegurarse de estar protegido contra ataques. Puedes hacerlo por tu cuenta con software comercial o herramientas de código abierto, lo que mejor se adapte a tus necesidades. Dicho esto, hay algunos requisitos básicos: necesitas una plataforma que permita iniciar y detener simulaciones de ataque fácilmente, y no olvides notificar y obtener la aprobación de las partes relevantes, como tu proveedor de cloud o el fabricante de la herramienta, antes de comenzar las pruebas. Más allá de estos aspectos básicos, existen algunas prácticas recomendadas que te ayudarán a sacar el máximo partido de tus pruebas de DDoS.
1 – Planifica las pruebas para validar la protección de tus activos más críticos
Aunque puede ser más fácil realizar pruebas de caja negra (lanzar ataques sin conocer la estructura interna, la arquitectura y la configuración de tu protección), un enfoque de caja blanca es mucho más eficaz para descubrir vulnerabilidades graves. Las pruebas de caja negra a veces pueden dirigirse a servicios de baja prioridad que no son cruciales para tu negocio y que quizás no estén bien protegidos. En cambio, las pruebas de caja blanca te permiten centrarte en servicios críticos para el negocio y verificar el componente de mitigación de riesgos. Por ejemplo, al probar la protección DDoS L3/4 en la nube para asegurarte de que filtra el tráfico malicioso dirigido a tu centro de datos, con caja blanca te enfocarías en probar las subredes protegidas que realmente importan, mientras que con caja negra podrías terminar atacando un endpoint corporativo menos importante que no requiere el mismo nivel de defensa.
2 – Prueba tu entorno de producción (no solo un sandbox)
Probar tu entorno de producción es la verdadera prueba, ya que te da una idea mucho más precisa de cómo se comportará tu sistema durante un ataque DDoS real. Aunque es más fácil y menos arriesgado probar en un sandbox o entorno de pruebas, estas configuraciones a menudo no reflejan la capacidad total ni la arquitectura de tu entorno de producción. El sandbox podría no tener los mismos recursos y podría carecer de componentes importantes que afecten tu resiliencia ante DDoS. Ciertamente, probar en producción conlleva cierto riesgo, pero es mucho menor que el riesgo de dejar pasar una vulnerabilidad crítica que podría causar una denegación de servicio real durante un ataque. Para minimizar el riesgo, intenta realizar la simulación de DDoS durante un período de bajo tráfico para reducir el impacto en tus operaciones.
3 – Empieza por los vectores de ataque más comunes
Planificar y ejecutar pruebas de DDoS puede ser complicado. Hay innumerables vectores y técnicas de ataque para elegir, y puede resultar abrumador decidir cuáles incluir en tu simulación. Si es tu primera vez realizando pruebas de DDoS, es buena idea comenzar con los vectores más comunes, como inundaciones TCP o UDP. Estos son los tipos de ataques que los atacantes suelen usar, son relativamente sencillos y te ayudarán a confirmar que tu protección puede manejar estas amenazas 'básicas'. Una vez que hayas validado que tus defensas pueden con ellos, puedes pasar a simular ataques más avanzados, aquellos que son más difíciles de bloquear y requieren tácticas más sofisticadas por parte de los atacantes.
4 – Prueba cada capa de protección por separado
Idealmente, tu protección DDoS debe incluir múltiples capas y mecanismos para defenderse de los ataques. Por ejemplo, una solución WAF puede incluir funciones como protección contra bots, reglas basadas en aprendizaje automático y limitación de velocidad. Durante tu simulación de prueba, querrás validar cada una de estas capas individualmente. A menudo descubrirás que una función de protección funciona muy bien contra un tipo específico de ataque. Por ejemplo, tu prueba podría mostrar que la protección contra bots identifica eficazmente ciertos vectores de ataque. Pero en el mundo real, los atacantes pueden comenzar con un método, ser bloqueados y luego cambiar a técnicas más avanzadas que eluden la protección contra bots. Para que tus pruebas sean más realistas, procura simular escenarios en los que los atacantes utilicen múltiples vectores que desafíen todo el conjunto de protección. Esto te ayudará a comprender mejor cómo se comporta cada capa en diferentes condiciones.
5 – Involucra a múltiples partes interesadas en la prueba
A diferencia de las pruebas de penetración tradicionales, una simulación de DDoS debería involucrar a más que solo el 'equipo rojo' que ejecuta el ataque. Es importante que múltiples partes interesadas participen en el proceso. Hay varias razones clave para esto. En primer lugar, querrás que alguien del equipo de administración de redes supervise que los servidores y los componentes de red sigan funcionando sin problemas. Los miembros de los equipos de seguridad y DevOps (o roles similares, según tu organización) también pueden proporcionar información valiosa durante la prueba, como qué tan bien está penetrando el ataque, el impacto en los servicios, cómo se activan las alertas y si las medidas de protección están funcionando como se espera. Si eres consciente de alguna brecha en tu capacidad para detectar o mitigar ataques, los ingenieros de red o seguridad pueden aprovechar la prueba para ajustar configuraciones y mejorar las defensas sobre la marcha.
6 – Entrega resultados procesables a los tomadores de decisiones
El propósito principal de las pruebas de simulación de DDoS es descubrir y abordar debilidades de seguridad. Pero seamos sinceros: las pruebas de DDoS son complejas y están llenas de matices técnicos. Por ejemplo, decir que un ataque de 'inundación HTTPS GET /' solo fue detectado parcialmente puede no traducirse en algo que los tomadores de decisiones puedan entender fácilmente o sobre lo que puedan actuar. En su lugar, concéntrate en analizar los resultados de tus pruebas y convertir los resultados técnicos de aprobado/fallo en información clara y digerible. Destaca las brechas de seguridad actuales, los riesgos que representan y proporciona pasos concretos y procesables. Este enfoque garantiza que los tomadores de decisiones comprendan lo que se necesita para fortalecer las defensas y tomar medidas significativas.
7 – Vuelve a probar después de corregir vulnerabilidades
Al igual que en las pruebas de software, volver a probar es imprescindible después de abordar vulnerabilidades en tu configuración o ajustes. Es la única forma de confirmar que las correcciones resolvieron realmente los problemas encontrados durante la prueba inicial. Considera este ejemplo: durante una simulación de DDoS con una institución financiera, la primera prueba falló. Para validar la protección DDoS de 'tubería limpia' del ISP, tuvimos que realizar tres repeticiones de la prueba porque falló repetidamente en defenderse de ataques de capa 3/4. Volver a probar no solo sirve para verificar las correcciones, sino que también es una oportunidad para aumentar la dificultad. Al introducir vectores de ataque más avanzados junto con los anteriores, puedes evaluar la resiliencia mejorada de tu protección e identificar cualquier punto débil restante.
Sobre el autor: Ziv proporciona liderazgo y visión para Red Button, empresa que ha dirigido desde su fundación. Desarrollador del estándar DDoS Resiliency Score (DRS), también es un ponente habitual en conferencias de seguridad globales. Antes de Red Button, Ziv trabajó en Radware, donde estableció y gestionó un equipo de respuesta a emergencias para ayudar a organizaciones bajo ataques DDoS. Anteriormente, Ziv trabajó en Check Point e Intel.
