Protección de la infraestructura de torres contra ataques DDoS

Por qué las torres de los WISP son objetivos atractivos

Los atacantes no necesitan tener algo en contra suyo. Las torres son atacadas por razones estructurales que aplican a casi todos los operadores de acceso inalámbrico fijo:

• Impacto concentrado aguas abajo. Un solo enlace de backhaul congestionado o un router saturado afecta a todos los suscriptores de la torre, de modo que un ataque modesto produce un daño visible desproporcionado.
• Margen de capacidad limitado. Muchas torres operan con circuitos de backhaul dimensionados para los picos normales, no para tráfico de ataque. Una inundación volumétrica que un gran ISP absorbería sin problema puede llenar por completo un circuito de torre de 1 Gbps.
• Tablas de enrutamiento pequeñas y planos de control modestos. Los routers de torre suelen ser equipos de gama media o genéricos cuyas CPU están dimensionadas para el reenvío de paquetes, no para absorber ataques de protocolo.
• Impacto colateral. Las disputas entre jugadores en línea, los intentos de extorsión y las botnets de dispositivos comprometidos con frecuencia apuntan a usuarios finales individuales. Su suscriptor es el objetivo; su torre es la víctima.
• Sitios remotos y sin personal. No hay nadie junto al equipo para detectar un problema a tiempo, por lo que los ataques se prolongan más antes de que alguien reaccione.

La conclusión práctica: asuma que los ataques van a ocurrir y diseñe la red de modo que los más comunes resulten aburridos en lugar de catastróficos.

Cómo se ven realmente los ataques en una torre

DDoS es una familia de técnicas, no un solo ataque. Las tres categorías siguientes afectan la infraestructura de torre de maneras distintas, y cada una requiere una respuesta diferente.

Ataques volumétricos

El atacante simplemente envía más tráfico del que un enlace puede transportar: inundaciones UDP, amplificación por DNS o NTP y técnicas similares que aprovechan reflectores para multiplicar el volumen de tráfico. El cuello de botella es ancho de banda puro: su circuito de backhaul o la entrega que le hace su proveedor upstream. El filtrado en el sitio no puede arreglar una tubería llena; el tráfico debe detenerse antes del cuello de botella.

Ataques de protocolo y de agotamiento de estado

Las inundaciones TCP SYN y los ataques a la tabla de conexiones consumen estado en routers y firewalls en lugar de ancho de banda. Un router de torre que reenvía sin problema su carga normal puede colapsar al intentar rastrear millones de conexiones semiabiertas. Estos ataques pueden ser pequeños en Mbps y, aun así, letales para un plano de control con poca potencia.

Ataques de capa de aplicación

Dirigidos a los servicios que usted hospeda: un portal de clientes, resolvedores DNS, infraestructura de voz o interfaces de administración que nunca debieron ser accesibles en primer lugar. Suelen ser los ataques de menor volumen y los más prevenibles: la mayoría desaparece por completo cuando las interfaces de administración y de servicio están correctamente aisladas, como se describe en cómo proteger los routers en sitios de torre sin personal.

Conozca sus cuellos de botella antes que el atacante

Toda torre tiene una lista corta de recursos que un atacante puede agotar. Identifíquelos ahora:

• Capacidad de backhaul. El circuito entre la torre y su punto de agregación. Si este se llena, nada de lo que esté en el sitio importa.
• CPU del plano de control del router. Las actualizaciones de enrutamiento, el seguimiento de conexiones y el tráfico de administración compiten por el mismo procesador.
• Capacidad de radio y de sector. Los sectores de acceso inalámbrico fijo tienen tiempo aire finito; las inundaciones hacia los suscriptores lo consumen incluso cuando el backhaul tiene margen.
• Tablas de estado. Las tablas de sesiones de NAT y firewall tienen límites estrictos, y llenarlas rompe las sesiones legítimas sin distinción.

Dimensionar el backhaul con margen para ataques es una decisión de planificación de capacidad tanto como de seguridad. La calculadora de capacidad de backhaul le ayuda a modelar los picos de suscriptores; la tolerancia a DDoS es el argumento para no operar los circuitos al límite de esa cifra durante la operación normal.

Protecciones básicas que usted controla en la torre

Ninguna de estas medidas detiene por sí sola un gran ataque volumétrico, pero elevan el piso, reducen su exposición y mantienen pequeños a los ataques pequeños. La mayoría son trabajos de configuración que ya puede realizar con el hardware que tiene.

• Bloquee el plano de administración. Las interfaces de administración deben ser accesibles únicamente desde una VRF/VLAN de administración dedicada o una ruta fuera de banda, nunca desde el espacio de suscriptores ni desde el Internet público. Esto elimina de raíz la superficie de ataque de capa de aplicación más común.
• Protección del plano de control (CoPP). Limite la velocidad del tráfico destinado al propio router —BGP, SNMP, ICMP, SSH— de modo que los ataques de protocolo no puedan dejar sin CPU al equipo que mantiene el reenvío activo.
• Filtrado de entrada y salida. Descarte el tráfico evidentemente inválido: bogons, direcciones de origen falsificadas de sus propios bloques que llegan desde el exterior (uRPF cuando sea factible) y tráfico saliente con orígenes que no le pertenecen. El filtrado de salida también evita que CPE comprometidos en su red participen en ataques contra terceros.
• Limite la velocidad de servicios riesgosos. Restrinja ICMP, UDP hacia puertos inusuales y las tasas de conexión por suscriptor en el router de la torre, de modo que ningún cliente pueda monopolizar las tablas de estado ni el tiempo aire.
• Proteja sus resolvedores DNS. Opere resolvedores recursivos solo para sus suscriptores, nunca abiertos al mundo. Los resolvedores abiertos en su espacio de direcciones lo convierten en fuente de amplificación y en objetivo.
• Prepare ACL de emergencia con anticipación. Mantenga plantillas de filtros probadas y documentadas, listas para implementarse en minutos; ponerse a escribir sintaxis de ACL en medio de un incidente es la forma en que las interrupciones se alargan.

