#39 chechenia vale pero y el resto por que son peligrosas?

#58 Que???? Entonces Portugal es España??. Entonces pon también a los mongoles y a los bosnios ya que te pones. Menudo batiburrillo tío que el panturquismo acabó con Enver Pachá y derribar un Mig por sorpresa y además solo por un ejercito moderno no es ninguna proeza.

#65 A ver que te lías. Rusia tiene una infraestructura militar defensiva. Es decir no tienen una buena capacidad de proyección cosa que bueno intentan arreglar con la reforma de la flota. Pero ni Rusia quiere invadir nada ni ahora ni después. Lo único que ha querido Putin es asegurar su plan geoestratégico mediterráneo del que Crimea es una parte y la base de Siria otra muy importante. Y se ve que la cosa no necesita de mas intervención y se larga. Luego el tema de los radares que derriban aviones. Eso no existe a lo sumo puedes cegarlos y ni eso es seguro. La prueba? Que todos los países de la Otan siguen gastando escandalosas cantidades de dinero en mejorar su flota de cazas. Para que gastarse 35.000.000.000 dólares en el F-35 si los radares pueden con la mayor la flota aérea rival??

Y a ver otro con el miedo a los musulmanes que parece que veis el coco. En Rusia el porcentaje de musulmanes es del 11% contra el resto en una imposible guerra de religión. Y amigo aquí ala o dios o cualquier tontería de esas no puede contra el dios dinero y es Rusia quien tiene colonizada económicamente a esos países.

#81 Estoy 100% de acuerdo con todo lo que estás diciendo, desde el principio.

Y si, ovh no se traga un DDoS de 100gpbs por 10€ al mes, de hecho no hace falta tanto, con 50gbps de tráfico ya suelen darte de baja.

Como muy bien dices, cloudfare funciona muy bien, pero no se van a tragar 100gbps por 20€ al mes, mas que nada por que no sale a cuenta. El tráfico hay que pagarlo y esto como bien dices tiene costes para el carrier, y dependiendo de los acuerdos de peering estos costes pueden ser muy, muy elevados.

#82

>> "Bueno, vuelves a las andadas frase tuya: "todo es trivial de mitigar"",

No, eres tu el que vuelves a las andadas, he dicho MITIGAR, que no solucionar, o evitar. Obviamente como he dicho ya varias veces, hay DoS y DoS. Mitigar siempre los puedes intentar, ahora... que puedes evitar el DoS es otro tema. Y vete al final de este comentario, verás que curiosidad más grande y tu comentario en #14(el primero).

Vuelves a interpretar mis palabras como quieres.

>> "El comentario #23 es tuyo, por lo que si, syn flood los has mencionado tu el primero."

Perdona, ahora eres tu el que mientes. Yo no he mencionado syn flood en #23 si no "syn cookies" junto con otras tres o cuatro cosas, si vamos a ser así de estrictos. Pero vaya, que viene a ser irrelevante. >> "Syn cookies es una técnica para mitigar syn flood."

Sí, pero es que en la misma frase también he mencionado, IDS, firewall, etc. Así que no me seas selectivo con la información.

Manipular se te da bien, eso vamos a reconocerlo.

>> "Has sido TU el que ha empezado a hablar de syn flood, de slowloris, de smurf etc. Si lo repasas, verás que todas y cada una de esas técnicas las has mencionado tu en este hilo por primera vez. "

Pues sí, es posible, como ejemplo. De que hay muchos tipos de DoS y de que no todo son usando syn/udp/loquesea paquetes y/o grandes volúmenes de tráfico y de que hay maneras de prevenir muchos DoS (MUCHOS, NO TODOS) especialmente cuando no te están enviando 140gbps ni granadas.

Obviamente si te tiran una granada en el CPD pues entonces da igual lo que tengas, aunque puedes prevenir que ocurra o mitigar el daño.

Pero nada... ¿Qué quieres que te diga? ¿qué los DoS son imposibles de parar y que no podemos hacer nada ? pues no es cierto, pero si que es complicado dependiendo del DoS/DDoS.


>> "Usa la función ctrl + f (buscar) de tu navegador y verás que la primera mención a UDP en este hilo es mía, en #66"

Ya, ¿pero se te ha ocurrido mirar quien ha sido el primero en comentar que no todo es syn flood o ataques con tráfico massivo de cara a hacer un DoS ? eres tu mismo el que dice que yo he sacado por primera vez el resto de ataques o palabras relacionadas con el tema. Que vuelvo a insistir, que más dá.

Ahora, si tratas de decirme que soy un mentiroso en pase a ser puntilloso en el orden de quien mencionó "UDP" flood primero: en lo que si me he equivocado es en el que parece que no había sido el primero en decir "smurf"/UDP flood en el hilo pero insisto que es irrelevante esto (y yo había usado la palabra smurf con otro significado en realidad, queriendo decir "magnificado").



Lo que ha pasado es que en #14 has empezado ya con:


>>" Durante algunos años, cuando era joven, estube muy relacionado con todo el mundillo del spam, las denegaciones de servicio, los defaces y todo eso. Después convertí esa afición en mi carrera profesional. "

¿Para qué dices eso? fíjate que yo no he mencionado faltas de ortografía ni te he llamado mentiroso. Pero pones eso para dar más validez a tus argumentos. Y no hace falta.

Pero ahora lee bien, lo que tu mismo has escrito

>> "El tema de las denegaciones de servicio es un tema que conozo muy muy bien. Cuando hubo los ataques a meneame y a weblogs sl estuve intentando echar una mano, aconsejando y explicando los detalles especificos de este tipo de ataques. De hecho he ayudado ya en decenas, sino cientos de mitigaciones de ataques de denegación de servicio."

Me estás criticando e insistiendo con el hecho de que diga que muchos ataques DoS se pueden mitigar, sacando de contexto mis frases y TU MISMO has dicho que has ayudado con CIENTOS DE MITIGACIONES DE ATAQUES. Vamos a ver, tu mismo estás diciendo que has mitigado cientos de DDoS y no te da vergüenza escribir lo que has escrito en tu comentario.

