Soluciones seguras de entrega de aplicaciones con protección DDoS de F5 BIG-IP

Ecosistema de F5 | 05 de enero de 2024

Los atascos no son nada divertidos. Pero los atascos digitales probablemente sean aún peores. ¿Cuántas veces te ha pasado esto? Introduces tu nombre de usuario y contraseña para consultar el saldo de tu cuenta a través de la aplicación móvil de tu banco y lo único que aparece es el círculo de carga infinito, mientras el navegador intenta conectarse al servidor del banco y tú esperas con una expectación que aumenta a cada segundo.

Por desgracia, no se trata de algo poco habitual. Los bancos, tanto grandes como pequeños, de todo el mundo sufren ataques distribuidos de denegación de servicio (DDoS) con una frecuencia alarmante. Y, hasta cierto punto, es comprensible. Una buena estrategia de seguridad y entrega de aplicaciones comprende un conjunto de tecnologías y prácticas que funcionan conjuntamente para ofrecer a los usuarios finales una experiencia de uso de las aplicaciones rápida, fiable y segura. Por su propia naturaleza, las aplicaciones complejas, como las que suelen utilizar los bancos, presentan numerosos vectores para distintos tipos de ataques. Solo el año pasado, las entidades financieras europeas registraron un aumento del 73 % en los ataques DDoS con respecto al año anterior. Los ataques DDoS —o, dicho de otro modo, los atascos provocados deliberadamente por agentes maliciosos— buscan agotar los recursos del sistema hasta hacer que el servidor atacado se bloquee o se ralentice tanto que el tráfico legítimo no pueda acceder a las aplicaciones que necesita. Es como si alguien provocara un atasco (físico) expresamente para impedir que llegues puntual al trabajo. Por tanto, es fácil ver las consecuencias negativas que pueden derivarse de estos ataques: pérdida de ingresos, daños a la reputación empresarial y clientes frustrados que podrían abandonar tu aplicación y pasarse a la de la competencia si tu página o aplicación tarda más de dos segundos en cargarse.

La creciente amenaza: los ataques DDoS volumétricos

Aquí es donde este tipo de ataques pasan de ser un leve dolor de cabeza a convertirse en una migraña: existen docenas de variantes de ataques DDoS que los actores maliciosos pueden lanzar contra una aplicación, afectando a varias capas del modelo OSI y causando estragos tanto a los usuarios como a los proveedores de aplicaciones. Es como una versión retorcida de Baskin-Robbins: 31 sabores de denegación de servicio. Sin embargo, la variante más común e irritante de ataque DDoS, especialmente frecuente en la capa de transporte (capa 4 del modelo OSI), es el ataque DDoS volumétrico. Aunque los detalles de los ataques DDoS volumétricos varían, el resultado final es el mismo: el atacante inunda de tráfico el servidor objetivo hasta saturar su CPU y su memoria, provocando fallos e interrumpiendo el servicio para cualquier cliente conectado, sea legítimo o no. Lo más irritante es que son baratos y casi cualquiera con acceso a la web oscura puede lanzar uno. Por apenas unos dólares la hora, un atacante puede dejar fuera de servicio una aplicación o un sitio web, lo que podría costar a las víctimas millones de dólares en ingresos comerciales perdidos.

Por qué son importantes estos ataques: el coste

Ni que decir tiene que este tipo de ataques causa quebraderos de cabeza a los usuarios que intentan acceder a las aplicaciones que necesitan en su día a día. Pero en estas situaciones hay otra parte que posiblemente se sienta aún más frustrada: los equipos de NetOps y SecOps que trabajan entre bastidores para mantener las aplicaciones disponibles y seguras. Para ellos, un ataque DDoS de cualquier tipo es más que un simple inconveniente; podría trastocar todo un mes, paralizar otros proyectos y exigir valiosos recursos de tiempo, dinero y personal para solucionarlo.

Más allá del impacto económico, no se puede subestimar el coste humano de estos ataques. En algunos casos, los ataques DDoS sirven como maniobras de distracción que permiten a los atacantes extraer información personal de los usuarios de las bases de datos de sus víctimas, además de denegar el servicio, lo que agrava los daños y las interrupciones. La información de identificación personal (PII) acaba en manos de agentes maliciosos, empresas respetables pierden la confianza del público y equipos de operaciones de todo tipo pierden incontables horas realizando tareas de limpieza o reparación, mientras que las aplicaciones que constituyen el alma de sus negocios sufren periodos prolongados de inactividad.

Soluciones de F5 para la entrega segura de aplicaciones

Sin embargo, no todo son malas noticias. BIG-IP Local Traffic Manager (LTM) de F5 destaca por mantener las aplicaciones operativas frente a ataques DDoS, ya que actúa como barrera entre las aplicaciones y los usuarios malintencionados que intentan dejarlas fuera de servicio. Si ya utiliza BIG-IP LTM en su entorno, estará reforzando la protección de la capa de red (capa 3) y de la capa 4 gracias a su capacidad para detectar y mitigar ataques DDoS en los niveles de red y transporte. Es importante señalar que, aunque BIG-IP LTM ofrece una excelente solución de seguridad para estas capas, utilizarlo como su única solución de seguridad no constituye una estrategia integral de seguridad de las aplicaciones. Para orientar su estrategia de entrega de aplicaciones hacia un enfoque capaz de hacer frente a distintos tipos de amenazas, la mitigación de los ataques a la capa de aplicación (capa 7) debería ocupar uno de los primeros puestos de su lista de tareas.

Debido a su naturaleza sigilosa, este tipo de ataques puede ser de los más problemáticos, ya que resulta especialmente difícil detectarlos con los mecanismos de defensa tradicionales. Mientras que un ataque DDoS volumétrico en la capa de transporte o de red puede manifestarse como una avalancha repentina de tráfico, un ataque de capa 7 puede ocultarse, camuflándose entre el tráfico legítimo de la aplicación y aumentando progresivamente hasta saturar el servidor y la aplicación, lo que impide atender las solicitudes del tráfico legítimo de la aplicación.

Protección integral con BIG-IP Advanced WAF

Estos factores pueden hacer que los ataques DDoS de capa 7 resulten especialmente problemáticos para los equipos de NetOps y SecOps, ya que pueden derribar secciones enteras de empresas en línea y permanecer sin detectar durante más tiempo que otros tipos de ataques DDoS. Puede obtener más información sobre los daños que pueden causar estos tipos de ataques en el excelente artículo de mi compañero Jay Kelley sobre el ataque DDoS de capa 7 que afectó negativamente a las aplicaciones Outlook, OneDrive y Azure Portal de Microsoft. Por tanto, si necesita protección de capa 7 —algo absolutamente imprescindible si ofrece aplicaciones a sus usuarios—, considere incorporar BIG-IP Advanced WAF a su estrategia de entrega de aplicaciones. Se trata de un firewall de aplicaciones web (WAF) específico que complementa cualquier implementación de BIG-IP LTM y garantiza una estrategia de seguridad de aplicaciones que abarca más capas, lo que aporta mayor tranquilidad tanto a usted como a sus usuarios. Para obtener más información sobre los distintos tipos de ataques DDoS y las capas OSI a las que afectan, consulte la guía de la CISA sobre ataques DDoS. Si desea evaluar las capacidades de BIG-IP Advanced WAF, póngase en contacto con nuestro equipo de ventas para solicitar una demostración.