¿Qué es un ataque DDoS de Memcached?

En los últimos años, hemos observado una tendencia creciente en el número y la sofisticación de los ataques de denegación de servicio distribuido (DDoS). Una táctica que los atacantes utilizan para amplificar sus ataques es aprovechar las vulnerabilidades de los servidores Memcached. En este artículo, explicaremos cómo funciona el DDoS de Memcached, por qué es tan eficaz y qué puede hacer para defenderse de él.

Memcached es un sistema de almacenamiento en caché de bases de datos y memoria distribuida de código abierto de alto rendimiento. El valor clave se utiliza a menudo para acelerar los sitios web dinámicos y las aplicaciones web mediante el almacenamiento en caché de los datos a los que se accede con frecuencia en la memoria. Memcached es ampliamente utilizado por empresas como Facebook, Twitter y YouTube. Memcached también es compatible con UDP y es uno de los principales contribuidores al vector de ataque.

Un ataque de denegación de servicio distribuido (DDoS) es un tipo de ciberataque en el que un gran número de dispositivos comprometidos (denominados botnets) inundan un sitio web o servidor objetivo con tráfico. Los hackers utilizan simplemente un volumen de tráfico tal que desborda al objetivo, haciendo que sea inaccesible para los usuarios legítimos o para funciones como la autenticación.

Los ataques Memcached son un tipo de ataque de amplificación en los que un atacante envía una solicitud HTTP GET a un servidor Memcached vulnerable. Como respuesta, el servidor vulnerable envía paquetes UDP hacia el destino previsto con grandes factores de amplificación. Los expertos en ciberseguridad estiman que algunas amplificaciones de Memcached pueden alcanzar 51 000 veces la solicitud inicial de “GET”, solicitándole que devuelva una gran cantidad de datos UDP. La solicitud está diseñada para suplantar la dirección IP de origen, haciendo que parezca provenir de la dirección IP de la víctima. Cuando el servidor Memcached responde, envía los datos a la dirección IP de la víctima, amplificando el tráfico y sobrecargando su servidor.

Estos son los pasos de los que se compone un ataque DDoS de Memcached:

1. El atacante explora Internet en busca de servidores Memcached vulnerables.
2. El atacante envía una pequeña solicitud HTTP GET al servidor Memcached expuesto, solicitándole que devuelva una gran cantidad de cargas UDP Memcached de datos. La solicitud está diseñada para suplantar la dirección IP de origen, haciendo que parezca provenir de la dirección IP de la víctima.
3. El servidor Memcached responde a la solicitud enviando esa gran cantidad de datos a la dirección IP de la víctima.
4. El servidor de la víctima en los centros de datos se ve desbordado por el tráfico de ataques de reflexión maliciosos, haciéndolo inaccesible para los usuarios legítimos.

Un ataque DDoS de Memcached es eficaz porque puede amplificar la carga del tráfico de ataque hasta 50 000 veces. Esto significa que una pequeña solicitud puede provocar que se envíe una gran cantidad de tráfico al servidor o al centro de datos de la víctima. Además, los servidores Memcached están a menudo conectados a redes de alta velocidad, lo que significa que el tráfico se puede enviar muy rápidamente haciendo que sea más difícil defenderse. Otro motivo común es que el atacante no tiene que mantener su propia infraestructura para generar ataques DDoS. Los atacantes pueden aprovechar los recursos de Internet abiertos para la suplantación de IP, los ataques a puertos UDP y otros terminales objetivo. El mayor ataque DDoS registrado por Akamai incluyó más de 1 Tbps de tráfico de ataques procedentes del protocolo Memcached.

Estas son algunas de las opciones que puede utilizar para protegerse de un ataque DDoS de Memcached:

• Deshabilitar UDP: Los servidores Memcached utilizan de forma predeterminada el protocolo UDP que se puede suplantar fácilmente. Al deshabilitar UDP y permitir solo TCP, puede evitar que las solicitudes suplantadas lleguen a su servidor Memcached.
• Firewall: También puede utilizar un firewall para bloquear el tráfico entrante procedente de direcciones IP maliciosas conocidas a su servidor Memcached.
• Limitación de velocidad: Otra opción es implementar la limitación de velocidad del tráfico entrante para evitar picos de tráfico a su servidor Memcached.
• Actualizar Memcached: Asegúrese de que está ejecutando la última versión de Memcached que incluye parches de seguridad.
• Dirigido directamente con DDoS de Memcached: Aproveche las protecciones contra DDoS en la nube para este tipo de ataque. Dado el alto factor de amplificación y el número de servidores Memcached abiertos, implementar mitigaciones locales en el centro de datos puede provocar problemas de capacidad.

Los ataques DDoS de Memcached son una amenaza grave que se puede utilizar para bloquear sitios web y servidores. Los atacantes pueden aprovechar las vulnerabilidades de los servidores Memcached para amplificar sus ataques y desbordar a sus objetivos. Sin embargo, tomando medidas como deshabilitar UDP, implementar la limitación de velocidad y mantener actualizado su servidor Memcached puede protegerse de estos ataques. Es importante permanecer alerta y mantener sus defensas actualizadas para estar protegido en el constantemente cambiante mundo de los ciberataques.