Por otro lado, ya que has echado una mano a tanta gente, no estaría demás que comentaras como, ya que para describir lo que es un DoS con la Wikipedia es suficiente. Eso sería constructivo e informativo, no decir que tu eres super pro de los DoS y que los demás decimos cosas que no tienen sentido.

Y que quede claro, solo te contesto porque sacas de contexto mis frases cuando realmente no es que esté diciendo que todo lo que dices sea o no correcto, estoy diciendo que has exagerado un poco el tema, que no hacia falta la carta de presentación... y que sí, que los DoS son graves, pero algo se puede hacer en muchos casos y matizando que depende del ataque DoS, que hay muchos y con muchos niveles de tráfico cuando el ataque se basa en flood, en saturar CPU, tablas NAT, etc. Nota que el etc. es importante ahí.


#81 Luego está lo que comenta 81, si no tienes en cuenta lo que dice en ese comentario - que es cierto -, y puestos a exagerar lo que dices en #14 todavía más: ya no es que solo cualquier informático con 4h de formación puede tirar cualquier país con un DoS es que no necesitas ser informático para pagar lo que te cuesta un hosting para alquilar una botnet de alquiler o usar cualquier crimerware que hay a patadas, como si fuese un DoS as a Service.

No se si era eso lo que querías que dijera, pero creo que ya he dejado claro lo que he dicho y lo que no he dicho.

#23 Bueno, la carta de presentación ha sido para acreditar un poco lo que iba a decir, en vista de que cualquiera sin ni la menor idea puede soltar ese mismo comentario, pero sin ningún fundamento.

Sea como sea, no entiendo por que te pones a la defensiva, ni me contestas de esa forma pasivo-agresiva, cuando estamos hablando de un tema tan interesante!

Hay muchas cosas, #23, de tu comentario que demuestran que mi comentario era completamente acertado: La gente no entiende lo que es una denegación de servicio, en que se fundamenta ni como funciona y no es es consciente de la gravedad de todo el asunto.

En primer lugar, es increíble que hables de syn cookies en el año 2014. Es increíble por muchísimos motivos, pero está claro que tu has aprendido lo que es un DDoS en un libro: desde luego no has realizado, ni visto realizar uno en toda tu vida.

Los ataques de denegación de servicio modernos no usan técnicas de los 90 como 'syn flood'. No lo hacen por que la mayoría de ISP validan que el remitente de un paquete TCP saliente desde uno de sus clientes, concuerde con una de las direcciones IP asignadas a ese cliente.

Dicho de otra forma, si te envío un syn (o un paquete cualquiera) con remitente X.X.X.X y resulta que esa IP no es la que tienes asignada a mi boca, entonces el paquete lo para el propio ISP. Quedan muy pocos ISP que no hagan esto.

Además de eso, los ataques de tipo syn flood se pueden bloquear de cientos de maneras creativas, y la mayoría de servicios modernos no son vulnerables a ellos, aunque encontrases un ISP que te deje pasar esos SYN.

Es totalmente increíble que me hables de syn flood hoy en día, claramente las amenazas son otras y de una naturaleza muy diferente, son de naturaleza estructural como bien comenta #17.

#20 concienciar a la gente sobre la seguridad mitigaría bastante el problema, pero desde luego no es la causa raíz de los DDoS.

#48 no se puede. Basta con que el atacante esté detrás de TOR para que nunca puedas encontrarle.

Por si a alguien le interesa el tema, a la pregunta que ha hecho #17 existe una respuesta super interesante.

A groso modo, existen dos tipo de denegaciones de servicio, las que explotan un comportamiento del servicio atacado, hasta agotar sus recursos y las que simplemente consumen el ancho de banda del atacado.

Las primeras, dentro de las cuales podríamos englobar al syn flood y muchas otras técnicas, se previenen entendiendo el ataque y aplicando soluciones de seguridad. Las denegaciones de servicio que se basan en un comportamiento concreto del servicio pueden ser evitadas facilmente.

Las segundas, las que simplemente se basan en consumir el ancho de banda del servicio atacado, son a día de hoy muy díficiles de detener, y las técnicas que comenta #23 no sirven absolutamente para nada ante este tipo de ataques.

Un ataque de este tipo, consiste en transmitir tantos datos hacía el servicio atacado, que el ancho de banda disponible para ese servicio simplemente se consume. Esto se puede conseguir disponiendo de lo que coloquialmente se conoce como botnet: un montón de sistemas que obedecen tus ordenes.

Para prevenir este tipo de ataques, se han intentado muchas cosas, unas funcionan mejor, otras peor:

- Normalmente estos ataques provienen o de botnets de servidores hackeados o de botnets de terminales de usuario final hackeados. Si se trata del primer caso, se puede ir contactando con los ISP para notificarles lo que está sucediendo con una de sus direcciones IP, normalmente ellos investigan el tema y si es cierto, cortan el tráfico a la máquina atacante comprometida. Esto se hace haciendo un whois a la dirección IP de origen del ataque y contactando con el correo de abuse.

- Debido a que los ISP bloquean el tráfico de salida con direcciones de remite falseadas, los ataques de denegación moderna basicamnete se encuentran con dos opciones. La primera, es usar TCP para saturar la máquina destino, pero la máquina podría con un firewall evitar que la conexión llegase a establecerse para las IPS que están atacando, de forma que evita que lleguen a consumirle el ancho de banda, no aceptando hablar con ellas.

Sin embargo, el problema real está en el protocolo UDP que no requiere un handshasking previo, por lo que un atacante bombardeandote con paquetes UDP desde miles de máquinas con su dirección legitima, no es bloqueado por su ISP. ¿Como puede el ISP del atacante saber que se trata de un ataque? No hay direcciones falseadas y además se usa un protocolo como UDP, sin handshasking ni acknowledgment.

En este caso, para evitar a futuro los ataques de denegación de servicio a gran escala, bastaría con agregar un pequeño handshaking a UDP o incluso prescindir completamente de UDP, pero esto abre un debate muy grande.

