Daniel Albert Snchez
ngel Casanova Rosell
Autors
(Seminaris de CASO)
Ataques DDoS
CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament dArquitectura de Computadors
Yahoo
Amazon
[Link]
eBay
CCN
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Algunas de las vctimas de este tipo de ataques
El acrnimo significa ataque Distribuido de Denegacin de
Servicio.
Qu es un ataque DDOS?
Introduccin
Usando bugs, fuerza bruta, etc.
Utilizacin de los conocimientos obtenidos para entrar en la
mquina vctima.
SO, servicios, tipologa de red
Recopilacin de informacin sobre la mquina vctima
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Una vez accedida a la mquina, conviene borrar las pistas
que dejan los servicios sobre el acceso del atacante.
Tambin es usual que el atacante se deje algn mecanismo
que le permita el acceso en futuras ocasiones.
Descripcin de un ataque convencional
Se suele utilizar IP Spoofing
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
La deteccin de un ataque distribuido mediante NIDS
(Network Intrusion Detection Systems) es ms complicada,
puesto que es difcil saber el origen real del atacante.
Programas instalados en la mquina vctima que delegan el
control de la misma al atacante.
Permiten el acceso remoto.
Diferencia con ataque tradicional:
Descripcin de un ataque distribuido
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Que no haya conectividad en la red
Que no haya ancho de banda suficiente
Que no haya recursos en el sistema
Destruccin de la configuracin del servicio
Ausencia fsica
La denegacin de servicio DoS (Denial of Service), se
produce cuando un determinado servicio no se encuentra
disponible.
Puede deberse a:
Denegacin de servicio
DoS mediante UDP flood
DoS utilizando TCP syn flood
DoS mediante paquetes ICMP (ping)
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Bsicamente se dividen en tres tipos:
Utilizar los ataques distribuidos para tomar el control de N
mquinas y provocar de esta manera un ataque coordinado
contra una tercera mquina.
Ataques DDoS
mediante UDP flood
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
De este modo se puede suplantar la identidad con algn fin.
Denominamos IP Spoofing a la falsificacin de la direccin IP
remitente en un paquete.
Generar cantidades grandes de paquetes UDP a la
vctima
Se suele acompaar de IP Spoofing
DoS
Ataques DDoS
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
De este modo, la conexin queda medio abierta. Como puede
aceptar un nmero de clientes limitado, al final se bloquea.
El atacante puede neutralizar el timeout
El cliente NO le responde con ACK
El servidor le responde con SYN-ACK
El cliente enva una peticin SYN
Susceptibles servicios que utilizan TCP (ftp, http, etc.)
Descripcin del proceso:
DoS utilizando TCP syn flood
Ataques DDoS
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Slo tiene buenos resultados si el atacante tiene un ancho de
banda mucho mayor al ancho de banda de vctima
La vctima responde con ICMP echo reply (pong)
El atacante enva paquetes ICMP echo request de forma continuada de
tamao grande (ping)
Pretende agotar el ancho de banda de la vctima
DoS mediante paquetes ICMP (ping)
Ataques DDoS
10
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Intenta atacar direcciones IP aleatorias en busca de nuevas
vctimas para infectar
De este modo, Microsoft no puede repartir el patch para protegerse ante el
ataque
Aprovecha la vulnerabilidad de Windows XP, 2000, NT y 2003 en
la RPC DCOM para instalarse en el sistema.
Tiene como segundo objetivo provocar un ataque DDoS a
[Link]
El gusano Blaster
Ataques DDoS: Ejemplo #1
11
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Santiago G.A. 'Ronnie', de 26 aos -> Autor del mayor ataque
DDoS de Espaa, llegando a afectar al 30% de los internautas
espaoles.
Realiz el ataque a modo de venganza (por estar baneado en un
canal de la red).
Ataque masivo contra los nodos centrales de IRC Hispano
iniciado en las fechas 24 y 25 de diciembre de 2002.
Utiliz un gusano llamado deloder
Ataque de un usuario a la red IRC-Hispano
Ataques DDoS: Ejemplo #2
12
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
En general, la estructura de un ataque DDoS es as:
Notas generales
13
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Shaft, Mstream, Wintrinoo, Trinity v2/Stacheldraht 1.666, etc.
Otras herramientas
Mejora Trinoo aadiendo encriptacin a la comunicacin
Stacheldraht
Los primeros tambin se encontraron en Solaris 2.x
Se utilizan de los 3 tipos de ataques DDoS (ping, TCP y UDP)
TFN y TFN2K
Encontrado por primera vez para Solaris 2.x, utilizando errores en RPC
Trinoo, sirve como modelo para el resto de herramientas
Facilitan el trabajo (El atacante puede ser un usuario
inexperto)
Algunas utilidades
Herramientas de denegacin de servicio
14
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
tener el sistema siempre actualizado: as
evitando al mximo la utilizacin por parte del
atacante de bugs en servicios.
Aumentando el nivel de seguridad: passwords
seguras, instalando firewalls, desinstalando
servicios sin utilizar, etc.
Filtrando paquetes (Ingress filtering): Utilizando
mecanismos en la red que impidan IP spoofing
Conviene
Prevencin
15
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
Solucin compleja, puesto que es dificil detectar al atacante
ya que el ataque no proviene de ningn lugar centralizado.
Convendra un compromiso de toda la comunidad de
Internet para tener los sistemas actualizados y seguros en
la medida de lo posible.
Identificar las mquinas Maestras (Handlers) para poder
contactar con los ISP y buscar un remedio.
Utilizar tcnicas forenses para encontrar pistas
El principal problema es net flood (inutilizar ancho de
banda), puesto que syn flood ya no es problema.
Soluciones
16
Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS
Departament. dArquitectura de Computadors - UPC
[Link]
[Link]
[Link]
[Link]
ml
[Link]
[Link]
[Link]
Bibliografia