La línea base de endurecimiento más amplia —credenciales, VLAN, acceso fuera de banda, seguridad física— está en la lista de verificación de ciberseguridad para torres y en la descripción de la solución de seguridad para torres.

Mitigación upstream: donde realmente mueren los ataques volumétricos

Cuando la tubería está llena, solo alguien aguas arriba de la tubería puede ayudar. Esto convierte su relación con los proveedores de tránsito y backhaul en un control de seguridad, y debe evaluarse como tal al momento de comprar.

Remote-Triggered Black Hole (RTBH)

La herramienta efectiva más rudimentaria: usted anuncia el prefijo de destino atacado a su proveedor con una comunidad de blackhole (agujero negro), y este descarta todo el tráfico hacia ese prefijo en su borde. La dirección atacada queda fuera de línea, pero el resto de su red sigue funcionando. Requiere un proveedor que admita comunidades de blackhole y —de su parte— BGP, que es uno de los argumentos de requisitos de ASN y BGP para WISP en crecimiento.

Servicios de scrubbing (limpieza de tráfico)

Un proveedor de scrubbing recibe su tráfico (redirigido mediante BGP o GRE durante un ataque), descarta los flujos maliciosos y reenvía el resto limpio. Es más quirúrgico que el blackhole, a un costo mayor y con algo de latencia adicional mientras la desviación está activa. Evalúe a los proveedores por su capacidad de limpieza, el tiempo de mitigación y si la activación es automática o requiere una llamada telefónica a las 2 a. m.

DIA y tránsito con protección integrada

Algunos productos de Internet dedicado y tránsito IP incluyen mitigación DDoS siempre activa o bajo demanda. Pregunte específicamente qué está incluido, a partir de qué volumen de ataque se activa y si la mitigación es automática: «haremos lo posible» no es un SLA de mitigación. SmashByte busca y compara estas opciones entre proveedores cuando usted solicita precios para redes WISP.

Arquitectura: hacer que los ataques sean costosos en lugar de fatales

Las decisiones de diseño tomadas mucho antes de cualquier ataque determinan cuánto daño puede causar uno.

• Margen en el backhaul. Operar los circuitos cerca de la saturación durante los picos normales significa que una pequeña inundación se convierte en interrupción. El margen compra tiempo para que la mitigación se active.
• Rutas diversas. El backhaul redundante por rutas físicamente diversas le da adónde mover el tráfico y una forma de mantener vivo el acceso de administración mientras una ruta primaria está siendo limpiada. La mecánica del failover se cubre en failover de rutas entre dos proveedores.
• Agregación aguas arriba de las torres. Filtrar en uno o dos routers de agregación protege muchas torres a la vez y le permite contar con hardware más grande y capaz en el punto donde llegan las inundaciones.
• Segmentación por torre. La separación enrutable entre torres confina el radio de impacto: un ataque a los suscriptores de un sitio no debe degradar los de otro.
• Descargue lo que pueda. El DNS de cara al cliente, los portales y los servicios de voz hospedados detrás de infraestructura de absorción tipo anycast o CDN son mucho más difíciles de derribar que los mismos servicios en un solo servidor detrás de un solo circuito.

Detección y respuesta: el manual de procedimientos importa más que la herramienta

La mayoría de las interrupciones de torre por DDoS se prolongan no por el ataque, sino por una respuesta lenta e improvisada. Una configuración mínima funcional:

• Visibilidad de flujos. NetFlow, sFlow o IPFIX exportados desde los routers de agregación y de torre hacia un colector, de modo que pueda responder «qué tráfico, hacia quién, desde dónde» en minutos en lugar de adivinar.
• Alertas sobre las señales correctas. Utilización de interfaces, CPU, uso de la tabla de conexiones y anomalías de tráfico por prefijo, ajustadas para que las alertas sean lo bastante raras como para ser creíbles.
• Una ruta de escalación por escrito. Quién tiene autoridad para enviar un prefijo a blackhole, el contacto del NOC del proveedor y sus identificadores de cuenta, el procedimiento de activación del scrubbing y una plantilla de comunicación para suscriptores.
• Revisión posterior al incidente. Cada ataque que causó dolor recibe un breve informe: qué se saturó, cuánto tardó la detección y una corrección concreta. Los incidentes repetidos deberían salir más baratos cada vez.

Si desea una evaluación objetiva de su postura actual, la calculadora de puntuación de seguridad es una autoevaluación rápida de los dominios que importan para un operador de red.

En resumen

La resiliencia ante DDoS para la infraestructura de torres es, en su mayor parte, poco glamurosa: planos de administración endurecidos, disciplina de filtrado, margen de capacidad, rutas diversas y un proveedor upstream cuyas capacidades de mitigación usted verificó antes de firmar. Los operadores que superan bien los ataques no utilizan equipos exóticos: hicieron lo básico con anticipación y dejaron la ruta de escalación por escrito.

Comience con la lista de verificación anterior, cierre las brechas que controla en el sitio y luego convierta la mitigación upstream en un criterio de compra para su próxima decisión de backhaul o tránsito. El equipo de SmashByte Wireless analiza exactamente estas compensaciones con los operadores al abastecer conectividad.