En el caso de muchas victimas de ataques de denegación de servicio masivos, como fue el caso de meneame y weblogs sl, basta con avisar al proveedor de que no estás interesado en recibir tráfico UDP en tu máquina, así esos paquetes no te llegan a ti y se lo traga tu ISP, que para la mayoría de los ataques puede detenerlos facilmente, como fue el caso.

#23 espero que esto haya sido mas de tu agrado que mi carta de presentación, pero si quieres podemos seguir hablando de syn flood y de cuando Franco era cabo

#54 Mi afán no es tanto que todo el mundo conozca temas de seguridad informática, como que exista una conciencia sobre la importancia de la seguridad en la sociedad de la información. A mi es un tema que me apasiona y cuando sale una noticia relacionada, aprovecho para dar mi opinión y punto de vista y debatir/hablar sobre el tema.

En realidad, que en un foro de internet alguien hable de algo no creo que tenga que ver con que le paguen, sino con sus aficiones e intereses personales. Aunque aquí en meneame a veces parece que hay a quien le pagan por sacar algun tema!

Las denegaciones de servicio a la web pública de un partido político no son importantes. Las denegaciones de servicio a juegos online, ecommerce, etc pueden producir grandes perdidas. Además las denegaciones de servicio a puntos estructurales de una organización (DNS, Mail, etc) pueden causar problemas serios. Existen muchos sistemas conectados a internet que si se paran, tenemos problemas/se pierde dinero.

No siempre hay que pensar en el típico caso de anonymous ddoseando a una web pública sin importancia. Piensa mas en ataques estratégicos a puntos de enlace entre organizaciones, servicio de correo, tiendas online... etc.

También los ataques de denegación de servicio pueden tener gran impacto en eventos/organizaciones de tiempo limitado, por ejemplo podrían haber ddoseado sistematicamente la web para coordinar la gran V que se hizo en el 11s, y hubiese sido imposible hacerla sin la coordinación de internet.

Una startup podría ser ddoseada durante el tiempo en que está intentando levantar financiación: seguramente matarías la empresa con un ataque que sabe hacer un niño de 16 años un poco espabilado.

Si bien es cierto que el código penal se ha modificado para hacer que interrumpir un servicio sin autorización sea un delito, falta todavía mucha concienciación en la parte técnica del problema.

Prueba de todo esto, es que un tío como el de esta noticia, puede contratar a 3 tíos y tumbar un medio online cualquiera, o el hecho de que las webs de streaming sea ddoseadas cuando hay un partido importante. Todo esto demuestra que las denegaciones de servicio son un problema real y actual.

Por supuesto que las intrusiones como la que expones son un problema, pero eso no hace a las denegaciones de servicio un problema menor: hablar de un problema grave no hace menos grave a otro problema.

#52 No es para ofender, pero eso que has puesto no acredita mucho.

"En primer lugar, es increíble que hables de syn cookies en el año 2014. Es increíble por muchísimos motivos, pero está claro que tu has aprendido lo que es un DDoS en un libro: desde luego no has realizado, ni visto realizar uno en toda tu vida."

Aparte de hacker eres adivino también. En fin. Encima lo que pasa es que estás equivocado en esa frase aunque sea por coincidencia.

#52 No es para ofender, pero eso que has puesto no acredita mucho.

"En primer lugar, es increíble que hables de syn cookies en el año 2014. Es increíble por muchísimos motivos, pero está claro que tu has aprendido lo que es un DDoS en un libro: desde luego no has realizado, ni visto realizar uno en toda tu vida."

Aparte de hacker eres adivino también. En fin. Encima lo que pasa es que estás equivocado en esa frase aunque sea por coincidencia.

Y aparte de libros y mi curiosidad, también he asistido a charlas como esta (in situ)
http://events.ccc.de/congress/2012/Fahrplan/events/5152.en.html (la del 28C3)

Respecto a las tcp-sync cookies y el año 2014, que quieres que te diga... la gente sige usando Wordpress y PHP, y son un medio perfectamente válido para aumentar la seguridad y prevenir estos ataques, no son la solución pero pueden ayudar (http://etherealmind.com/tcp-syn-cookies-ddos-defence/) y si no, como comentan ahí hay alternativas, yo mismo he comentado los IDS que pueden detectar un DDoS y empezar a filtrar IPs. Por ejemplo.

También he mencionado slowloris, como otro ejemplo de vector de ataque que hay que cubrir... y como ves, estoy hablando de estos temas sin tener que dar una carta de presentación que no es necesaria.

"#48 no se puede. Basta con que el atacante esté detrás de TOR para que nunca puedas encontrarle."

¿No estás al día de las vulnerabilidades (corregidas) en Tor verdad?

#60 Tor añade un retardo por conexión y no se diseñó para ello.

#60 No entiendo a que te refieres con el comentario. ¿Que no se diseño para DDoS? pues depende del ataque que hagas, obviamente no es lo mismo que conexión directa pero si es un ataque magnificado o estás explotando una vulnerabilidad puede funcionar.

Tor no se diseñó para atacar nada, eso es cierto.

Tiene retardo, sí... algo más de latencia puede haber pero desde que empezó diría que ha mejorado mucho.

#60 Lo tuyo es muy curioso! Primero me dices que me ahorre la carta de presentación (cómo si lo hubiese escrito para ti, o tuviese que escribir solo lo que a ti te gusta...)

Pero no contento con eso, luego me dices que en realidad mi carta de presentación es insuficiente! Si quieres me pongo a hablar contigo de mi vida y milagros, pero es que ya me has dicho que eso no te interesa lo mas mínimo (normal, no nos conocemos), ¿cómo ahora me pides mas acreditación? Chico, aclarate!

Pero esto no es lo mas divertido del asunto. Lo mas divertido del asunto es que después de hablar de syn flood y syn cookies, enlazas a un artículo sobre el hash flooding, que no es mas que utilizar colisiones en algoritmos de hashing para bloquear servicios vulnerables. En relaidad, esto entraría en la categoría de denegaciones de servicio que se basan en el comportamiento del servicio afectado y no tanto en problemas infrastructurales de internet, como otros ataques.

