¿Qué es un ataque de amplificación SSDP?
El SSDP (Simple Service Discovery Protocol) es parte de UPnP y permite que dispositivos de una red se descubran entre sí. Un ataque de amplificación SSDP abusa de dispositivos UPnP expuestos a internet (routers domésticos, cámaras, impresoras): el atacante envía peticiones de descubrimiento con la IP de la víctima falsificada y los dispositivos responden con paquetes mucho mayores, inundando al objetivo.
¿Por qué los dispositivos IoT son el problema?
Millones de dispositivos domésticos tienen UPnP habilitado y accesible desde internet por configuraciones por defecto inseguras. Cada uno actúa como reflector y amplificador, con factores de amplificación típicos de ~30x, convirtiendo una pequeña botnet en un ataque volumétrico considerable.
¿Cómo protegerse?
Deshabilitar UPnP/SSDP en routers y dispositivos que no lo necesiten, bloquear el puerto UDP 1900 en el perímetro, y no exponer servicios de descubrimiento a internet. Del lado del objetivo, mitigación anti-DDoS en el borde que filtre el tráfico reflejado.
De dónde salen los dispositivos que amplifican
SSDP es el mecanismo de descubrimiento de UPnP, pensado para que impresoras, routers, cámaras y televisores se anuncien dentro de una red doméstica. El problema es que millones de ellos quedaron expuestos a internet por configuraciones por defecto que abren el puerto 1900 al exterior. Esos equipos no están comprometidos ni ejecutan malware: responden a lo que para ellos es una consulta legítima, y esa es la razón por la que el ataque es tan difícil de erradicar.
Qué factor de amplificación se alcanza
La consulta M-SEARCH que envía el atacante ocupa unos 100 bytes; la respuesta del dispositivo, con toda su descripción de servicios, puede superar los 3.000. Eso da factores en torno a 30 veces, de modo que un atacante con un ancho de banda modesto genera decenas de gigabits contra la víctima. Y como las respuestas llegan de miles de direcciones domésticas legítimas repartidas por el mundo, filtrarlas por reputación no funciona.
Qué puede hacer cada lado
Quien recibe el ataque necesita mitigación en el borde con capacidad de absorción, y puede descartar en origen todo el tráfico UDP de origen 1900, que en una red normal no tiene razón de existir. Quien no quiere formar parte del problema debe desactivar UPnP en el router salvo que lo necesite, comprobar desde fuera que el puerto 1900 no responde, y aplicar filtrado de salida para que no salgan paquetes con direcciones de origen falsificadas, que es la condición sin la cual ningún ataque de reflexión funcionaría.
