Mi experiencia con los ataques DoS y DDoS se basa en ser un ingeniero de Cisco para un ISP y luego como un Security Manager para un Global muy grande. Basándome en esta experiencia, he descubierto que para tratar con ataques a gran escala y complejos se requiere una buena asociación entre la organización atacada y su ISP o socio de mitigación DDoS (Sí, ahora hay empresas dedicadas a esto, en esencia, son muy Los ISP grandes por derecho propio, pero utilizan su red global para asumir el tráfico adicional generado durante un ataque).
A continuación, se incluyen algunas consideraciones si enfrenta un ataque que está fuera de su tolerancia de ancho de banda (también conocido como consumo de ancho de banda) y necesita ayuda para responder.
Donde no existe un socio de mitigación:
Establecer una relación fuerte con su ISP. Identifique los equipos y contactos adecuados que necesitará si hay un ataque.
Use su firewall (u otro dispositivo de registro) para obtener evidencia del ataque (IP de origen, protocolo, longitud del paquete, etc.) ya que esta información puede ser muy valiosa para el ISP a la hora de decidir cómo responder. ¡No es divertido intentar atrapar tráfico en un dispositivo de enrutamiento de Cisco desde la línea de comandos a las tres de la mañana! Asi que se agradece cualquier ayuda. :-)
Con esto, su enfoque probable será filtrar el tráfico dentro de la nube del ISP. Si ha podido proporcionar suficiente información y el tráfico es tal, entonces el ISP puede filtrar el tráfico malicioso y dejar libre el tráfico válido de la red para acceder a su red. Sin embargo, si está causando problemas de latencia para el ISP, es probable que se conviertan en un agujero en toda su ruta en su puerta de enlace BGP y desaparecerá de la red. Los filtros de enrutamiento adicionales causan una carga en las puertas de enlace, así que no espere que su ISP agregue múltiples filtros ya que esto puede afectar a sus otros usuarios.
Utilizando un socio de mitigación:
Solo puedo hablar de la experiencia de un proveedor para esto, por lo que tendrá que hacer su tarea para decidir si lo necesita y, de ser así, quién estaría en mejores condiciones de proporcionar.
El servicio se basó en la publicidad de rutas y el monitoreo de ataques de BGP. Una vez que se identificó un ataque, el socio de mitigación anuncia su ruta para pasar a través de su red, donde los enrutadores centrales se utilizan para filtrar el tráfico malicioso antes de pasar a la organización.
Mi rol en todo esto fue probar la implementación de un enfoque asociado para la mitigación DDoS. Esto implicó utilizar un equipo global de ingenieros de seguridad para generar suficiente tráfico para realizar una prueba válida. Estábamos probando tanto la capacidad de identificar un ataque como para responder con eficacia. Sobre esta base, quedamos muy impresionados con su enfoque general y la solución funcionó.