Aunque el hash flood es bastante interesante desde el punto de vista técnico, y todos nos reímos cuando eso salió, jugando a hacer off-by-ones a colegas que no estaban al día de esa vulnerabilidad, es algo anecdótico.

Los ataques reales, o 'in the wild' como dicen algunos, no se basan en esas técnicas, o lo hacen en una medida muy baja. Pero vaya, que aún y así, el hash flood no tiene nada que ver con el syn flood, no se como has cambiado de tema tan rápido ¿Quizás te has dado cuenta de que tengo razón, por eso me hablas ahora de otro ataque?

Pero por si todo esto no fuese suficiente, lo impresionante viene después:

Respecto a las tcp-sync cookies y el año 2014, que quieres que te diga... la gente sige usando Wordpress y PHP, y son un medio perfectamente válido para aumentar la seguridad y prevenir estos ataques, no son la solución pero pueden ayudar (etherealmind.com/tcp-syn-cookies-ddos-defence/) y si no, como comentan ahí hay alternativas, yo mismo he comentado los IDS que pueden detectar un DDoS y empezar a filtrar IPs. Por ejemplo.

Ese parrafo sin sentido es una mezcla de malentendidas y temas inconexos que es impresionante! Es casi una obra de arte.

En primer lugar, no se que tiene que ver syn flood con wordpress o PHP! Sobre los IDS que detectan DDoS... claro, los DDoS basados en vulnerabilidades, como los hash flood, pero desde luego no el 99% de los DDoS diarios que se basan en saturación de red pura, donde la discusión sería otra totalmente diferente y los IDS no pintan nada en eso.

¿Cómo puede un IDS evitar que me saturen el caudal que tengo? Una vez el IDS ya ha recibido el paquete para analizarlo, es por que ha llegado a mi máquina, al igual que muchos otros, a 10gbps, saturando de muy lejos mi caudal y dejando sin servicio a los usuarios legítimos, diga lo que diga el IDS.

El slowloris, que es un ataque mas antiguo que el andar 'palante', en mi época le llamban 'sockfuck', es otro ataque que se basa en el comportamiento del sistema atacado, y no en saturarle. Evidentemente este tipo de ataques son bloqueables en un IDS y no representan el grueso de ataques DDoS diarios, que son basicamente por saturación (saturación UDP, para ser mas precisos)

Sobre el tema de las vulnerabilidades de tor, por supuesto que si. Conozco las vulnerabilidades teoricas de tor y las vulnerabilidades explotadas ampliamente en el firefox que llaman 'tor browser', sobretodo las relacionadas con javascript. Un atacante inteligente normalmente usaría tor, pero no tor browser. Además lo haría desde una wifi hackeada, buena suerte encontrándole.

#66

primero

No todo son syn flood, hay otro tipo de paquetes. No paras de mencionarlo.

segundo

>>"Aunque el hash flood es bastante interesante desde el punto de vista técnico, y todos nos reímos cuando eso salió, jugando a hacer off-by-ones a colegas que no estaban al día de esa vulnerabilidad, es algo anecdótico.Los ataques reales, o 'in the wild' como dicen algunos, no se basan en esas técnicas, o lo hacen en una medida muy baja"

hash flood no es "flood" como tal ni es el nombre del ataque que te he puesto, no tiene nada que ver con "flood" si no que atacan a la complejidad de ciertos algoritmos entre otras cosas, y desde luego no tiene que ver con "off by one" en el contexto porque esto sería más bien para buffer overflows y similares. Pero ok. Será anecdótico aunque tuvieron que parchear la mayoría de lenguajes de programación populares.

>>"pero vaya, que aún y así, el hash flood no tiene nada que ver con el syn flood, no se como has cambiado de tema tan rápido"

Obviamente tiene que ver, con los DDoS, que es de lo que hablamos. Syn flood es una opción, udp es otra, slow loris es otra técnica y hay muchas más que se pueden usar para hacer DoS, algunas por consumo de ancho de banda y otras por consumo de la CPU o la memoria RAM o de las conexiones a la base de datos o la tabla NAT del router o ...

Los ataques reales se basan en esas técnicas, porque son reales. Punto.

tercero

>>"El slowloris, que es un ataque mas antiguo que el andar 'palante', en mi época le llamban 'sockfuck'"

El slowloris es del 2009, el sockfuck ese no sale ni en Google (al menos en el contexto).

...y es un ataque más, que te permite hacer denegación de servicio con poco tráfico. Slowloris es un ataque como cualquier otro, que sirve igual para hacer un DDoS (http://www.incapsula.com/ddos/ddos-attacks/) igual de fácil y de difícil de parar que otros ataques.

Eso de que todos los ataques DDoS son UDP o que el 99% son UDP, no se de donde lo has sacado... si asi fuera, filtras por UDP (muchas veces no habrá problema) y DDoS resuelto.

cuarto

>>"Sobre el tema de las vulnerabilidades de tor, por supuesto que si. Conozco las vulnerabilidades teoricas de tor y las vulnerabilidades explotadas ampliamente en el firefox que llaman 'tor browser',[...] Además lo haría desde una wifi hackeada, buena suerte encontrándole."

De esta parece que no habías escuchado: https://blog.torproject.org/blog/recent-black-hat-2014-talk-cancellation reciente como ves. Nada que ver con js ni con nada de lo que comentas...

Respecto a la wifi hackeada, sin comentarios.

(no te tomes la respuesta como algo personal)

(#68 en #23 es una respuesta que estaba a medias, lee: #60 y #67 tu mismo)

Sobre tu comentario,

>> "Vete a decirle a las empresas que gastan millones de dólares en protección, que tu todo lo arreglas con firewalls, IDS, unas reglitas en el IPtables, servidores redundados y ya está."

Es que las protecciones por las que pagan millones como tu dices -que no és el caso de la gran mayoría- lo gastan precisamente en: firewalls, IDS, electrónica redundante (y potente) así como servidores distribuidos redundantes y con gente que puede mantener los servidores y prevenir ataques así como mitigarlos. ¿O en qué gastan "los millones" que tu dices si no...?

