estudio de la situación actual en materia de seguridad en redes e ...

4.9.2.2 MODO WATCH (MODO RELOJ)
Mientras que el modo de intercepción toma un acercamiento proactivo para ocuparse
de los ataques de inundación con TCP SYN, el modo “Watch” toma un acercamiento
reactivo. Una de las ventajas principales del modo de intercepción es que remueve la
carga de procesamiento de las inundaciones TCP SYN del servidor interno.
Sin embargo, esta es una espada de doble filo porque en la mayoría de los periodos
una inundación de TCP SYN no esta ocurriendo, pero el Router todavía esta
ejecutando el proceso de Intercepción, provocando una carga pesada en el Router.
Para solucionar este problema, puede usarse TCP Intercept en modo “Watch”, ya
que toma un modo pasivo o reactivo, para acercarse a los ataques de inundación del
TCP SYN. En el modo “Watch”, el Router mira pasivo la disposición de las
conexiones TCP de usuarios a servidores. Este monitorea las conexiones y compara
el valor a un valor del time out pre configurado (el cual por default es de 30
segundos). Si una conexión TCP no completa el saludo de tres vías en este periodo,
la IOS Cisco envía un reset del TCP al Servidor para quitar la conexión. Para un
ataque que esta directamente a un Servidor interno usando TCP, este remueve las
conexiones “half-open”, así reduce la carga en el servidor y permite las conexiones
legítimas que se procura sean procesadas.
137