Tres enfoques sobre cómo prevenir ataques DDoS en redes

Los ataques de denegación de servicio, o DoS, surgieron en los primeros días de la web y la comercialización de internet. Estos ataques literalmente niegan el servicio y hacen que un recurso sea escaso; en muchos casos, los atacantes simplemente hacen ping a una red o servidor para ocuparlo.

En defensa, las empresas y los proveedores de servicios respondieron mediante listas negras de dispositivos donde surgieron los ataques. A medida que los juegos del gato y el ratón se volvieron más sofisticados, los atacantes comenzaron a usar miles de bots para crear lo que ahora se llaman ataques distribuidos DoS (DDoS).

Por ejemplo, un ataque usó varios cientos de miles de bots en una rotación que extendió un ejército de bots de más de 3 millones de dispositivos para atacar a un estado-nación y cerrar un servicio gubernamental. Ese ataque generó más de 500 Gbps de tráfico.

Cómo prevenir ataques DDoS en redes

¿Cómo puede responder una empresa? Los siguientes tres enfoques detallan cómo prevenir o responder a los ataques DDoS en las redes:

1. Compre un servicio de un proveedor de servicios de internet (ISP). Muchos ISP ofrecen servicios de mitigación de DDoS, pero cuando una red empresarial se ve afectada, la empresa debe informar el incidente al ISP para comenzar la mitigación. Esta estrategia se llama tubería limpia (clean pipe) y es popular entre los ISP, ya que cobran por el servicio, pero a menudo existe un retraso de 30 a 60 minutos antes de que comience la mitigación.
2. Manténgalo en casa y hágalo usted mismo. Las organizaciones pueden prevenir y responder a los ataques DDoS internamente con un sistema de prevención de intrusiones, tecnología de firewall y hardware especializado diseñado específicamente para defenderse de los ataques DDoS. Desafortunadamente, el tráfico afectado ya está en la red y consume un valioso ancho de banda. Esto hace que este enfoque sea más adecuado para empresas con equipos en instalaciones de colocación, donde el tráfico llega a los ISP a través de una conexión cruzada, que protege el ancho de banda en el flujo que se dirige al resto de la empresa.
3. Use una red de entrega de contenido (CDN). Este enfoque minimiza la exposición de la infraestructura corporativa, ya que los equipos de TI pueden colocar la infraestructura detrás de una red de entrega de contenido (CDN). Estas redes son grandes y diversas, y si la organización se suscribe a la mitigación de DNS y DDoS, puede proteger los sitios de comercio electrónico, así como a la propia empresa.

Cómo elegir una opción de mitigación de DDoS

¿Qué enfoque es mejor para responder o prevenir ataques DDoS en las redes? Como es habitual en este mundo complejo, depende. Sin embargo, pocas compañías más allá de los grandes proveedores de comercio electrónico tienen la capacidad de implementar adecuadamente un enfoque de bricolaje. Los pequeños proveedores de comercio electrónico deberían usar una CDN, y la mayoría de las empresas medianas harían bien con alguna combinación de las opciones uno y tres.

Una combinación podría involucrar el comercio electrónico en una CDN, con la mitigación de DDoS necesaria para el acceso empresarial a internet y servicios VPN. Algunos proveedores pueden hacer ambas cosas y simplificar la gestión de contratos.