>>"Si a ti te llega un fogonazo de 100gpbs y tu tubería de red es de 10gbps (por un decir), toda tu electrónica de red se quedará más seca que la mojama."

Depende del hardware y de como tengas la red configurada, y del sistema operativo. Pero vaya, entiendo lo que dices, pero como ya he mencionado te pueden hacer un DoS sin 100gps y tienes el problema igual. Hay otras técnicas que no necesitan generar tráfico fuera de lo normal para provocar un DoS (sin tener que ser una vulnerabilidad tipo Ping of Death o un bof, etc. Pero por ejemplo.).

>>"Las soluciones milagrosas anti-ddos NO EXISTEN"

Bueno, para todos los DDoS pues no, por ahora. Aunque en general parece que Google se maneja bien, hagan lo que hagan.

Lo que comentas del ISP es lo que puedes hacer tu también como he dicho ya, via IDS u otro mecanismo. Si tu tienes tu rango IP y controlas los firewalls pues cuando detectes que algo esta pasando puedes llegar a filtrar, o si es imposible al menos filtras todo y esperas a ver que hacer si no hay manera de evitarlo.

Hay papers y software por ahí basado en redes neuronales para detectar y prevenir ataques DDoS http://roberto.perdisci.com/projects/mcpad.

#69 Lo que comentas del ISP es lo que puedes hacer tu también como he dicho ya, via IDS u otro mecanismo. Si tu tienes tu rango IP y controlas los firewalls pues cuando detectes que algo esta pasando puedes llegar a filtrar, o si es imposible al menos filtras todo y esperas a ver que hacer si no hay manera de evitarlo.

Pues no. Porque cuando te viene un cholón de tráfico desde una botnet, por decir algo, ya puedes matarte a enrackar firewalls como un poseso y escribir DROPs a mansalva, que lo único que vas a hacer es el tonto. A ver si te crees que los firewalls y los IDS son interfaces milagrosas que no tienen CPU, interfaces de red o memoria y pueden procesar paquetes hasta el infinito y más allá sin inmutarse. En esos casos llamas a tu ISP y le dices "córtame todo el tráfico que viene de este AS a nivel BGP" y ya. Y aún así, con reservas.

#69 A ver, que has intentado venir aquí a decir que los DDoS se paran con un firewall y cuatro tonterías mas. Todo esto ha venido por que he expuesto la gravedad de estos ataques y tu los has intentado trivializar.

Creo que #70 ha explicado muy bien el problema, no hace falta agregar nada mas.

Evidentemente que hay denegaciones de servicio que no se basan en saturación pura de red, te lo he intentado explicar durante 3 comentarios repitiendo lo mismo. Estas denegaciones tienen fácil arreglo y no representan problemas reales.

Un problema real es cuando te tiran 100gbps usando una botnet de miles de servidores hackeados con algún 0day en un script php medio popular y un dork medio bien hecho.

En ese caso, cuando eso sucede, que es la mayoría de los ataques de denegación de servicio que se realizan cada día, te tiran el servicio.

Si paras el servicio, no has evitado nada, por que lo que querían los atacantes era justo eso.

Filtres lo que filtres en tu firewall, el atacante solo quería consumirte ancho de banda a lo bestia, y el hecho de que estén SUS paquetes en TU firewall significa que ese ancho de banda ya se ha consumido, independientemente de lo que haga tu firewall después con el paquete.

En estos casos, se pueden hacer algunas cosas, pero es un problema muy muy serio:

1. como bien dice #70, si tienes la posiblidad puedes intentar hacer que ese tráfico no llegue a ti. Hay varias maneras de hacer eso, aunque basicamente son dos: si estás en un datacenter grande, puedes hablar con ellos para que los paquetes de cierto tipo (especialmente UDP) no lleguen a tu servidor. Esto lo haces con la esperanza de que su hardware de red, que está delante del tuyo, pueda soportar la carga.

Si eso no es una opción, siempre puedes intentar hablar con tu ISP para que se los trague el esos paquetes. Los ISP tienen capacidad para gestionar esos volumenes de tráfico y si no llega a tu hardware de red, podrías soportar el ataque.

En la inmensa mayoría de los casos, estas opciones no son tan fáciles: depende de tu conectividad y contrato el ISP no te proporcionará ese servicio, y si no estás en un datacenter con ese servicio, o es tu propio datacenter, tampoco podrás frenarlo antes de llegar a ti.

En esos casos, simplemente seguirás offline hasta que o bien el ataque se detenga, o bien negocies una conectividad con estas opciones con tu ISP, o mudes todo a un datacenter con esa posiblidad.

Si tu opción ha sido esperar a que el ataque se detenga, puedes acelerar que eso pase contactando, uno a uno, con la dirección de abuse del ISP del origen de las IPS atacantes, esto no funciona siempre pero casi siempre, y por cada contacto que haces, le quitas un bot al atacante: puedes mermar rápidamente su capacidad.

Si el ataque era de pequeños ordenadores hackeados por todo el mundo, dificilmente van a estudiar un mail de abuse sobre la IP de un particular domestico.

Después de todo esto, relee tu comentario de #23, fijate el tono con el que está escrito, fijate como trivializas y simplificas un problema real, que produce perdidas millonarias al año y que puede poner en riesgo la viabilidad de casi cualquier negocio en internet o generar problemas graves en la gestión informática de una empresa o incluso un país.

#14 #72 con CloudFlare paras prácticamente cualquier ataque DDoS

#73 Bueno, el tema de cloudfare no es tan sencillo.

Es cierto que cloudfare es un gran servicio: un reverse proxy al que se conectan los usuarios en lugar de a tu auténtico servidor web. La idea es buena, pero tiene muchos problemas:

1. solo sirve para protocolos basados en la web
2. cualquier conexión que realiza el servidor o acción que realiza, leakea la dirección ip del servidor

El punto 2 está relacionado con el 1, realmente.

