Muchos de nosotros hemos tenido recientemente dificultades para acceder a algunas de las aplicaciones esenciales que tanto nuestras organizaciones como nosotros, a título individual, utilizamos a diario, ya sea en el ámbito personal o laboral. De forma sucesiva, muchos tuvieron problemas para acceder al portal web de Microsoft Outlook.com, después a OneDrive y, por último, a Microsoft Azure Portal durante varios días consecutivos a principios de junio.
Algunos especularon con que la imposibilidad de acceder a aplicaciones esenciales de Microsoft podría haberse debido a una configuración incorrecta. Otros opinaron que podría haberse tratado de un ciberataque. Microsoft comunicó que había gestionado y equilibrado el aumento del tráfico hacia sus aplicaciones esenciales.
Posteriormente, el viernes 16 de junio, una entrada publicada en el blog del Centro de Respuesta de Seguridad de Microsoft (MSRC), titulada Respuesta de Microsoft a los ataques distribuidos de denegación de servicio (DDoS) de capa 7 explicó la causa principal de las interrupciones de las aplicaciones de Microsoft, que comenzaron el 7 de junio y se prolongaron hasta el 9 de junio.
El blog confirmó que Microsoft había sido víctima de un ataque DDoS de capa 7 (L7), lo que provocó que temporalmente no se pudiera acceder a esos servicios, identificados en otras publicaciones como Outlook.com, OneDrive y el portal de Microsoft Azure.
La publicación del blog afirmaba que Microsoft «detectó picos de tráfico dirigidos contra algunos servicios que afectaron temporalmente a su disponibilidad». También mencionaba que Microsoft «abrió rápidamente una investigación y comenzó a realizar un seguimiento de la actividad DDoS en curso». El blog del MSRC explicaba que el ataque había sido perpetrado por un actor de amenazas al que Microsoft sigue y ha identificado como Storm-1359, también conocido como Anonymous Sudan. El blog destacaba que Microsoft no había encontrado indicios de que se hubiera accedido a los datos de los clientes ni de que estos se hubieran visto comprometidos. Los ataques DDoS tenían como objetivo causar interrupciones, llamar la atención y promocionar a los atacantes: Storm-1359, también conocido como Anonymous Sudan.
Aunque muchos ataques DDoS se dirigen a la capa 3 (capa de red) o a la capa 4 (capa de transporte) del modelo OSI (interconexión de sistemas abiertos), un ataque DDoS de capa 7 (capa de aplicación) es algo completamente distinto. Los ataques DDoS de capa 7 son mucho más difíciles de detectar que los de capa 3 o 4, ya que suelen ser complejos, encubiertos e indistinguibles del tráfico legítimo de las aplicaciones web. Estos ataques se dirigen a componentes específicos de un servidor de aplicaciones y los bombardean con solicitudes hasta sobrecargarlos e impedir que respondan a cualquier tipo de tráfico. Además, estos ataques evolucionan, cambiando con frecuencia y, en muchos casos, de forma aleatoria.
Según Microsoft, el ataque DDoS de capa 7 contra sus servicios se valió de «un conjunto de redes de bots y herramientas» que permitió a los atacantes lanzar el ataque desde varios servicios en la nube e «infraestructuras de proxies abiertos», utilizando servidores privados virtuales, entornos en la nube, proxies abiertos y herramientas DDoS compradas o adquiridas.
Storm-1359 (también conocido como Anonymous Sudan) empleó tres tipos diferentes de ataques DDoS de capa 7 contra Microsoft:
- Ataque de inundación HTTP(S), en el que un número considerable de solicitudes, incluidos los protocolos de enlace SSL/TLS y las solicitudes HTTP(S) procedentes de diversos dispositivos, regiones y direcciones IP de origen, sobrecargan los recursos del sistema, como la CPU y la memoria, lo que provoca que un servidor de aplicaciones deje de procesar solicitudes.
- La omisión de la caché elude las redes de distribución de contenidos (CDN) mediante el envío de solicitudes a URL creadas y generadas por un atacante, que hacen que la aplicación reenvíe todas las solicitudes al servidor de origen.
- Slowloris utiliza un único sistema para iniciar una conexión con un servidor web y obliga a que esta permanezca abierta al no confirmar o ralentizar la aceptación de una solicitud de recursos.
En la entrada del blog, Microsoft afirmó que había «reforzado las protecciones de la capa 7, incluido el ajuste de Azure Web Application Firewall (WAF), para proteger mejor a los clientes» frente a los ataques DDoS.
Microsoft también formuló varias recomendaciones a sus clientes para reforzar la protección frente a los ataques DDoS de capa 7 (capa de aplicación), entre ellas:
- Usar Azure WAF u otros servicios de capa 7 para proteger las aplicaciones web
- Usar la protección contra bots de Azure WAF u otro servicio para defenderse de bots maliciosos
- Identificar direcciones IP y rangos maliciosos y bloquearlos
- Bloquear, limitar la tasa de solicitudes o redirigir el tráfico procedente de fuera de una región geográfica definida o de una región identificada
- Aprovechar las firmas de ataques conocidas para crear políticas de WAF personalizadas que bloqueen automáticamente el tráfico HTTP(S) malicioso o limiten su tasa
La seguridad de aplicaciones web y API (WAAP) de F5 ya ayuda a numerosos usuarios y clientes de Microsoft a proteger sus aplicaciones web frente a ataques DDoS de capa 7 complejos y difíciles de detectar. F5 WAAP se basa en el motor WAF de F5 y en sus reconocidas capacidades de detección y supervisión, lo que ofrece un entorno familiar. Disponible en cualquier modelo de implementación necesario (hardware, SaaS y software como edición virtual en Microsoft Azure), así como en cualquier combinación de estos, F5 WAAP puede implementarse dondequiera que se alojen las aplicaciones, con todos sus componentes trabajando conjuntamente para garantizar una protección integral frente a los ataques DDoS de capa 7.
También está disponible la galardonada solución F5 Distributed Cloud Bot Defense, la solución SaaS de F5 para la mitigación y defensa frente a bots, que protege a los bancos, minoristas y aerolíneas más grandes del mundo. Distributed Cloud Bot Defense protege frente a bots maliciosos gracias a su análisis sin parangón de dispositivos y señales de comportamiento que permiten desenmascarar la automatización.
Para obtener más información sobre las soluciones de protección WAAP y contra DDoS de F5, así como sobre la defensa contra bots:
- Descubra en detalle las opciones de F5 para la protección contra ataques DDoS
- Más información sobre la protección de aplicaciones web y API de F5
- Una entrada de blog sobre cómo los servicios de F5 Distributed Cloud resisten los ataques DDoS de capa 7
- Compra e implementa BIG-IP Advanced WAF, Distributed Cloud WAAP, y NGINX App Protect en Azure Marketplace
- Solicite una prueba gratuita de BIG-IP Advanced WAF, Distributed Cloud, o NGINX App Protect
- Vea Distributed Cloud WAAP, Distributed Cloud Bot Defense y NGINX App Protect en acción
- Descubre cómo NGINX App Protect DoS bloquea los ataques DoS a nivel de aplicación
- Descubra por qué Ahora es el momento de reevaluar sus medidas contra los bots
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.