El 19 de marzo de 2024, un equipo de investigación liderado por el Prof. Dr. Christian Rossow en el Centro Helmholtz de Seguridad de la Información de CISPA en Alemania reveló una importante amenaza de seguridad . Esta amenaza explotaba una vulnerabilidad generalizada en los servicios de capa de aplicación que utilizan el Protocolo de Datagramas de Usuario (UDP). Identificada con el código CVE-2024-2169 , esta vulnerabilidad representaba un grave riesgo para la estabilidad y la seguridad de numerosos sistemas.
Detalles del ataque Loop DoS
El vector de ataque, según detallan los investigadores, consistía en la manipulación de datagramas UDP para crear un bucle perpetuo entre servidores vulnerables. Mediante la creación de una carga útil específica, los atacantes podían provocar una respuesta de error en un servidor vulnerable, lo que a su vez lo llevaba a enviar un datagrama de fallo a otro servidor vulnerable. Este intercambio se prolongaba indefinidamente, saturando los sistemas implicados. Es importante destacar que la naturaleza de la comunicación UDP permitía que este bucle persistiera, sin verse afectado por el limitador de saltos del tiempo de vida (TTL) de IP.
Para ejecutar este ataque, el agresor necesitaba identificar al menos un sistema vulnerable adicional que ejecutara el mismo servicio que el objetivo. Al falsificar la IP de origen de la solicitud inicial, el atacante podría engañar a la víctima para que responda a otro servidor vulnerable, iniciando así el bucle. Este proceso podría amplificarse creando múltiples bucles entre varios sistemas vulnerables, lo que podría conducir a un efecto en cascada capaz de sobrecargar el objetivo.
Los servicios afectados abarcaron una amplia gama de protocolos ampliamente utilizados, como DNS , TFTP , NTP , Echo , Chargen y QOTD . La vulnerabilidad en NTP afectó principalmente a sistemas que utilizaban versiones obsoletas de ntpd anteriores a 2010. Además, se descubrió que protocolos heredados como Echo, Chargen, QOTD, Time, Daytime y Active Users eran inherentemente vulnerables. Si bien TFTP y DNS aún estaban bajo investigación, los investigadores enfatizaron la necesidad de obtener más información de los operadores de sistemas vulnerables para comprender completamente el alcance de sus vulnerabilidades.
Las implicaciones de esta vulnerabilidad eran preocupantes debido a la naturaleza sin estado del protocolo UDP , lo que hacía que los servicios legítimos fueran susceptibles de ser utilizados indebidamente para ataques DDoS de amplificación volumétrica . Con la incorporación de los ataques DoS de bucle, el potencial de interrupción y daño aumentó significativamente. Los investigadores estimaron que aproximadamente 300 000 hosts de internet eran vulnerables a los ataques DoS de bucle.
Sistemas vulnerables a DoS en bucle
La detección de sistemas vulnerables se volvió fundamental para mitigar el riesgo que planteaba esta vulnerabilidad. Los investigadores de CISPA desarrollaron una herramienta para escanear e identificar sistemas susceptibles a las cargas útiles de ataque que habían descubierto. Esta herramienta permitió evaluar y abordar la vulnerabilidad, en particular para servicios como DNS, TFTP y NTP, para los cuales las cargas útiles de ataque se definieron en el script de Python simple_verify.py.
Protección DoS en bucle
Las recomendaciones incluyen minimizar la exposición de los servicios basados en UDP, garantizar parches de seguridad oportunos e implementar medidas de protección sólidas contra abusos y actividades anómalas.
Poner en marcha Protección DDoS soluciones, tales como RELIANOID IPDS, están obligados a mantener nuestros servicios seguros:
Defensa DDoS híbrida: Combine protección local y basada en la nube para defenderse contra ataques DDoS en tiempo real. Esta estrategia aborda ataques a gran escala y evita la saturación de la red.
Detección de anomalías de comportamiento: Emplee sistemas de detección avanzados para identificar y bloquear rápidamente comportamientos inusuales en la red y, al mismo tiempo, permitir que el tráfico legítimo fluya sin interrupciones.
Generación rápida de firmas: Genere firmas de seguridad en tiempo real para defenderse rápidamente contra amenazas desconocidas y ataques de día cero, mejorando la seguridad general de la red.
Planificación de respuesta a emergencias de ciberseguridad: Establecer un equipo especializado equipado para manejar emergencias de ciberseguridad, particularmente aquellas relacionadas con violaciones de seguridad de Internet de las cosas (IoT).
Inteligencia de actores de amenazas: Utilice análisis de datos integrales para identificar y mitigar de manera proactiva las amenazas planteadas por atacantes conocidos, fortaleciendo la resiliencia de la red contra los riesgos de ciberseguridad en evolución.
RELIANOID ADC contra ataques Loop DoS
RELIANOID ADC ofrece soluciones sólidas que pueden ayudar a proteger y mitigar los sistemas contra ataques DoS (denegación de servicio) de bucle. Un método principal es mediante la inspección del tráfico y capacidades de filtrado inteligente. RELIANOID equilibrador de carga y controlador de entrega de aplicaciones (ADC) puede analizar patrones de tráfico entrante, detectando anomalías indicativas de un ataque DoS en bucle. Al identificar y bloquear el tráfico malicioso, estos sistemas evitan que se perpetúe el bucle entre servidores vulnerables.
Además en RELIANOID ADC a menudo incluye funciones como limitación de velocidad y limitación de conexión. Estas funcionalidades pueden ayudar a prevenir la amplificación de los ataques DoS en bucle al limitar la velocidad a la que se procesan las solicitudes o se establecen las conexiones. Al imponer límites al volumen de tráfico o a la frecuencia de las solicitudes de fuentes individuales, RELIANOID Las soluciones de LB pueden mitigar el impacto de los ataques DoS en bucle y garantizar la estabilidad y disponibilidad de los sistemas.
Además, RELIANOID Los productos suelen admitir mecanismos de autenticación y control de acceso granular. Al aplicar políticas de acceso estrictas y verificar la legitimidad de las solicitudes entrantes, estas soluciones pueden bloquear eficazmente el tráfico no autorizado que intenta explotar vulnerabilidades e iniciar ataques DoS en bucle. Además, las funciones avanzadas de registro e informes proporcionadas por RELIANOID Las plataformas permiten a los administradores monitorear de cerca la actividad de la red, lo que facilita la detección temprana y la respuesta a amenazas potenciales, incluidos los ataques DoS en bucle.
En general, RELIANOID El conjunto integral de soluciones de entrega de aplicaciones y equilibrio de carga de ADC ofrece a las organizaciones los medios para mejorar su postura de ciberseguridad y defenderse contra ataques DoS en bucle aprovechando el análisis de tráfico inteligente, la limitación de velocidad, el control de acceso y las sólidas capacidades de registro. Contacta con nuestros expertos en seguridad.
Blogs relacionados
