2___Proteccion_y_manejo_de_ataques___David_Pereira

Protección, Prevención y Manejo de
Ataques del Tipo Anonymous

David Pereira
C|EI C|EH E|CSA L|PT E|NSA E|CSS C|HFI CQGS

Glosario de Términos

Protocolo TCP / IPv.4: Protocolo de Comunicaci’on Ampliamente Utilizado en Internet y
Redes Locales.

TCP: Transfer Control Protocol; Portocolo orientado a la conexión; ej; http, ftp.
UDP: User Datagram Protocol. Utilizado para envio de info. Sinnecesidad de confirmación.
Paquete: Contenedor de datos a ser transmitido
Bandera o Flag: Indicador del tipo de paquete transmitido;
ACK = Acknowledge - Acuse de Recibo
PSH = Push - Paquete para Impulsar el contenido del Buffer
RST = Reset – Corta Abruptamente la conexión
FIN = Fin – Paquete para finalizar normalmente la conexión
URG = Urgent – Utilizado para dar prioridad a un paquete determinado
SYN =Synchronization – Utilizado para iniciar la transmisión
Flood: Envío masivo de paquetes hacia un puerto o servicio
Spoof: Falsificación de la dirección de origen de un paquete.
Fragmentación: Dividir en pequeños tramos los paquetes transmitidos
Botnet: Red de Zombies controlada por un atacante.
WebHive: Mecanismo por medio del cual Anonymous agrupa y controla atacantes distr.
IRC: Prptocolo deChat de Internet

Que tipo de ataques realiza Anonymous?
Ataques Principales:
DDoS (Denegación de Servicio Distribuida)

Ataques Secundarios:
Phishing
Pharming
Doxeo
Explotación
Otros

Por que casi siempre logran el Objetivo?
Porque el Protocolo TCP/IP V.4 es débil al establecer una
conexión.

Que es un ataque DDoS?
Se Envía una cantidad excesiva de peticiones al Servidor,
obligándolo a queconteste cada una, impidiendo que
responda a
las peticiones
Reales.

Tipos de Ataques DDoS
- TCP SYN Flood
- TCP SYN-ACK Reflection Flood (DRDoS)
- TCP Spoofed SYN Flood
- TCP ACK Flood
- TCP IP Fragmented Attack
- HTTP and HTTPS Flood Attacks
- INTELLIGENT HTTP and HTTPS Attacks
- ICMP Echo Request Flood
- UDP Flood Attack
- DNS Amplification Attacks

Que dispositivos de Defensa Tenemos?
Nuestrasredes perimetrales normalmente son protegidas
por:
• Firewalls
• Intrusion Detection Systems (IDS)
• Intrusion Prevention Systems (IPS)
• Honey Pots
Pero los nuevos tipos de Ataques no son detenidos por
estos dispositivos debido a que los ataques se basan en
exceso de trafico “Normal”, no considerado tráfico malicioso.

Como defenderse de un ataque DDos?
Primero: Las Alternativas Acostumbradas:

a)Absorber el Ataque
Usar capacidad adicional para absorber el ataque; requiere
planeación y recursos adicionales.
b) Degradar los Servicios
Cambiar los contenidos activos del sitio normal por
contenidos Estáticos….permitiéndole saber al atacante que
tuvo éxito.
c) Apagar los Servicios (Peor Aún)

Existe la Forma de defenderse de un ataque DDos?
La Respuesta es SI!
Existen Varias Técnicas,Procedimientos y Servicios que nos
permiten mitigar un ataque del tipo DDoS.
Algunas involucran:
Modificación de la Topología (Wan – DMZ)
Adquisición de Equipos
Contratación de Servicios

Técnicas de Mitigación de DDoS
1. Syn Proxy
Cuando un servidor recibe peticiones de conexión SYN, responde
mediante el envío de TCP SYN / ACK adicióna las entradas de conexión
en su tabla de conexión propia.

Puesto queestas direcciones IP en realidad no existen, no responden a
los SYN / ACK y por lo tanto la tabla de conexiones se mantiene llena de
conexiones falsas a la espera de un paquete ACK.
Esto efectivamente niega el acceso a las conexiones nuevas y legítimas.
SYN Proxy es un mecanismo, (Appliance) que se coloca antes del
servidor real y espera las respuestas. Hasta que la IP falsa o IPs nofalsaresponde con un ACK, las solicitudes de conexión no son
reenviadas.

Técnicas de Mitigación de DDoS
2. Aggressive Aging
Algunos ataques de botnets implican la apertura de una conexión legítima
y no hacer nada en absoluto.
El envejecimiento agresivo ayuda a manejar la tabla de conexiones y la
capacidad de consumo de memoria del servidor para aumentar la
estabilidad.
Esta función introduce una serie de...