background nube 28KB

 

El objetivo de este artículo es exclusivamente mostrar cómo se comporta un sitio web desarrollado por Nube51 bajo un Ataque de Fuerza Bruta; no se trata de estimular la práctica del “hacking”, razón por la cual no se dará detalles sobre nombres de software o sobre su accesibilidad.

270 MIL ATAQUES POR DÍA!

En un artículo publicado en thenextweb.com se resumían los reportes de otros sitios web como Melbourne Server Hosting, Immotion Hosting, HostGator y Sucuri que nacieron del incremento sin precedentes de ataques masivos contra sitios web que se dio lugar durante los primeros meses del 2013. Emil Protalinski, dice:

“En otras palabras, Sucuri ha estado viendo 30 a 40 mil ataques por día en los últimos meses, pero en este mes, ese número se ha incrementado a 77 mil por día en promedio. En los últimos días (Abril/2013), la firma dice que esta cantidad ha alcanzado más de 100.000 por día, lo que significa que el número de atentados con Fuerza Bruta se ha más que triplicado.”(1)

Daniel Cid, de Sucuri.net, afirma en su blog lo siguiente:

“En contra de un sitio web, vinos 11.329 atentados durante el curso de unas pocas horas, que venían de 1.737 diferentes direcciones IP. Cada dirección IP trató de ingresar una o dos veces. Después de una pocas horas, el intento se repitió nuevamente, haciendo de este tipo de ataque muy difícil de detener y bloquear.” Más allá agrega: “Sin embargo, en los últimos tres días, usted puede ver un gran incremento, alcanzando 269.976 scaneos ayer, 2 de septiembre de 2013.”.(2)

LA FUERZA BRUTA:

Ataque de Fuerza Bruta (Brute Force Attack) es el nombre que se le da a una clase de ataque que desafortunadamente es muy común entre hackers. Para distinguirlo del sistema manual, su nombre se debe al uso de software creado específicamente para atacar sitios web. Este software está diseñado para descubrir claves de entrada al control de un sitio web mediante todas las permutaciones y combinaciones posibles hasta encontrar aquella que permite el acceso. Por supuesto, gracias al poder de los procesadores esta tarea no solo es posible sino que se la realiza en muy corto tiempo. La misma tarea llevada a cabo manualmente tomaría una vida entera. Como se comprenderá, las habilidades informáticas del hacker no necesitan ser extensas, reduciéndose éstas al manejo adecuado del software de ataque. Una vez que alguien se familiariza con él, encuentra que su uso es muy sencillo. El software es lo suficientemente sofisticado que su interface ofrece varias opciones por cada método de cuantos tiene disponibles para atacar. Como si esto no representara suficiente ventaja para hacer del “Ataque de Fuerza Bruta” el método preferido por los hackers profesionales y aficionados, la facilidad de su adquisición lo vuelve una elección indiscutible entre ellos. Si bien el precio de la versión “Pro” (profesional) de dicho software es de alrededor de $300, la versión gratuita es suficiente para perpetrar los ataques.

De manera resumida, el hacker necesita un servidor detrás del cual pueda esconderse pretendiendo un IP (número asociado con cada computadora conectada al internet) diferente cada vez que ataca y un diccionario electrónico entre los muchos que hay disponibles sin costo alguno. Contraseñas que sólo utilicen números serán más fáciles de descifrar que aquellas que incluyen otros caracteres como letras o nombres. Es por eso que el software utiliza un diccionario como fuente de posibles nombres para asociarlas a los números que va descifrando. La asistencia de un diccionario está basada en que muchos usuarios suelen utilizar una palabra existente en su lengua como contraseña para que la clave sea fácil de recordar. La longitud de la clave también constituye un factor de dificultad para el software de ataque: su relación es logarítmica, es decir mientras más larga, mucho más difícil el descifrarla. Pero decir difícil no significa imposible y eventualmente, en muy pocos minutos, el software encontrará la combinación de números y letras que busca. Recuérdese que una computadora actual puede realizar millones de procesos por segundo.

