Desvío por agujero negro y sus costos

El descarte por agujero negro (en inglés, remotely triggered black hole) se pide al proveedor con un anuncio BGP de la dirección atacada marcado con una comunidad de descarte. El RFC 7999 define para esto una comunidad conocida, con un valor fijo para todos los proveedores, y aclara algo que se olvida: el proveedor solo la respeta si su operador lo configuró; no hay efecto automático. Por eso se confirma antes, por escrito, que el proveedor la acepta y con qué condiciones.

Consulta anuncios_de_descarte.

Un descarte puede aplicarse a una dirección sola (un prefijo de longitud 32) o a un bloque entero. Cuanto más amplio, más servicios arrastra. La regla del oficio es descartar lo más estrecho que contenga el objetivo. Aquí el equipo envió dos anuncios en el mismo minuto, y uno se retiró dos minutos después.

Cruza anuncios_de_descarte con ataque_en_curso.

Durante los dos minutos del anuncio amplio, todas las direcciones del bloque quedaron sin tráfico, no solo la atacada. Para medir el daño colateral se mira qué servicios viven dentro del prefijo y cuáles venden. Los que no venden (correo, VPN) también importan, pero su costo es operativo y no se mide en ventas por hora.

Consulta servicios_por_direccion.

El descarte de una sola dirección protege el enlace y deja sin servicio justo lo que el atacante buscaba. Es un trueque con precio: las ventas por hora de lo que vive en esa dirección, multiplicadas por las horas que dura el anuncio. Las horas salen de la hora en que se anunció y la hora en que se retiró.

El descarte no es un filtro: no separa el tráfico bueno del malo. Descarta todo hacia esa dirección. Se justifica cuando el volumen supera el enlace y el resto de la empresa se está hundiendo con él, y se compara siempre con una alternativa como la limpieza aguas arriba, que sí intenta dejar pasar a los clientes.