A pesar de la adopción generalizada de soluciones de protección DDoS, los ataques disruptivos continúan siendo noticia. ¿Por qué? Incluso ataques 'básicos' logran evadir las defensas establecidas, como lo demuestra el reciente ataque DDoS a X. Nuestro análisis, basado en más de 100,000 horas de simulaciones anuales de ataques, revela que todas las protecciones DDoS implementadas son altamente vulnerables, con brechas que a menudo pasan desapercibidas hasta que un ataque interrumpe con éxito los servicios. Sin una forma efectiva de abordar estas debilidades de manera preventiva, las organizaciones permanecen expuestas. Este artículo examina por qué persisten los ataques DDoS y continúan infligiendo daños significativos.

Cómo Incluso Ataques Simples Derriban las Mejores Protecciones DDoS

En 2024, Cloudflare reportó más de 25 millones de ataques DDoS, lo que representa un aumento interanual del 53%. Este creciente número de ataques DDoS y su creciente costo de daños plantea la pregunta: ¿Qué estamos pasando por alto? ¿Y cómo se puede reducir el riesgo de estos ataques (y los daños que causan)? A diferencia de otros tipos de ciberataques, la única forma en que un ataque DDoS puede tener éxito en dañar la disponibilidad de servicios en línea es explotando vulnerabilidades en las protecciones DDoS implementadas. Es decir, la única forma de sufrir un ataque DDoS dañino (una vez que se tienen protecciones) es debido a vulnerabilidades DDoS en las políticas de seguridad de protección DDoS. Cloudflare, Akamai, AWS Advanced Shield, etc., no se caen cuando ocurre un ataque dañino; es la organización del cliente final la que se cae.

Cerrando los Agujeros que los Atacantes Aman Explotar

Para ilustrar la importancia de eliminar las vulnerabilidades DDoS, evaluemos cómo se comparan con otros tipos de vulnerabilidades. Tomemos, por ejemplo, el caso de las vulnerabilidades en aplicaciones web: desde una perspectiva teórica, no sería necesario implementar un WAF si la aplicación web se validara continuamente antes y después del despliegue, y si se siguiera un proceso continuo de verificación de vulnerabilidades que incluyera: pruebas estáticas/dinámicas de seguridad de aplicaciones, un ciclo de vida de desarrollo de software seguro (SDLC), pruebas de penetración regulares, escaneo de vulnerabilidades y aplicación inmediata de parches. Si este proceso se siguiera cuidadosamente, no habría errores en el código (CVE/propietario) ni en la lógica de la aplicación web que pudieran ser explotados. Un WAF sería completamente innecesario. Pero esta lógica no se aplica a las vulnerabilidades DDoS. La única protección posible contra un ataque DDoS se proporciona a través de soluciones de mitigación DDoS. A diferencia del WAF, en el caso de las vulnerabilidades DDoS, no hay ingeniería de software (en el servicio final) que pueda ayudar a prevenir que un ataque derribe los servicios en línea. En cuanto a DDoS, las organizaciones dependen completamente de soluciones de protección DDoS totalmente automatizadas para la prevención de daños. Si la solución de protección DDoS que utiliza su organización falla porque tenía una configuración vulnerable, el ataque DDoS causa daños y derriba los servicios.

La Amenaza Desconocida en tus Defensas Cibernéticas

Las vulnerabilidades DDoS están ocultas dentro de todas las soluciones de protección DDoS; es decir, se ubican principalmente en las políticas de seguridad que se han vuelto obsoletas debido a los cambios continuos en las configuraciones de red, y las organizaciones no tienen visibilidad sobre ellas. Una organización puede sufrir un ataque DDoS dañino solo si su protección DDoS es vulnerable. Una vulnerabilidad DDoS se define como una combinación de lo siguiente: {Vector de ataque DDoS + Objetivo (IP o FQDN) + puerto de servicio}. Un ejemplo de una posible vulnerabilidad DDoS es: SYN Flood + example.com + 443. Si un atacante lanza la combinación anterior contra el objetivo example.com: el objetivo se clasifica como protegido del vector de ataque y la combinación de servicio particular, si la solución de protección del objetivo bloquea automáticamente el ataque (el SYN flood). El objetivo se clasifica como vulnerable al vector de ataque y combinación de servicio particular, si la solución de protección del objetivo NO bloquea automáticamente el ataque (el SYN flood), en cuyo caso se requeriría intervención manual, es decir, se requieren SLAs durante un ataque DDoS dañino para mitigar manualmente. Dicho de otra manera, los resultados del ataque serán una de estas dos opciones: el ataque es mitigado automáticamente por las protecciones (la vulnerabilidad potencial ya está parcheada, no hay tiempo de inactividad dañino) o el ataque NO es mitigado automáticamente por las protecciones (requiere una respuesta de emergencia de operaciones de seguridad, se activan los SLAs del proveedor de protección DDoS, el tiempo de mitigación es desconocido, el parcheo ocurre en tiempo real, siempre después del daño).

