Fases de un ciberataque y contramedidas: escalado, DoS y DDoS

Informática26 may 2025Actualizado el 7 nov 20264,89 KB

Resumen

El documento describe las fases de un ciberataque (investigación, penetración, persistencia y expansión) y cómo se escala un ataque una vez comprometido un sistema. Explica técnicas como la interceptación, los ataques de acceso, los ataques a routers y conmutadores, y los ataques de denegación de servicio (DoS y DDoS). Para cada caso se indican las contramedidas básicas, como el filtrado de paquetes, los IDS, el cifrado y la actualización de sistemas.

Puntos clave

Las fases de un ciberataque son investigación, penetración, persistencia y expansión, cada una con objetivos concretos para el atacante.
En la fase de persistencia el atacante deja puertas traseras y busca borrar logs de auditoría para no ser detectado.
La interceptación (eavesdropping) es muy difícil de detectar; el sniffing es uno de sus medios y se contrarresta con cifrado.
Los ataques DoS pueden explotar errores de aplicaciones, mensajes de control o usar flooding, siendo este último el más común.
Contra el flooding se recomienda el uso de IDS; contra errores de aplicaciones, actualizar sistemas; contra mensajes de control, filtros de paquetes.
Los ataques DDoS usan múltiples fuentes; el SMURF utiliza tramas ICMP con IP de origen falsificada hacia el broadcast de la red atacada.
Una contramedida frente a DDoS es configurar el router de borde para limitar la velocidad de paquetes ICMP y TCP SYN.

Seguridad y Monitorización en Ciberataques

Fases de un Ciberataque

Un ciberataque se desarrolla a través de diversas fases, cada una con objetivos específicos para el atacante:

Fase de Investigación
Recopilación de información sobre el objetivo:
- Información de la empresa objetivo.
- Información del dominio objetivo.
- Información de los servidores.
- Identificación de la plataforma.
- Identificación de servicios.
Fase de Penetración
Acceso inicial al sistema:
- Explotación de vulnerabilidades.
- Exploración de la debilidad de contraseñas.
- Búsqueda de servicios mal configurados.
Fase de Persistencia
Una vez que el atacante ha ingresado en el sistema, realiza actividades para no ser detectado y deja puertas traseras. Busca archivos de auditoría o logs del sistema para borrarlos.
Fase de Expansión
El objetivo final es utilizar varios saltos intermedios para no ser detectado. Esto genera que nuestro sistema sea víctima y atacante. Las contramedidas son el filtrado de paquetes, los IDS (Sistemas de Detección de Intrusiones) y el control periódico de los logs.
Logro del Objetivo del Atacante
El atacante busca:
- Desaparecer sin dejar rastro.
- Avisar al administrador que se ha ingresado.
- Comentar los fallos de seguridad.
- Hacer públicos los fallos.

El Escalado del Ataque

El escalado de un ataque implica la profundización y ampliación del control sobre la red o sistema comprometido:

Reconocimiento
Lo primero que realizará el atacante es un descubrimiento no autorizado de la red, sistemas, servicios y vulnerabilidades. Esto se realiza desde el único sistema comprometido. Disponen de herramientas para ello, como la detección de hosts alcanzables.
Interceptación o Eavesdropping
Es un proceso en el que un agente capta información que no le iba dirigida. Es muy difícil de detectar. Un medio de interceptación es el sniffing, y hay que tener en cuenta la imposibilidad de establecer límites en la red. Algunas medidas serían no permitir segmentos de red de fácil acceso y utilizar cifrado para comunicaciones o almacenamiento de información.
Ataque por Acceso
Consiste en que un atacante obtiene privilegios necesarios para acceder a dispositivos y recursos de la red. Los métodos incluyen:
- Explotación de contraseñas triviales.
- Servicios mal configurados.
- Fallas de aplicación.
- Ingeniería social.
Ejemplos comunes son:
- Man-in-the-middle.
- Relaciones de confianza.
- Manipulación de datos.
- IP spoofing.
- Auto router.
- Puertas traseras.
Ataques en Routers y Conmutadores
Estos ataques buscan comprometer la infraestructura de red:
- Sobrecarga de la tabla CAM.
- Acceso a diferentes VLAN.
- Utilización de STP (Spanning Tree Protocol).
- Falsificaciones MAC.
- Saturación de DHCP.

Ataques de Denegación de Servicio (DoS)

Los ataques DoS buscan inhabilitar un servicio o recurso, impidiendo su acceso a usuarios legítimos:

Tipos de Ataque DoS
Pueden ser causados por:
- Explotaciones de errores de aplicaciones.
- Mensajes de control.
- El más común: flooding.
- Ping de la muerte.
- SYN flood.
- Land attack.
- Teardrop.
Defensa contra Ataques DoS
Las contramedidas incluyen:
- Para explotaciones de errores de aplicaciones: Actualizar sistemas.
- Para mensajes de control: Filtros de paquetes apropiados.
- Para flooding: IDS (Sistemas de Detección de Intrusiones).

Ataque y Defensa DDoS (Denegación de Servicio Distribuida)

Los ataques DDoS son una forma más potente de DoS, utilizando múltiples fuentes para saturar el objetivo:

Tipos de Ataque DDoS
- SMURF: Transmite una trama ICMP correspondiente a un ping, que lleva como dirección de origen la IP de la víctima y como destino el broadcast de la red atacada.
- TFN (Tribe Flood Network): Un usuario malicioso obtiene acceso privilegiado a múltiples hosts e instala un SYN flood.
Defensa contra Ataques DDoS
Las defensas son complejas y desafiantes. Deben restringirse las conexiones moderadamente. Otra contramedida es configurar el router de borde para que ajuste la velocidad de determinados paquetes (ICMP y TCP SYN).

Descargar

Preguntas frecuentes

¿Cuáles son las fases de un ciberataque?

Según el documento, un ciberataque se desarrolla en fases de investigación, penetración, persistencia y expansión. Tras ellas, el atacante busca desaparecer sin dejar rastro, avisar al administrador o hacer públicos los fallos.

¿Qué es un ataque SMURF?

Es un ataque DDoS en el que se transmite una trama ICMP tipo ping con la IP de la víctima como origen y el broadcast de la red atacada como destino. Así se genera una respuesta masiva hacia la víctima.

¿Cómo se defiende una red frente a ataques DoS por flooding?

El documento indica que la contramedida para el flooding es el uso de IDS (Sistemas de Detección de Intrusiones). Para otros tipos de DoS se recomiendan filtros de paquetes y actualizar sistemas.