Le preguntamos a Gemini, la inteligencia artificial de Google, cuáles son los ejemplos de filtros específicos para detectar ataques de denegación de servicio (DoS)
Filtros Específicos para Detectar y Mitigar Ataques de Denegación de Servicio (DoS) La detección y mitigación temprana de ataques de Denegación de Servicio (DoS) o denegación de servicio distribuida (DDoS) requiere el uso de herramientas capaces de aislar patrones anómalos en el tráfico de red.A continuación, veremos ejemplos detallados utilizando tcpdump (para la captura e identificación en vivo) y reglas de iptables (para la mitigación directa en sistemas Linux).
1. Detección de Ataques SYN Flood (TCP SYN)
Un ataque SYN Flood busca saturar la tabla de conexiones del servidor enviando miles de solicitudes de apertura de conexión (SYN) sin completar jamás el protocolo de enlace de tres vías (ACK).
Identificación con tcpdump:
Para capturar únicamente paquetes TCP que tengan la bandera SYN activa (y no los paquetes ACK o RST), se utiliza una máscara de bits en el encabezado TCP:
Bash
tcpdump -nnvi eth0 'tcp[tcpflags] & (tcp-syn) != 0 and tcp[tcpflags] & (tcp-ack) == 0'
Qué buscar: Si ves miles de paquetes por segundo desde IPs aleatorias o repetitivas hacia el puerto 80/443 sin que aparezca la respuesta del cliente, estás ante un SYN Flood.
Mitigación con iptables (Protección SYN Proxy / Rate Limit):
Puedes limitar la tasa de nuevas conexiones aceptadas por segundo para evitar que el servidor colapse:
Bash
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP
2. Detección de Ataques UDP Flood
Los ataques UDP Flood inundan puertos aleatorios o específicos del servidor con paquetes UDP masivos, obligando al sistema a responder con un paquete ICMP Port Unreachable para cada uno, saturando el ancho de banda y la CPU.
Identificación con tcpdump:
Para capturar un volumen anómalo de tráfico UDP dirigido a un servicio o puerto específico (por ejemplo, DNS en el puerto 53):
Bash
tcpdump -nnvi eth0 'udp and port 53'
Si quieres ver qué IPs están generando más tráfico UDP de forma agresiva:
Bash
tcpdump -nnq -c 1000 -i eth0 udp | awk '{print $3}' | cut -d. -f1-4 | sort | uniq -c | sort -nr
Mitigación con iptables (Limitación de ráfagas UDP):
Puedes aplicar una regla para descartar paquetes UDP que superen un umbral determinado por segundo:
Bash
iptables -A INPUT -p udp -m limit --limit 50/s --limit-burst 100 -j ACCEPT
iptables -A INPUT -p udp -j DROP
3. Detección de Ataques ICMP Flood (Ping Flood)
Consiste en saturar la red con solicitudes de eco ICMP (ping), consumiendo todo el ancho de banda disponible del enlace de bajada/subida.
Identificación con tcpdump:
Para capturar y contar paquetes ICMP entrantes en tiempo real:
Bash
tcpdump -nnvi eth0 'icmp[icmptype] == icmp-echo'
Mitigación con iptables (Anti-Ping Flood):
Limitar la tasa de respuesta a pings externos protege el recurso de red:
Bash
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 2/s --limit-burst 5 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
4. Detección de HTTP GET/POST Flood (Capa 7 DoS)
Este tipo de ataques simulan usuarios legítimos solicitando páginas web pesadas o ejecutando scripts repetitivos para agotar los procesos del servidor web (como Apache o Nginx).
Identificación con tcpdump:
Dado que el tráfico HTTP va en texto plano (puerto 80), puedes buscar cadenas específicas como métodos GET masivos:
Bash
tcpdump -nnvi eth0 -A 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2 -="" tcp="" xf0="">>2)) != 0)' | grep -i "GET /"
Mitigación con iptables (Protección de conexiones concurrentes por IP):
Puedes usar el módulo connlimit de iptables para evitar que una sola dirección IP abra demasiadas conexiones simultáneas al servidor web:
Bash
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 --connlimit-mask 32 -j REJECT
(Esta regla rechaza a cualquier IP individual que intente mantener más de 20 conexiones concurrentes abiertas al puerto 80).
Resumen de Buenas Prácticas de Mitigación
Uso de Rate Limiting: Nunca bloquees el tráfico por completo si es legítimo; en su lugar, utiliza los módulos de -m limit para estrangular el tráfico malicioso.
Inspección de Logs: Combina tcpdump con herramientas de análisis de registros para identificar si el ataque proviene de botnets distribuidas (DDoS) o de IPs fijas específicas (lo que facilitaría un bloqueo estático mediante iptables -A INPUT -s IP_ATACANTE -j DROP).
¿Te gustaría profundizar en cómo automatizar estas alertas utilizando scripts o en cómo configurar mecanismos de mitigación a nivel de hardware/routing con BPF avanzado (eBPF)?