Protecciones DDoS Expuestas

Una protección DDoS efectiva requiere múltiples capas de protección (híbridas). Asociar una vulnerabilidad DDoS con la capa de protección relevante es crítico para una remediación exitosa, ya que las vulnerabilidades solo pueden remediarse en la política de protección relevante. (Por cierto, pruebe nuestra Herramienta de Evaluación de Amenazas DDoS. Es gratuita, no requiere configuración y solo toma 3 minutos identificar las principales vulnerabilidades en su protección DDoS). Cuando solo hay una única capa de protección, por ejemplo, el Centro de Limpieza, es obvio dónde se ubica la vulnerabilidad: estará en el propio Centro de Limpieza. Sin embargo, muchas organizaciones tienen centros de datos locales e implementaciones en la nube, y todas están gobernadas por múltiples capas de seguridad DDoS: Centro de Limpieza, WAF, WAF en la nube, etc. Si hay más de una capa de protección DDoS, es importante identificar en qué capa reside la vulnerabilidad DDoS. Por ejemplo: SYN Flood + example.com + 443: Centro de Limpieza = vulnerable | Local = protegido | WAF = protegido. En este ejemplo, el SYN flood penetró la vulnerabilidad en la política de seguridad del Centro de Limpieza, pero los dispositivos locales y el WAF lo mitigaron. Esta información permite a los tomadores de decisiones decidir dónde enfocar los esfuerzos de remediación para esta vulnerabilidad específica; en este ejemplo, tiene sentido remediar el SYN flood al puerto 443 en el Centro de Limpieza. Si la vulnerabilidad no está parcheada y llega esta combinación, es probable que el objetivo (o incluso toda la infraestructura de TI) sea derribado hasta que haya intervención manual.

De la Corrección a la Prevención: Repensando el Enfoque de Defensa DDoS

Parchear una vulnerabilidad DDoS en la solución de protección antes de que un ataque tenga éxito puede requerir múltiples ajustes hasta que las mitigaciones puedan detener el ataque automáticamente. Estos ajustes pueden incluir: cambiar configuraciones, aplicar nuevas políticas, habilitar diferentes medidas o mecanismos, y cambiar valores de tasa. La mejor manera de minimizar las vulnerabilidades DDoS implica probar proactivamente las protecciones DDoS automatizadas de su organización, identificar vulnerabilidades, parchear políticas mal configuradas y validar que esas vulnerabilidades hayan sido parcheadas. A través de esta validación continua, puede asegurarse de que su organización tenga una solución óptima con un riesgo mínimo de un ataque exitoso.

La Realidad DDoS

Las vulnerabilidades DDoS difieren de otros tipos de vulnerabilidades en varios aspectos importantes: la seguridad DDoS depende de la protección DDoS automatizada para evitar un ataque DDoS dañino; la única razón por la que un ataque DDoS tiene éxito es cuando las protecciones DDoS son vulnerables; las vulnerabilidades generalmente surgen de forma natural a partir de cambios en la red y los servicios que conducen a configuraciones incorrectas de las políticas de seguridad de protección; el único lugar para remediar una vulnerabilidad DDoS es en la implementación de protección DDoS específica de la organización; y los vectores de ataque que tienen más probabilidades de causar daño a un entorno específico deben priorizarse para asegurar que las vulnerabilidades más dañinas se remedien primero.

MazeBolt RADAR Cierra la Brecha de Protección DDoS

MazeBolt RADAR es una solución patentada de pruebas y gestión de vulnerabilidades DDoS que ejecuta simulaciones de ataques DDoS continuas y no disruptivas. Identifica y permite la remediación de vulnerabilidades DDoS que provocan tiempo de inactividad dañino. RADAR prioriza inteligentemente los vectores de ataque con mayor probabilidad de causar daño utilizando nuestra función SmartCycle impulsada por IA, una nueva forma de priorizar la remediación de vulnerabilidades DDoS. Empresas globales confían en RADAR para prevenir proactivamente ataques dañinos, eliminando la dependencia de respuestas manuales reactivas o garantías de SLA. Con su tecnología única, RADAR proporciona una visibilidad sin precedentes de las configuraciones de defensa, lo que permite a las organizaciones prevenir ataques y mantener la continuidad del negocio sin interrupciones. Si desea obtener más información sobre RADAR, contáctenos aquí. Acerca del autor: Matthew es un reconocido experto con más de veinte años de experiencia en ciberseguridad. Como fundador y CEO de MazeBolt, Matthew está pionero un nuevo estándar en el mercado de protección DDoS con RADAR, un producto patentado que permite visibilidad completa de los servicios en línea para cada capa de protección DDoS implementada. Antes de fundar MazeBolt, Matthew ocupó cargos directivos en Radware, Check Point y Corrigon (adquirida por eBay), donde construyó equipos innovadores de ciberseguridad.