NGINX App Protect bloquea los ataques de denegación de servicio (DoS) a nivel de aplicación

NGINX | 06 de julio de 2021

Yaniv SazmanGerente sénior de Gestión de Producto

Aunque la transformación digital está acelerando el potencial empresarial, por desgracia también está ampliando el panorama de amenazas. Mientras los equipos de seguridad se ocupan de adaptarse al aumento de sus competencias y responsabilidades, los atacantes aprovechan la situación y emplean métodos cada vez más sofisticados para explotar las aplicaciones con fines económicos. En comparación con los ataques tradicionales de denegación de servicio (DoS) a nivel de red, los ataques DoS a nivel de aplicación (capa 7) están aumentando considerablemente, en gran medida porque pueden eludir las defensas tradicionales, que no están diseñadas para las arquitecturas de aplicaciones modernas.

Desde el punto de vista de los atacantes, los ataques DoS de capa 7 presentan dos características muy valiosas: requieren muy pocos recursos para causar una interrupción considerable y son difíciles de detectar. Estos ataques, generados mediante herramientas sofisticadas y solicitudes dirigidas con precisión, afectan a los servidores de aplicaciones y las API, impidiéndoles procesar solicitudes legítimas. Cuando un servidor recibe más solicitudes de las que puede procesar, descarta las legítimas, deja de responder o incluso se bloquea.

Las soluciones tradicionales de mitigación de ataques DoS no son eficaces para las aplicaciones modernas. Ofrecen una seguridad estática basada en reglas y requieren un mantenimiento continuo para seguir el ritmo de los cambios y las actualizaciones en el panorama actual de las aplicaciones.

Presentamos NGINX App Protect DoS

NGINX App Protect Denial of Service (DoS) es un nuevo módulo dinámico ligero para NGINX Plus, diseñado para proteger las aplicaciones modernas frente a los ataques de denegación de servicio (DoS) más sofisticados dirigidos a aplicaciones. NGINX App Protect DoS mitiga los ataques cuyo objetivo es interrumpir y perjudicar las aplicaciones, garantizando un rendimiento y una generación de ingresos continuos, y preservando la fidelidad de los clientes y la marca en un mundo digital altamente competitivo.

NGINX App Protect DoS puede implementarse cerca de las aplicaciones y los microservicios en cualquier plataforma, arquitectura o entorno, incluidos los clústeres de Kubernetes. Se escala horizontalmente junto con la aplicación y mantiene en todo momento un alto nivel de eficacia de la seguridad.

NGINX App Protect DoS en acción

Casos de uso de implementación

NGINX App Protect DoS se puede implementar en diversas ubicaciones para proteger los servicios de aplicaciones:

Perímetro – Balanceadores de carga externos y proxies
Controlador de entrada – Punto de entrada a Kubernetes
Proxy por servicio – Capa de proxy para servicios internos
Proxy por pod – Proxy integrado en el pod
Puerta de enlace de API – Punto de entrada a los microservicios

Tipos de ataques mitigados

NGINX App Protect DoS incorpora protección contra varios tipos de ataques sofisticados:

