¿Qué es un ataque de inundación SYN?
Una inundación SYN, también conocida como inundación TCP SYN, es un tipo de ataque de denegación de servicio (DoS) o de denegación de servicio distribuido (DDoS) que envía una cantidad masiva de solicitudes SYN a un servidor para saturarlo con conexiones abiertas.
¿Qué es una inundación SYN?
Una inundación SYN, también conocida como ataque de conexión semiabierta, es un ataque a nivel de red que bombardea un servidor con solicitudes de conexión sin responder a las confirmaciones correspondientes. La gran cantidad de conexiones TCP abiertas resultantes consume los recursos del servidor hasta llegar a desplazar el tráfico legítimo, lo que impide abrir nuevas conexiones legítimas y dificulta o imposibilita que el servidor funcione correctamente para los usuarios autorizados que ya están conectados.
¿Por qué es importante mitigar las inundaciones SYN?
Prácticamente cualquier organización con un sitio web de acceso público es vulnerable a este tipo de ataque. Si una inundación SYN no se detecta y se aborda rápidamente, puede saturar un servidor en poco tiempo, ralentizar drásticamente sus respuestas e impedir cualquier otra conexión. Esto deja el servidor fuera de servicio, de modo que se deniega el acceso a los usuarios legítimos, que no pueden acceder a las aplicaciones y los datos ni realizar operaciones de comercio electrónico. Entre las consecuencias se incluyen la pérdida de continuidad del negocio, la interrupción de infraestructuras críticas, la pérdida de ventas o el deterioro de la reputación. Para algunas organizaciones, como las del sector sanitario, la pérdida de acceso a los datos puede poner vidas en peligro.
La investigación de F5 Labs indica que las inundaciones SYN se encuentran cada año entre los tipos más habituales de ataques DoS volumétricos. Pueden utilizarse junto con otros tipos de ataques o como cortina de humo para ocultarlos, incluidos los ataques de ransomware o los intentos de robar datos o instalar malware.
¿Cómo funciona una inundación SYN?
Toda comunicación entre cliente y servidor comienza con un protocolo de enlace de tres pasos estandarizado. El cliente envía un paquete SYN, el servidor responde con un SYN-ACK y se establece la conexión TCP. En un ataque de inundación SYN, el cliente envía una cantidad abrumadora de solicitudes SYN y, de forma intencionada, nunca responde a los mensajes SYN-ACK del servidor.
Esto deja al servidor con conexiones abiertas a la espera de nuevas comunicaciones del cliente. Cada una de ellas queda registrada en la tabla de conexiones TCP del servidor, que acaba llenándose e impidiendo nuevos intentos de conexión desde cualquier origen. Como consecuencia, se interrumpe la continuidad del negocio y se pierde el acceso a los datos.
Los ataques de inundación SYN suelen ser llevados a cabo por bots que se conectan desde direcciones IP falsificadas para dificultar la identificación y mitigación del ataque. Las redes de bots pueden lanzar inundaciones SYN como ataques distribuidos de denegación de servicio (DDoS).
¿Cómo mitiga F5 los ataques de inundación SYN?
F5 soluciones de protección contra DDoS ayudan a garantizar que los ataques contra la red no inutilicen —o, peor aún, bloqueen— las capas de servidores y aplicaciones, impidiendo el acceso de sus clientes. Nuestras soluciones pueden detectar que se está produciendo un ataque de inundación SYN y adoptar medidas defensivas para mitigarlo, protegiendo la tabla de conexiones y permitiendo al mismo tiempo que las conexiones legítimas accedan a la red protegida. Con este tipo de defensa, las solicitudes SYN del atacante reciben respuesta, por lo que este cree que el ataque está funcionando, pero la tabla de conexiones nunca alcanza su capacidad máxima, ya que solo las solicitudes de conexión válidas conservan espacios en ella.