La detección volumétrica clásica vigila destinos individuales: cuando el tráfico a una dirección cruza un umbral, se activa la mitigación. El carpet bombing es la respuesta a ese diseño. El atacante reparte el tráfico por cientos o miles de direcciones de un rango de red, manteniendo cada destino individual por debajo de la alarma mientras la suma satura la infraestructura compartida.
Por qué funciona
- Los umbrales por destino nunca saltan, porque ningún destino se inunda individualmente.
- El daño ocurre en los enlaces, routers y firewalls compartidos de los que dependen todas esas direcciones.
- Es difícil de atribuir: cada objetivo ve una cantidad modesta y plausible de tráfico inexplicado.
- La mitigación automática que opera por dirección puede activarse en decenas de objetivos pequeños a la vez, lo que es caro y lento.
Quién lo sufre primero
Los proveedores de hosting, los ISP y cualquiera que anuncie su propio espacio de direcciones. Un único sitio web tras un proxy rara vez es la víctima directa, pero muy a menudo es daño colateral cuando su proveedor es el objetivo.
Cómo detectarlo
La señal solo es visible en agregado. La telemetría de flujo sumada por todo el prefijo muestra el aumento con claridad, aunque cada gráfico por host parezca normal. El requisito práctico es una monitorización que pueda preguntar por un rango de red en lugar de un solo servidor, y alertar sobre la proporción de tráfico anómalo respecto a la línea base en vez del volumen absoluto.
Cómo responder
- Alerta sobre agregados a nivel de prefijo, no solo sobre contadores por host.
- Si la protección se entrega por enrutamiento, asegúrate de que los anuncios cubran todo el prefijo y no direcciones sueltas.
- Filtra los vectores subyacentes — el transporte suele ser la reflexión y amplificación de siempre, solo distribuida de otra forma.
- Si eres cliente y no el operador de red, pregunta a tu proveedor cómo es su detección a nivel de prefijo. Durante un carpet bombing, su respuesta determina tu uptime más que tu propia configuración.
La lección más amplia
El carpet bombing no es un transporte nuevo; es una nueva estrategia de direccionamiento dirigida a la forma de los sistemas de detección. Es un recordatorio útil de que los umbrales son suposiciones, y de que los atacantes leen la misma documentación de producto que tú.