Daniel Albert Snchez

ngel Casanova Rosell

Autors

(Seminaris de CASO)

Ataques DDoS

CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament dArquitectura de Computadors

Yahoo
Amazon
Buy.com
eBay
CCN

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Algunas de las vctimas de este tipo de ataques

El acrnimo significa ataque Distribuido de Denegacin de

Servicio.

Qu es un ataque DDOS?

Introduccin

 Usando bugs, fuerza bruta, etc.

Utilizacin de los conocimientos obtenidos para entrar en la

mquina vctima.

SO, servicios, tipologa de red

Recopilacin de informacin sobre la mquina vctima

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Una vez accedida a la mquina, conviene borrar las pistas

que dejan los servicios sobre el acceso del atacante.
Tambin es usual que el atacante se deje algn mecanismo
que le permita el acceso en futuras ocasiones.

Descripcin de un ataque convencional

Se suele utilizar IP Spoofing

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

La deteccin de un ataque distribuido mediante NIDS

(Network Intrusion Detection Systems) es ms complicada,
puesto que es difcil saber el origen real del atacante.

Programas instalados en la mquina vctima que delegan el

control de la misma al atacante.
Permiten el acceso remoto.

Diferencia con ataque tradicional:

Descripcin de un ataque distribuido

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Que no haya conectividad en la red

Que no haya ancho de banda suficiente
Que no haya recursos en el sistema
Destruccin de la configuracin del servicio
Ausencia fsica

La denegacin de servicio DoS (Denial of Service), se

produce cuando un determinado servicio no se encuentra
disponible.
Puede deberse a:

Denegacin de servicio

DoS mediante UDP flood

DoS utilizando TCP syn flood
DoS mediante paquetes ICMP (ping)

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Bsicamente se dividen en tres tipos:

Utilizar los ataques distribuidos para tomar el control de N

mquinas y provocar de esta manera un ataque coordinado
contra una tercera mquina.

Ataques DDoS

mediante UDP flood

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

De este modo se puede suplantar la identidad con algn fin.

Denominamos IP Spoofing a la falsificacin de la direccin IP

remitente en un paquete.

Generar cantidades grandes de paquetes UDP a la

vctima
Se suele acompaar de IP Spoofing

DoS

Ataques DDoS

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

De este modo, la conexin queda medio abierta. Como puede

aceptar un nmero de clientes limitado, al final se bloquea.
El atacante puede neutralizar el timeout

El cliente NO le responde con ACK

El servidor le responde con SYN-ACK

El cliente enva una peticin SYN

Susceptibles servicios que utilizan TCP (ftp, http, etc.)

Descripcin del proceso:

DoS utilizando TCP syn flood

Ataques DDoS

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Slo tiene buenos resultados si el atacante tiene un ancho de

banda mucho mayor al ancho de banda de vctima

La vctima responde con ICMP echo reply (pong)

El atacante enva paquetes ICMP echo request de forma continuada de

tamao grande (ping)

Pretende agotar el ancho de banda de la vctima

DoS mediante paquetes ICMP (ping)

Ataques DDoS

10

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Intenta atacar direcciones IP aleatorias en busca de nuevas

vctimas para infectar

De este modo, Microsoft no puede repartir el patch para protegerse ante el

ataque

Aprovecha la vulnerabilidad de Windows XP, 2000, NT y 2003 en

la RPC DCOM para instalarse en el sistema.
Tiene como segundo objetivo provocar un ataque DDoS a
windowsupdate.com

El gusano Blaster

Ataques DDoS: Ejemplo #1

11

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Santiago G.A. 'Ronnie', de 26 aos -> Autor del mayor ataque

DDoS de Espaa, llegando a afectar al 30% de los internautas
espaoles.
Realiz el ataque a modo de venganza (por estar baneado en un
canal de la red).
Ataque masivo contra los nodos centrales de IRC Hispano
iniciado en las fechas 24 y 25 de diciembre de 2002.
Utiliz un gusano llamado deloder

Ataque de un usuario a la red IRC-Hispano

Ataques DDoS: Ejemplo #2

12

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

En general, la estructura de un ataque DDoS es as:

Notas generales

13

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Shaft, Mstream, Wintrinoo, Trinity v2/Stacheldraht 1.666, etc.

Otras herramientas

Mejora Trinoo aadiendo encriptacin a la comunicacin

Stacheldraht

Los primeros tambin se encontraron en Solaris 2.x

Se utilizan de los 3 tipos de ataques DDoS (ping, TCP y UDP)

TFN y TFN2K

Encontrado por primera vez para Solaris 2.x, utilizando errores en RPC

Trinoo, sirve como modelo para el resto de herramientas

Facilitan el trabajo (El atacante puede ser un usuario

inexperto)
Algunas utilidades

Herramientas de denegacin de servicio

14

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

tener el sistema siempre actualizado: as

evitando al mximo la utilizacin por parte del
atacante de bugs en servicios.
Aumentando el nivel de seguridad: passwords
seguras, instalando firewalls, desinstalando
servicios sin utilizar, etc.
Filtrando paquetes (Ingress filtering): Utilizando
mecanismos en la red que impidan IP spoofing

Conviene

Prevencin

15

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

Solucin compleja, puesto que es dificil detectar al atacante

ya que el ataque no proviene de ningn lugar centralizado.
Convendra un compromiso de toda la comunidad de
Internet para tener los sistemas actualizados y seguros en
la medida de lo posible.
Identificar las mquinas Maestras (Handlers) para poder
contactar con los ISP y buscar un remedio.
Utilizar tcnicas forenses para encontrar pistas
El principal problema es net flood (inutilizar ancho de
banda), puesto que syn flood ya no es problema.

Soluciones

16

Seminaris de CONCEPTES AVANATS DE SISTEMES OPERATIUS

Departament. dArquitectura de Computadors - UPC

http://www.rediris.es/rediris/boletin/57/enfoque2.html
http://securityresponse.symantec.com/avcenter/venc/data/w
32.blaster.worm.html
http://www.elmundo.es/navegante/2003/08/29/seguridad/1062159692.ht
ml
http://www.cisco.com/warp/public/707/newsflash.html
http://www.argo.es/~jcea/artic/hispasec44.htm
http://staff.washington.edu/dittrich/misc/ddos/

Bibliografia