Seguridad y anti-DDoS

Qué es la protección DDoS y cómo filtra un ataque

Un ataque de denegación de servicio distribuido, o DDoS, manda a un servidor más tráfico o más peticiones de las que puede atender, desde muchas máquinas a la vez. Casi siempre son ordenadores, routers y aparatos conectados infectados y agrupados en una botnet sin que sus dueños lo sepan. La protección DDoS se coloca entre internet y el servidor atacado. Analiza el tráfico entrante, detecta lo que se sale de lo habitual y lo desvía a centros de depuración que descartan los paquetes maliciosos y devuelven las peticiones legítimas al servidor de origen.

Los ataques se agrupan en dos familias, y un proveedor serio indica cuáles cubre. Los volumétricos y de protocolo golpean las capas de red y de transporte con inundaciones UDP o SYN, amplificación a través de servidores DNS o NTP mal configurados y paquetes fragmentados. Su objetivo es llenar el enlace del servidor o agotar su tabla de conexiones. Los ataques de capa de aplicación apuntan a HTTP con peticiones que parecen de visitantes reales, o con conexiones lentas a propósito al estilo de Slowloris, hasta tumbar el servidor web y la base de datos. El filtrado de red frena la primera familia. La segunda exige examinar cada petición con límites de frecuencia por dirección, desafíos a los bots o un cortafuegos de aplicaciones web.

Un cortafuegos instalado en el propio servidor llega tarde ante un ataque volumétrico. Recibe los paquetes cuando el enlace que une la máquina a la red ya está saturado. La mitigación tiene que hacerse antes, en una red con más capacidad que el ataque, y por eso se contrata a un alojamiento preparado o a un proveedor especializado.

Servidor con protección DDoS, túnel GRE o proxy inverso

La opción más sencilla es alquilar un servidor a un proveedor que filtra su propia red. La protección funciona desde el primer día sin configurar nada, y una única factura cubre el alojamiento y la mitigación. Sharktech trabaja así: el filtrado anti-DDoS va incluido en todos los servicios que aloja, con más capacidad como opción. A cambio, hay que migrar la web con sus archivos, su base de datos y su configuración.

La protección remota por túnel deja el servidor donde está. El tráfico de la web entra primero en la red del proveedor, se depura y vuelve al servidor por un túnel GRE o IPIP. En su versión de operador, este montaje obliga a anunciar por BGP un bloque de direcciones propio, con un número de sistema autónomo y un router capaz de hacerlo. Algunos proveedores montan el túnel sin nada de eso y prestan sus propias direcciones. X4B funciona así, y su servicio cubre cualquier cosa que vaya por TCP o UDP, desde un servidor de juegos hasta el correo, además de la web.

El proxy inverso es el montaje más fácil de poner en marcha. El dominio apunta al proveedor, que recibe a los visitantes y reenvía sus peticiones al servidor de origen. Sirve con cualquier alojamiento y basta con cambiar un registro DNS. Las redes de distribución de contenidos se basan en este principio, y algunas tienen un plan gratuito que filtra el tráfico web. Conviene leer sus condiciones de uso antes de pasar por ellas una web adulta.

Una web bien asentada en un alojamiento que acepta contenido adulto puede quedarse allí y añadir un proxy o un túnel. Una web dispuesta a mudarse, o cuyo proveedor actual apaga el servidor en cada ataque, sale ganando con un servidor protegido.

Precio de la protección DDoS y qué lo hace variar

La capacidad de mitigación garantizada marca el precio: el volumen de ataque que el proveedor se compromete a absorber para tu dirección. La capacidad total de la red que se anuncia en las páginas comerciales la comparten todos los clientes y no dice nada de ese compromiso. Los planes incluidos con un servidor traen un nivel básico y venden niveles superiores como extra. Los planes remotos se eligen por nivel desde el principio.

Los planes remotos suelen cobrar también el tráfico limpio, es decir, el volumen o el ancho de banda del tráfico legítimo que sale del filtro hacia tu servidor, además de la capacidad de mitigación o en su lugar. Una web de vídeo gasta ese tráfico mucho más rápido que un blog, y el nivel se elige según la audiencia real.

La mitigación permanente hace pasar todo el tráfico por el proveedor en todo momento. Añade un rodeo y frena el ataque desde el primer paquete. La mitigación bajo demanda solo desvía el tráfico cuando se detecta el ataque. Sale más barata, y el arranque del ataque alcanza el servidor antes del cambio. Sharktech ofrece los dos modos en su protección remota, cuyo precio no es público.

Un proveedor que depura el tráfico en varios continentes detiene el ataque cerca de su origen y mantiene una latencia razonable para los visitantes lejanos. Las rutas hacia algunas regiones, sobre todo Asia, suelen quedar sujetas a uso razonable o se cobran aparte. El filtrado de capa de aplicación, el que examina las peticiones HTTP, se vende a veces como opción separada del filtrado de red.

Cómo saber si sufres un ataque DDoS y qué revisar en el contrato

Un ataque DDoS se nota en una web lenta o caída sin ningún cambio en el código, con un ancho de banda o un número de conexiones que no cuadra con las visitas que registran tus estadísticas. Los registros del servidor se llenan de peticiones desde direcciones repartidas por muchos países, a menudo contra la misma página o con el mismo agente de usuario. En un alojamiento sin protección, la señal más clara es que la web desaparece por completo: para proteger el resto de su red, el proveedor manda la dirección atacada a un agujero negro y no pasa ni un paquete, tampoco los de los visitantes.

Un proxy inverso solo protege mientras la IP real del servidor siga oculta. Quien la encuentra rodea el filtro y ataca el servidor directamente. La dirección se filtra por registros DNS antiguos, por un subdominio que sigue apuntando al servidor o por las cabeceras de los correos enviados desde la máquina. Con el proxy ya activo, cambia la IP del servidor, envía el correo por un servicio aparte y deja pasar en el cortafuegos solo las direcciones del proveedor.

El contrato fija qué ocurre cuando el ataque supera el plan, y el umbral garantizado tiene que figurar por escrito. Sharktech no publica ningún umbral de mitigación, así que la pregunta va a su equipo comercial antes de firmar. X4B advierte que un ataque de intensidad extrema puede dejar la web accesible solo desde algunos continentes, o llevar a X4B a cortar el servicio, sobre todo si se lo exigen sus operadores de tránsito.

Las reglas sobre contenido adulto se revisan tanto con el proveedor de mitigación como con el alojamiento, porque los dos transportan el mismo tráfico. Una autorización escrita en la política de uso aceptable pesa más que una respuesta del soporte, y una confirmación por escrito obtenida al contratar deja constancia de lo que estaba permitido ese día.