Protección contra DDoS, lectura de métricas

Los ataques de denegación de servicio se agrupan por la capa que saturan. Los volumétricos y de protocolo llenan el ancho de banda o los recursos de conexión de la red: millones de paquetes por minuto, la mayoría sin completar ninguna conexión útil. Los de aplicación envían peticiones HTTP aparentemente normales en cantidad para agotar el servidor; en las métricas se ven como solicitudes por minuto disparadas y errores de servidor crecientes.

Las métricas permiten distinguir una clase de otra: si los paquetes se disparan y las solicitudes HTTP se mantienen, lo que se está saturando es la red y no la aplicación. La protección de red del proveedor, que descarta paquetes antes de que lleguen a la aplicación, es el control que actúa ahí.

Abre metricas-por-minuto.csv y compara las columnas.

El pico de un episodio dice cuánto se aguantó y a qué hora hay que mirar los demás registros. Se lee la métrica de paquetes entrantes y se busca su valor mayor. La hora está en la primera columna, en UTC y con minuto.

Con dieciocho filas se encuentra a la vista; con un mes de datos se ordena la columna con sort.

La duración del episodio es un dato que hace falta para el informe y para el contrato del proveedor. Aquí hay una columna que marca con un 1 cada minuto en que la protección consideró que había ataque. La duración, en minutos, es la cantidad de filas marcadas, siempre que la serie no tenga huecos.

Una cuenta rápida con grep sobre la última columna basta, y comprobar que las filas marcadas son seguidas evita contar dos episodios como uno.

Una alarma sirve si su umbral queda por debajo de lo que de verdad ocurre en un incidente y por encima del ruido normal de un día. Un umbral puesto «por si acaso» muy alto es peor que no tener alarma, porque da una sensación de cobertura que no existe. Comparar el umbral con el máximo de su métrica en un episodio real es la prueba más rápida.

Hay dos alarmas sobre la entrada de red. Compara el umbral de cada una con el máximo de su métrica.

Un ataque que la protección absorbió no deja mucho que arreglar en la red, pero sí en la organización. La configuración muestra que la protección contratada es la estándar y que no hay un plan de respuesta escrito: nadie sabe a quién llamar, quién decide escalar con el proveedor ni cómo se comunica a los clientes. En un episodio más largo o más fuerte eso es lo que cuesta horas.

Las medidas de primer orden son ajustar las alarmas a la realidad, escribir el plan de quién hace qué, y comprobar que el origen solo acepta tráfico del CDN para que absorber en el borde sirva de algo.