Me explico: tienes un foro, detrás de cloudfare. Alguien que quiera DDoSearte, tiene cientos de opciones, las mas simples:

- Registrarse y mirar las cabeceras del mail de confirmación para ver la dirección IP del remitente (esto es lo mas habitual, funciona casi siempre)

- Ponerse un avatar enlazado por URL: si el software del foro hace un GET a la url del avatar para comprobar dimensiones, que es una imagen o cualquier otra cosa, ese GET leakea la IP del servidor

- Si en lugar de un foro es un blog, el pingback leakea la dirección IP del servidor

- Si meneame lo usase, bastaría con enviar una noticia para que meneame haga un GET a esa URL, para extraer la información: ese GET leakearia dirección IP original de meneame

- Cualquier mensaje de error con mas datos de lo normal puede rápidamente leakear la dirección original

- Un largo etcetera.

Yo personalmente siempre recomiendo cloudfare, pero un atacante preparado tardará muy muy poco en sacar tu auténtica dirección IP y tumbarte el servidor.

#67 Eso de que todos los ataques DDoS son UDP o que el 99% son UDP, no se de donde lo has sacado... si asi fuera, filtras por UDP (muchas veces no habrá problema) y DDoS resuelto No es tan fácil mitigar un ataque UDP... aunque filtres o denieges todo el tráfico UDP, el tráfico entrante sigue llegando (aunque tu no lo respondas). Los ataques UDP Reflection Flood DrDoS (Inundación mediante Amplificación) son bastente complicados de mitigar: http://blog.elhacker.net/2014/06/udp-flood-inundacion-reflection-attack-ataque.html

#76 (#67)
>> "Los ataques UDP Reflection Flood DrDoS (Inundación mediante Amplificación) son bastente complicados de mitigar: blog.elhacker.net/2014/06/udp-flood-inundacion-reflection-attack-ataqu"

Ya... ¿y? ¿ he contradecido algo de lo que has dicho ? o es solo un comentario aleatorio. De verdad, es como los otros dos... que no paran de inventarse cosas que no dicho y te interpretar lo que escribo como quieren.

Sí, ya he comentado que hay ataques con varios tipos de paquetes TCP, y también UDP con distintas técnicas como slowloris, ataques de amplificación, smurf, etc. Y me contestas

a) explicando el ataque asumiendo que no lo se cuando es obvio que no es necesario ni explicarme el tema ni tampoco traducirmelo al castellano (que no es que no aprecie que seas explícito de todas formas)

b) dices que los ataques DoS via UDP (amplificados o de cualquiera forma) son bastante complicados de mitigar. Vale, se puede discutir hasta que punto pero evidentemente es complicado de solucinar. Tienes razón.

Ahora... ¿qué tiene que ver con nada de lo que yo he puesto? no se que estás matizando de mi comentario de arriba o que se supone que tratas de corregir o mejorar.

Y por favor, elhacker.net... conozco el sitio, no pretendo ser despectivo pero vaya. Creo que hay mejores sitios y fuentes.

#75 de que te sirve denegar todas las ip menos las de cloudfare? si te tiro 100gbps de UDP a tu IP, tu ya puedes denegar lo que quieras, que te saturo.

De hecho, es justo lo mismo que dices en #76, por lo que es raro que en #75 digas lo contrario.

Por cierto, #75, el-brujo, no esperaba encontrarte por meneame, el mundo es un pañuelo

#77 a ver, que no te enteras, así que te lo simplifico mucho:

1. Se dice que los ataques DDoS son muy graves
2. Tu dices que no lo son, que con un IDS, un firewall y no se que mas, problema resueto
3. Te explican que eso no es así, que existe toda una categoría de ataques que no se pueden parar así y que entonces, tu comentario ha sido una tontería, puesto que finalmente SI hy DDoS muy díficiles de parar, tal como te intentamos explicar
4. tu sigues hablando de técnicas que son triviales de mitigar
5. Nosotros seguimos explicandote que esas técnicas, además de obsoletas (syn flood, ahora sacas smurf...) no son el tema importante, que lo importante es UDP Flood y técnicas derivadas
6. Sigues sin entenderlo

Va, admitelo, te has equivocado y punto. Los ataques DDoS serios no se basan en esas técnicas que comentas, los ataques de verdad son de centenares de GBPS por UDP, y simplemente te saturan. Como tales son un problema real para empresas, gobiernos y organizaciones y de momento no tienen solución fácil.

¿Lo entiendes?

#78 para parar ataques de peticiones GET,POST,HEAD si que va bien! me referia a eso. Y estoy de acuerdo contigo que el gran problema son los ataques basados en UDP.

#77 Ya... ¿y? hombre dices textualmente "filtras por UDP (muchas veces no habrá problema) y DDoS resuelto y ojalá fuera tan fácil

cuando es obvio que no es necesario ni explicarme el tema ni tampoco traducirmelo al castellano ¿Vas de sobrado?

#80

Se sabe, pero no para paralizar un país como han exagerado... y si fuera el caso, irrelevante. Porque además estoy de acuerdo en la afirmación.

Exacto, tu has dicho que un DDoS no es tan grave, nosotros te hemos dicho que si, que las denegaciones de servicio eran un tema muy grave, tu has insinuado que no. Tío, leete tu primer comentario en este hilo, anda.

Yo no he dicho "no lo son" ni he insinuado que no sea para tanto en sentido literal ni de ninguna manera pero he matizado que hay DoS y DoS, que hay muchas técnicas y que no todo es problema de flood de tráfico y que muchos de estos ataques se pueden parar con un sistema de IDS, firewall o lo que sea sin problema. Todos no, pero muchos sí. ¿Es tan complicado de entender?


El problema es que mientras yo hablaba de la gravedad de los DDoS, y desde mi primer comentario (puedes buscarlo) hablaba de los DDoS masivos de saturación, tu hablabas de Syn flood, de smurf, de IDS y de firewalls. Todo eso son tonterías para parar ataques de script kiddies de turno. Un DDoS de 100gbps como el de spamhaus es un problema muy serio, que si se realizase contra los sistemas de haciendo, generaría muchos, muchos problemas a un país.

