Protection – Respuesta de emergencia ante DDoS

En este artículo aprenderá:

• Cómo diagnosticar un ataque DDoS
• Cómo bloquear un ataque de emergencia mediante:
  • GeoIP
  • Filtros
  • Web Application Firewall (WAF)
• Preguntas frecuentes

---

Diagnóstico de DDoS

Los ataques DDoS son un tipo habitual de ciberataque que intenta saturar un sitio web o una aplicación con un gran volumen de solicitudes. Estas solicitudes suelen originarse en distintas regiones, pero también pueden proceder de una sola dirección IP, rango o proveedor. Algunas pueden compartir un mismo UserAgent, lo que permite filtrarlas eficazmente.

El primer paso para responder adecuadamente a un ataque DDoS en curso es averiguar quiénes son los atacantes y bloquearlos, sin limitar el tráfico legítimo a su sitio. La mejor herramienta para analizar el tráfico es la interfaz de Grafana, que puede configurar según el Protection – Grafana manual.

Si sospecha que su sitio web o aplicación está siendo atacado, siga estos pasos:

1. Inicie sesión en su interfaz de Grafana ⧉.
2. En el Host de la petición en el filtro de la parte superior izquierda, seleccione el dominio que está siendo atacado. Si es necesario, cambie también el Rango temporal en la parte superior derecha a 5 minutos.
3. Busque en los registros comportamientos sospechosos.
4. Determine el mejor método de bloqueo según los consejos siguientes.

No existe una única forma correcta de analizar los registros, pero como consejo general conviene comprobar:

• Anomalías. La tabla Anomalies enumera las solicitudes con códigos de error. Entre ellas están las solicitudes bloqueadas (456), que el sistema ya bloquea activamente. No es necesario que actúe contra ellas.
• Peticiones desde países. Si en esta lista aparece un gran número de peticiones procedentes de países inusuales, utilice GeoIP para bloquear esos países hasta que remita el ataque.
• TOP10 de IP de clientes. Aunque no es habitual en los ataques DDoS, es posible que encuentre un número anormalmente alto de solicitudes procedentes de unas pocas IP. Puede bloquearlas mediante Filtros.
• TOP10 de UserAgents y Informe ASN. En algunas circunstancias, los atacantes pueden compartir un mismo UserAgent o un mismo ASN. Puede fácilmente filtro estos.

Si no consigue localizar y filtrar el origen del ataque, bloquéelo mediante WAF.

Cuando los ataques DDoS no consiguen tumbar un sistema, normalmente cesan en pocos minutos. Siga vigilando la situación y, cuando ya no detecte tráfico malicioso, intente desactivar de nuevo las medidas de emergencia.

---

Bloqueo de emergencia

Si los filtros automáticos tardan demasiado en frenar un ataque DDoS (u otro similar) contra su sitio web o aplicación, recomendamos configurar:

• GeoIP funciona mejor para aislar rápidamente el tráfico de su país o continente, o bloquear el tráfico de regiones atacantes.
• Filtros bloquear IP, ASN o UserAgents concretos.
• Web Application Firewall (WAF) es capaz de filtrar el tráfico con reglas más estrictas y un nivel de paranoia superior.

Bloqueo GeoIP

Para configurar GeoIP, siga estos pasos:

1. Inicie sesión en Panel de administración de WEDOS.global ⧉.
2. Seleccione el dominio atacado.
3. En el menú izquierdo, seleccione GeoIP.
4. Enable GeoIP personalizado.
5. Configure GeoIP según sus necesidades (véase más abajo) y guarde.

Normalmente usará el bloqueo GeoIP para:

• Poner el sitio web o la aplicación a disposición únicamente de los usuarios de una zona concreta siguiendo estos pasos:
  1. En el Ajustes de acceso sección, seleccione el Allow Access y guarde.
  2. Seleccione la región o regiones de destino disponibles en el Mapa GeoIP. El tráfico procedente de las regiones no seleccionadas (azules) se bloqueará.
  3. En el Lista de regiones seleccionadas, haga clic en el Save Selected Regions botón.
• Bloquear el tráfico de países con una cantidad o proporción alta de solicitudes problemáticas no bloqueadas siguiendo estos pasos:
  1. En el Ajustes de acceso sección, seleccione el Block Access y guarde.
  2. Seleccione la región o regiones de destino disponibles en el Mapa GeoIP. El tráfico procedente de las regiones no seleccionadas (azules) se permitirá.
  3. En el Lista de regiones seleccionadas, haga clic en el Save Selected Regions botón.

Filtrado de tráfico

Los filtros de tráfico disponibles son:

• IP. Bloquea todas las solicitudes procedentes de una dirección IP o rango indicados.
• ASN. Bloquea todas las solicitudes procedentes de un ASN determinado (Autonomous System Number, que suele identificar a un proveedor de servicios de Internet).
• URL. Bloquea todo el tráfico a una URL determinada, independientemente del origen. Úselo si el ataque se dirige a un recurso concreto.
• UserAgent. Bloquea el tráfico según las cadenas de UserAgent.

Para configurar filtros de IP, ASN, URL o UserAgent, siga estos pasos:

1. Inicie sesión en Panel de administración de WEDOS.global ⧉.
2. Seleccione el dominio atacado.
3. En el menú izquierdo, seleccione Filtros.
4. Active cualquier Filtro personalizado que quiere usar.
5. Añada las IP, los ASN y los UserAgents problemáticos.

Filtrado del WAF

Si no hay un indicio claro sobre el origen o el destino del tráfico malicioso, le recomendamos aumentar el nivel de paranoia del WAF mientras dure el ataque.

Para cambiar el nivel de paranoia del WAF, siga estos pasos:

1. Inicie sesión en Panel de administración de WEDOS.global ⧉.
2. Seleccione el dominio atacado.
3. En el menú izquierdo, seleccione WAF.
4. Enable WAF personalizado.
5. En el Nivel de paranoia sección, seleccione Nivel 2.

---

FAQ