GET y POSTAtaques de inundación – (tanto HTTP como HTTPS) El atacante intenta saturar el servidor o la API con un gran número de solicitudes, impidiendo que pueda responder a los usuarios reales.
Ataques «lentos» – (Tanto HTTP como HTTPS) Los ataques «lentos y de baja intensidad» acaparan los recursos del servidor, impidiendo que se atiendan las solicitudes de los usuarios reales. Hay dos factores que dificultan la defensa contra ellos: existen tres tipos principales de ataques lentos:
- A diferencia de los ataques DDoS de red, no consumen un gran ancho de banda, lo que dificulta distinguirlos del tráfico normal.
- No requieren muchos recursos para lanzarse, por lo que se pueden enviar miles de solicitudes desde un solo ordenador mediante sofisticadas herramientas de automatización.
- Slowloris – El atacante se conecta al servidor y envía lentamente cabeceras de solicitud parciales. El servidor mantiene abierta la conexión mientras espera el resto de las cabeceras, agotando el conjunto de conexiones disponibles para los usuarios legítimos.
- Lectura lenta – El atacante envía una solicitud HTTP correctamente formada, pero después lee la respuesta muy lentamente, si es que llega a leerla. Esto provoca un consumo progresivo de los recursos del servidor, lo que impide que se procesen las solicitudes legítimas.
- Ataque lento de tipo «POST» – El atacante envía al servidor cabeceras HTTP POST legítimas, especificando correctamente el tamaño del cuerpo del mensaje que enviará a continuación. Después, envía el cuerpo del mensaje muy lentamente. Como el mensaje parece válido, el servidor mantiene abierta la conexión mientras espera a recibir el cuerpo completo. Un gran número de ataques lentos de tipo «POST» agota el conjunto de conexiones disponibles para los usuarios reales.
Variantes distribuidas de los ataques anteriores – Evidentemente, utilizar varios ordenadores facilita el envío de un mayor número de ataques simultáneos. Además, el volumen de tráfico de cada ordenador puede ser relativamente bajo, por lo que se asemeja al de un usuario normal. Los ordenadores también pueden abandonar el grupo de ataque y volver a incorporarse posteriormente, lo que hace que el conjunto de direcciones IP de origen cambie constantemente. Estas características del tráfico reducen la eficacia de las técnicas de mitigación tradicionales, como la limitación de solicitudes y el bloqueo geográfico.
Ataque Challenge Collapsar/URI aleatorios – En un ataque Challenge Collapsar (CC), el atacante envía solicitudes frecuentes que son normales, salvo que los URI solicitados requieren la ejecución de algoritmos complejos y, por tanto, lentos, u operaciones de base de datos que pueden agotar los recursos del servidor atacado. El atacante también puede aleatorizar los URI y otros parámetros HTTP de forma que eluda herramientas de mitigación tradicionales, como las reglas estáticas. En cambio, NGINX App Protect DoS se basa en algoritmos avanzados de aprendizaje automático que aumentan drásticamente la eficacia y reducen los falsos positivos.

Ocultación tras NAT – El atacante utiliza el cifrado o la traducción de direcciones de red (NAT) para evitar ser detectado. Intentar detectar ataques rastreando únicamente la dirección IP de origen no resulta eficaz, ya que se considera atacantes a todos los usuarios de NAT aunque solo uno de ellos esté atacando. NGINX App Protect DoS utiliza la toma de huellas digitales para IPv4 a fin de detectar con precisión a los actores maliciosos que se ocultan tras NAT. Dado que la mayor parte del tráfico se cifra mediante SSL/TLS, es posible ampliar la clave que identifica a un actor, pasando de usar únicamente la dirección IP a combinarla con la huella digital TLS (basada en el mensaje de saludo TLS).
Ataques dirigidos contra SSL/TLS – El atacante aprovecha el protocolo de enlace SSL/TLS. Un método habitual consiste en enviar datos basura al servidor SSL/TLS objetivo. Procesar un mensaje no válido requiere tantos recursos computacionales como procesar uno legítimo, pero sin obtener ningún resultado útil. La mayoría de los cortafuegos no sirven de ayuda en este caso porque no pueden distinguir entre paquetes de enlace SSL/TLS válidos y no válidos, e implementar el descifrado en un cortafuegos resulta prohibitivo por su coste.NGINX App Protect DoS utiliza un mecanismo de firmas SSL/TLS para proporcionar detección y mitigación basadas en anomalías a partir del mensaje CLIENT HELLO, que no está cifrado y se transmite al principio del proceso de enlace SSL/TLS, lo que elimina el elevado coste del descifrado. Además, el uso de firmas SSL/TLS junto con un mecanismo de supervisión del estado del servidor permite proteger y mitigar los ataques DoS sin terminar la conexión SSL/TLS.

Resumen

Cada vez es más habitual que los ataques DoS se dirijan contra las aplicaciones en lugar de contra la red. Dado que muchos de estos ataques DoS de capa 7 parecen tráfico legítimo, las defensas WAF tradicionales no pueden detectarlos eficazmente.

Además, los atacantes siguen aprovechando nuevas tecnologías, como el aprendizaje automático y la IA, para lanzar ataques DoS de capa 7, lo que reduce la eficacia de las reglas simples y las firmas estáticas. La mitigación de ataques DoS de capa 7 también debe evolucionar, y NGINX App Protect DoS aporta la tecnología adecuada mediante defensas adaptativas y dinámicas.

Si desea obtener más información sobre cómo garantizar la protección frente a ataques DoS, consulte nuestro documento sobre la solución. Consulte también estos artículos relacionados del blog:

Pruebe NGINX App Protect DoS – empiece hoy mismo una prueba gratuita de 30 días o póngase en contacto con nosotros para hablar sobre sus casos de uso.