Mi comentario no ha sido una tontería, y YO he mencionado los DDoS muy dificiles de parar porque en los comentarios iniciales estabáis todos enfocados en el SYN-TCP flood y de ahí no habéis salido hasta que yo he entrado a comentar.

Eso no ha sido así

Mi primer comentario ha sido en #14 hablando de la gravedad de los DDoS, sin mencionar los ataques de script kiddie, ese tema lo has SACADO TU, no yo, ni ningún otro.

Has sido TU el que ha empezado a hablar de syn flood, de slowloris, de smurf etc. Si lo repasas, verás que todas y cada una de esas técnicas las has mencionado tu en este hilo por primera vez. Yo desde el principio he hablado de saturación de tráfico UDP, incluso he sugerido revisiones al protocolo UDP para frenar este problema. Mientras yo hablaba de eso, tu has dicho que los DDoS son una tontería y has empezado a decir que se paran con un firewall: claramente estabas pensando en smurf, en syn flood, en slowloris etc, como bien has manifestado TU MISMO en tus comentarios.

No se a que te refieres, todo es trivial de mitigar, algunas vulnerabilidades comentadas estan ya parcheadas y otras que se supone que lo estaban han reaparecido tal vez con alguna variante.

Pero vaya... que otro punto irrelevante, porque aquí el tema no es comentar a ver que técnicas son fáciles de mitigar o no. Y en cualquier caso yo comento las técnicas que me da la gana, que sean o no triviales de mitigar en el contexto de simplemente mencionarlas no importa.

Bueno, vuelves a las andadas frase tuya: "todo es trivial de mitigar". Bueno, eso lo dirás tu. Me dirás tu como mitigas un UDP flood de 400gbps dirigido a tu rango de IPS, desde una botnet de ordenadores domesticos.

No, no todo es trivial de mitigar y te lo llevo intentando explicar todo el rato, lo dije en #14 y lo vuelvo a repetir, pese a tus enesimos comentarios diciendo tonterías y demostrando tu ignorancia sobre el tema.

Muchos ataques, como el UDP flood no son fáciles de mitigar y son un problema muy serio. Pueden detener servicios de cualquier organización y sería un problema serio reestablecerlos. En tu mundo todo es fácil de mitigar, pero en la realidad eso no es así. Existen toda una categoría de ataques imposibles de mitigar ahora mismo, pero tu sigues hablando de los otros: relee el hilo, tu no paras de hablar de ataques fáciles de mitigar, yo no paro de repetirte todo el rato que esos ataques no me importan, precisamnete por que son fáciles de mitigar, te lo he dicho ya 40 veces.

Y si, si es relevante lo que es fácil de mitigar y lo que no, por que toda la discusión ha empezado cuando yo en #14 he expresado mi opinión y tu en #23 has soltado lo que has soltado.

Relee por favor mi comentario en #14, luego tu comentario en #23 y fijate como ahora te estás contradiciendo, para intentar tener razón

syn flood no lo he mencionado yo majo, ni smurf (como ataque, lo he mencionado como EJEMPLO de ataque magnificado).

udp flood lo he comentado yo incialmente y luego otra gente, que sí... que me parece bien, pero es que yo he sido el primero en sacarlo y sigue sin significar nada, porque como dices hay MUCHAS técnicas (tema de los hashes que también he comentado).

Bueno, llegados a este punto, voy a demostrar que aparte de un ignorante, eres un mentiroso

syn flood no lo he mencionado yo majo

La primera aparación del termino 'syn' que aparece en este hilo es el comentario #23, hablando de syn cookies. Syn cookies es una técnica para mitigar syn flood.

El comentario #23 es tuyo, por lo que si, syn flood los has mencionado tu el primero.

Dices no haber mencionado smurf, pero también es un tema que has sacado tu, en #77.

Pero es que aun eres mucho, mucho mas mentiroso :)

udp flood lo he comentado yo incialmente y luego otra gente

Usa la función ctrl + f (buscar) de tu navegador y verás que la primera mención a UDP en este hilo es mía, en #66

No se, la gente tiene una manera muy selectiva de leer la información en los foros

Si, lo acabas de demostrar tu has sido el primero en mencionar syn flood, smurf y no has sido el primero en mencionar UDP flood (usa el ctrl + f). Aún y así, acabas de afirmar lo contrario.

No colega, el que no lo entiende eres tu. Pero claro, para que intentar enteder lo que lees. "Los otros son los que están equivocados, yo soy super pro así que lo que digan da igual."

Yo no me he equivocado, pero si se diera el caso me importa poco reconocerlo, pero es que no he dicho nada para poder equivocarme realmente.

Dices que no te importa reconocer que te has equivocado, te acabo de demostrar como te has equivocado ahora mismo. ¿Lo vas a reconocer?

#82

>> "Bueno, vuelves a las andadas frase tuya: "todo es trivial de mitigar"",

No, eres tu el que vuelves a las andadas, he dicho MITIGAR, que no solucionar, o evitar. Obviamente como he dicho ya varias veces, hay DoS y DoS. Mitigar siempre los puedes intentar, ahora... que puedes evitar el DoS es otro tema. Y vete al final de este comentario, verás que curiosidad más grande y tu comentario en #14(el primero).

Vuelves a interpretar mis palabras como quieres.

>> "El comentario #23 es tuyo, por lo que si, syn flood los has mencionado tu el primero."

Perdona, ahora eres tu el que mientes. Yo no he mencionado syn flood en #23 si no "syn cookies" junto con otras tres o cuatro cosas, si vamos a ser así de estrictos. Pero vaya, que viene a ser irrelevante. >> "Syn cookies es una técnica para mitigar syn flood."

Sí, pero es que en la misma frase también he mencionado, IDS, firewall, etc. Así que no me seas selectivo con la información.

Manipular se te da bien, eso vamos a reconocerlo.

