Un ataque de denegación de servicio distribuida (DDoS) utiliza varias computadoras comprometidas para saturar uno o más objetivos con tráfico. Esto agota los recursos del servidor o el ancho de banda de la red hasta que el objetivo ya no puede atender a los usuarios legítimos.
Cómo funcionan los ataques DDoS
Los ataques DDoS se coordinan mediante una botnet:
Un atacante construye una botnet grande al tomar el control ilegal de muchos dispositivos en internet.
Durante el ataque, el atacante emite comandos desde un servidor de control y ordena a todos los hosts zombi de la botnet que envíen simultáneamente un volumen masivo de solicitudes o tráfico a un objetivo específico, como un sitio web o un servidor.
El pico de tráfico resultante agota los recursos del sistema del objetivo o su ancho de banda de red, lo que provoca que el servicio se vuelva lento o se caiga. El servidor ya no puede procesar las solicitudes de usuarios legítimos y se produce la denegación de servicio.
Riesgos de los ataques DDoS
Daños financieros y a la marca
Un ataque causa interrupciones del servicio que impiden a los usuarios acceder a sus servicios. Esto genera pérdidas financieras directas por pedidos no realizados y abandono de clientes, además de dañar de forma duradera la reputación de su marca.
Una plataforma de comercio electrónico afectada por un ataque DDoS puede volverse inaccesible o quedar fuera de línea temporalmente, lo que impide a los usuarios legítimos realizar pedidos.
Riesgo de violación de datos
Un ataque DDoS puede servir como distracción. Mientras genera caos en la red, un atacante puede infiltrarse simultáneamente en sus sistemas y robar datos confidenciales o propietarios.
Competencia comercial desleal
Los ataques DDoS se utilizan como una táctica competitiva desleal para paralizar los servicios de un competidor, capturar participación de mercado y alterar la industria en general.
Un servicio de juegos afectado por un ataque DDoS puede experimentar una caída drástica en el número de jugadores, lo que podría forzar su desconexión en cuestión de días.
Cómo saber si su servicio está bajo ataque
Revise el estado de los activos en la página Assets de la consola Traffic Security. Para obtener más información, consulte Asset Center.
Observe a continuación las señales:
|
Sign |
What you may observe |
|
Degradación de la calidad del servicio |
El servicio presenta retrasos, responde lentamente o muchos usuarios se desconectan |
|
Recursos del servidor anómalos |
El uso de CPU o memoria aumenta de forma inesperada |
|
Aumento del tráfico de red |
El tráfico entrante o saliente crece abruptamente sin una causa clara |
|
Accesos masivos desconocidos |
El sitio web o la aplicación recibe una gran cantidad de solicitudes desde orígenes desconocidos |
|
Dificultades en la administración remota |
No es posible iniciar sesión en el servidor o este responde muy lentamente |
Cómo protege Alibaba Cloud contra ataques DDoS
Para elegir el producto adecuado según su situación, consulte Selection guide.
Anti-DDoS Native Basic (gratis)
Ofrece mitigación de DDoS de 500 Mbps a 5 Gbps para recursos de Alibaba Cloud, incluidos ECS, Server Load Balancer, EIP (including EIPs attached to NAT Gateways), , Global Accelerator y Web Application Firewall. Consulte la documentación de cada producto en la nube para obtener más detalles.
Anti-DDoS Native
Es un servicio de protección transparente para recursos desplegados en Alibaba Cloud. Para obtener más información, consulte What is Anti-DDoS Native?.
Anti-DDoS Proxy
Utiliza un modelo de proxy para proteger puertos y nombres de dominio, incluidos hosts que no están desplegados en Alibaba Cloud. Para obtener más información, consulte What is Anti-DDoS Proxy?.
Tipos comunes de ataques DDoS
Los vectores de ataque DDoS generalmente se clasifican en cinco categorías. Comprender la categoría le ayuda a identificar qué capa de su infraestructura está bajo ataque y qué enfoque de mitigación aplicar.
|
Attack category |
Attack examples |
How it works |
|
Paquete malformado |
Frag Flood, Smurf, Stream Flood, Land Flood, paquetes IP/TCP/UDP malformados |
Envía paquetes IP defectuosos al objetivo. Cuando el sistema intenta procesarlos, puede fallar y provocar una denegación de servicio. |
|
Capa de transporte |
SYN Flood, ACK Flood, UDP Flood, ICMP Flood, RST Flood |
Explota mecanismos del protocolo para agotar los recursos de conexión. Un ataque SYN Flood aprovecha el saludo de tres vías de TCP: el servidor asigna entradas en la cola de escucha para las solicitudes SYN entrantes, pero el atacante nunca completa el saludo. La cola de escucha se llena y bloquea las conexiones legítimas. |
|
DNS |
DNS Request Flood, DNS Response Flood, DNS Query Flood (orígenes falsificados y reales), ataques a servidores autoritativos, ataques a servidores locales |
Utiliza consultas DNS con apariencia legítima para saturar los servidores DNS. Un ataque DNS Query Flood envía grandes cantidades de consultas de nombres de dominio desde hosts zombi e impide que el servidor responda a las consultas legítimas. |
|
Basado en conexión |
Ataques de conexión lenta TCP, agotamiento de conexiones, LOIC, HOIC, Slowloris, Pyloris, XOIC |
Agota el límite de conexiones simultáneas del servidor. Slowloris mantiene las conexiones abiertas el mayor tiempo posible al explotar una función de HTTP: un servidor que solo recibe |
|
Capa de aplicación |
HTTP GET Flood, HTTP POST Flood, ataque Challenge Collapsar (CC) |
Simula solicitudes de usuarios legítimas, similares a las de los rastreadores de motores de búsqueda, lo que dificulta distinguirlas del tráfico normal. Los ataques CC se dirigen directamente a los servicios de backend y afectan el tiempo de respuesta web, el rendimiento de la base de datos y la E/S de disco. Dado que la mayoría de los ataques actuales son híbridos, cualquier patrón de solicitudes frecuentes que simulen el comportamiento de un usuario se considera un ataque CC. |