LA RESPUESTA DE NUBE51

Nube51, tiene varios niveles de seguridad para ofrecer a su clientela: Defcon1, Defcon2 y Defcon3. El grado de sofisticación aumenta conforme crece el nivel. De manera predeterminada, todo sitio web construido por Nube51 lleva un nivel de protección defcon1. Debido a nuestro paradigma de calidad, entregamos un producto final que- sin ningún costo adicional- es capaz de sobrevivir un Ataque de Fuerza Bruta. El siguiente ejemplo, tomado de la vida real, ilustra la respuesta de nuestros sitios web. En septiembre, 17 de 2013, el administrador de un sitio web desarrollado por Nube51 recibió los siguientes emails de alerta:

Tres oleadas de Ataques de Fuerza Bruta, separados por 3 minutos a partir de la 11:23 pm. En tres minutos, el software utilizado en el ataque usó 61 diferentes direcciones IP, es decir pretendió ser 61 diferentes computadoras. Cada supuesta computadora, efectuó tres ataques. En total, en seis minutos se efectuaron 402 ataques infructuosos. Después de la tercera oleada, el hacker controlando el software aceptó la imposibilidad de romper la seguridad de nuestro sitio web y desistió de ataques adicionales. No hubo más emails hasta las 3:52 am.

El éxito de la defensa se debió exclusivamente al nivel básico del sitio web, es decir, Defcon1. No está demás el recalcar que al recibir un sitio web desarrollado por Nube 51, usted estará protegido contra el Ataque de Fuerza Bruta, sin costo adicional. Este es un valor agregado de suma importancia que debe tomar en cuenta al decidir qué firma va a construir el sitio web de su empresa.

Si desea saber más sobre Fuerza Bruta y otras formas de ataque, puede mirar el excelente video de la Dra. Susan Loveland del Adams State College y cuyo título es “How to hack a website”

Bibliografía:
(1) Check your security settings: Brute force attacks against WordPress and Joomla sites have tripled  http://thenextweb.com/insider/2013/04/12/wordpress-and-joomla-sites-see-massive-increase-in-brute-force-attacks/
(2) Big Increase in Distributed Brute Force Attacks Against Joomla Websites http://blog.sucuri.net/2013/09/big-increase-in-distributed-brute-force-attacks-against-joomla-websites.html

Peligros, precauciones y advertencias!

PONIENDOLE ALAS A SU SUEÑO Usted está a punto de tomar el paso correcto: el espacio cibernético es el escenario futuro de los negocios en Ecuador. En estos días, los hogares con servicio de internet llegan al 30% y se estima que este número subirá al 70% para…

Cómo saber si su sitio web le pertenece.

Escriba whois.net en su navegador de preferencia y usted verá lo siguiente: Escriba el nombre de su web site dentro del casillero y haga click en el botón "GO": A menos que usted haya pagado para que oculten su nombre por motivos de privacía (como yo lo he…

SEO, ¿qué es?

EVOLUCIÓN DE UN PARADIGMA Antes de su divulgación, la creación de un sitio web y su posterior mantenimiento resultaba muy complicado y restringido a aquellos que escribían código. Una página web está formada básicamente por su contenido y su aspecto. La…

¿Cómo funcionan los Motores de Búsqueda?

Todos entendemos lo difícil que resultaría ubicar libros sobre un tema en particular en una biblioteca descomunal que no tiene índices que los agrupen y ordenen. Lo mismo es el Internet sin los motores de búsqueda. De la misma manera como en esa biblioteca…

¿Qué es el "Internet Marketing"?

SOBRE MARKETING EN GENERAL En general, se entiende por el término inglés “Marketing”, el…

¿Marketing es Facebook más Twitter?

MARKETING, OTRO MOTIVO DE ENGAÑO Es frecuente escuchar a un cliente la historia sobre…

CMS, ¿qué es?

EVOLUCIÓN DE UN PARADIGMA Antes de su divulgación, la creación de un sitio web y su…

Ataques de Hackers: ¿cómo funcionan?

PESCANDO A RIO REVUELTO Hay diferentes tipos de ataques con diferentes propósitos y…

Seguridad ofrecida por Nube51

HACKERS Y SEGURIDAD: ¿CÓMO PROTEGERSE? Las firmas que se dedican a limpiar páginas web…

Características de nuestros sitios web

Si usted así lo solicita, iremos a su oficina para ofrecerle una conferencia informativa…

¿Qué esperar después de contactarnos?

Una persona de nuestro equipo los visitará para ofrecerles una conferencia sin compromiso…