>> "Has sido TU el que ha empezado a hablar de syn flood, de slowloris, de smurf etc. Si lo repasas, verás que todas y cada una de esas técnicas las has mencionado tu en este hilo por primera vez. "

Pues sí, es posible, como ejemplo. De que hay muchos tipos de DoS y de que no todo son usando syn/udp/loquesea paquetes y/o grandes volúmenes de tráfico y de que hay maneras de prevenir muchos DoS (MUCHOS, NO TODOS) especialmente cuando no te están enviando 140gbps ni granadas.

Obviamente si te tiran una granada en el CPD pues entonces da igual lo que tengas, aunque puedes prevenir que ocurra o mitigar el daño.

Pero nada... ¿Qué quieres que te diga? ¿qué los DoS son imposibles de parar y que no podemos hacer nada ? pues no es cierto, pero si que es complicado dependiendo del DoS/DDoS.


>> "Usa la función ctrl + f (buscar) de tu navegador y verás que la primera mención a UDP en este hilo es mía, en #66"

Ya, ¿pero se te ha ocurrido mirar quien ha sido el primero en comentar que no todo es syn flood o ataques con tráfico massivo de cara a hacer un DoS ? eres tu mismo el que dice que yo he sacado por primera vez el resto de ataques o palabras relacionadas con el tema. Que vuelvo a insistir, que más dá.

Ahora, si tratas de decirme que soy un mentiroso en pase a ser puntilloso en el orden de quien mencionó "UDP" flood primero: en lo que si me he equivocado es en el que parece que no había sido el primero en decir "smurf"/UDP flood en el hilo pero insisto que es irrelevante esto (y yo había usado la palabra smurf con otro significado en realidad, queriendo decir "magnificado").



Lo que ha pasado es que en #14 has empezado ya con:


>>" Durante algunos años, cuando era joven, estube muy relacionado con todo el mundillo del spam, las denegaciones de servicio, los defaces y todo eso. Después convertí esa afición en mi carrera profesional. "

¿Para qué dices eso? fíjate que yo no he mencionado faltas de ortografía ni te he llamado mentiroso. Pero pones eso para dar más validez a tus argumentos. Y no hace falta.

Pero ahora lee bien, lo que tu mismo has escrito

>> "El tema de las denegaciones de servicio es un tema que conozo muy muy bien. Cuando hubo los ataques a meneame y a weblogs sl estuve intentando echar una mano, aconsejando y explicando los detalles especificos de este tipo de ataques. De hecho he ayudado ya en decenas, sino cientos de mitigaciones de ataques de denegación de servicio."

Me estás criticando e insistiendo con el hecho de que diga que muchos ataques DoS se pueden mitigar, sacando de contexto mis frases y TU MISMO has dicho que has ayudado con CIENTOS DE MITIGACIONES DE ATAQUES. Vamos a ver, tu mismo estás diciendo que has mitigado cientos de DDoS y no te da vergüenza escribir lo que has escrito en tu comentario.

Por otro lado, ya que has echado una mano a tanta gente, no estaría demás que comentaras como, ya que para describir lo que es un DoS con la Wikipedia es suficiente. Eso sería constructivo e informativo, no decir que tu eres super pro de los DoS y que los demás decimos cosas que no tienen sentido.

Y que quede claro, solo te contesto porque sacas de contexto mis frases cuando realmente no es que esté diciendo que todo lo que dices sea o no correcto, estoy diciendo que has exagerado un poco el tema, que no hacia falta la carta de presentación... y que sí, que los DoS son graves, pero algo se puede hacer en muchos casos y matizando que depende del ataque DoS, que hay muchos y con muchos niveles de tráfico cuando el ataque se basa en flood, en saturar CPU, tablas NAT, etc. Nota que el etc. es importante ahí.


#81 Luego está lo que comenta 81, si no tienes en cuenta lo que dice en ese comentario - que es cierto -, y puestos a exagerar lo que dices en #14 todavía más: ya no es que solo cualquier informático con 4h de formación puede tirar cualquier país con un DoS es que no necesitas ser informático para pagar lo que te cuesta un hosting para alquilar una botnet de alquiler o usar cualquier crimerware que hay a patadas, como si fuese un DoS as a Service.

No se si era eso lo que querías que dijera, pero creo que ya he dejado claro lo que he dicho y lo que no he dicho.

#80 Muy bien, eso si me parece más lógico. Una cosa es darles coba a personas influyentes para intentar favorecer tus intereses particulares y otra es conspirar para dominar el mundo. Regalitos y comidas es lo que se lleva aquí en españa por parte de empresarios y demás para conseguir concesiones a cambio de pasta para campañas y otros favores. Una cosa es mira a ver si puedes dejar entrar en tu país a mi emporio y otra es vamos a reunirnos todos a hacer una estrategia global de dominación. Aquí cada cual va a lo suyo.

#21 También todo el mundo sabe escribir y no somos todos escritores. Saber programar, lo que es el concepto básico y un lenguaje de scripting es bueno para todos... no hace falta que sepamos todos cómo elaborar abstracciones complejas ni cálculos de balance de carga de servicios ni nada de eso, sino un poco de scripting para tu hoja de cálculo, otro poquitín de javascript para otra cosilla... en fin, entender que cuando se le da a un botón no surge la magia y ya está, valorar el precio de las horas de desarrollo de software, valorar un programa y no estar siempre dispuesto a piratearlo porque "el precio es absurdo"... sino llegar a la conclusión de que detrás de ese botoncico mágico, de esa pantallita chula, de ese jueguecito de reventar caramelicos que tanto te encancha, de ese programa que te conecta con todos tus colegas de manera gratuíta desde tu teléfono (y si te piden 1 pavo al año pones el grito en el cielo...) hay mucho estruje de meninge. Yo creo que es bueno para que el trabajo del programador deje de ser visto como "oscuros sortilegios numerarios que elaboran mientras se rascan las bolas invocando a satánicas criaturas del averno digital desde su extraño y oscuro cubil pronunciando palabras en un lenguaje hereje del averno digno, como poco, de crucifixión cabeza abajo sobre ascuas volcánicas".

#76 Todo un poeta