Qué es un ataque DDoS

Un ataque DDoS (Distributed Denial of Service, denegación de servicio distribuida) envía grandes volúmenes de tráfico desde muchos ordenadores hacia un servidor o una red concretos y deja el servicio inutilizable. A diferencia de un ataque DoS lanzado desde un único origen, se reparte por una botnet formada por miles o millones de dispositivos (equipos infectados con malware), de modo que bloquear las direcciones IP de origen no basta para defenderse.

Los volúmenes de ataque del orden de Tbps se confirmaron ya en una etapa temprana. La alerta TA16-288A de CISA (Estados Unidos, publicada en octubre de 2016 y revisada en octubre de 2017) describe cómo el sitio de noticias de seguridad krebsonsecurity.com sufrió en septiembre de 2016 un ataque superior a 620 Gbps, y que otro ataque del mismo periodo pudo alcanzar el orden de 1,5 Tbps. Ambos procedían de botnets de dispositivos de IoT infectados con el malware llamado Mirai que, según la misma alerta, se propagó a routers domésticos, cámaras de red y grabadores DVR probando 62 juegos de credenciales predeterminadas de uso habitual.

Dicho esto, la cifra del mayor volumen observado se actualiza sin parar con los informes de los proveedores de mitigación, así que perseguirla no tiene final. Lo que importa en la práctica es cuántas veces la capacidad y el rendimiento de la propia línea se pueden absorber, y decidir de antemano quién se hace cargo cuando se supera ese techo, el propio equipo o un proveedor de mitigación.

Clasificación y métodos de ataque

Los ataques DDoS se dividen en tres grandes categorías según la capa del modelo de referencia OSI a la que apuntan.

Ataques volumétricos (L3/L4)

Ataques cuyo objetivo es saturar el ancho de banda de la línea. Las inundaciones UDP, las inundaciones ICMP y la amplificación de DNS (amplificar las respuestas de DNS y dirigirlas al objetivo) son los métodos típicos. En la amplificación de DNS, el atacante envía muchas consultas pequeñas a numerosos resolutores abiertos falsificando la dirección IP de origen como la del objetivo, y las respuestas amplificadas confluyen sobre este. La lista de factores de amplificación de ancho de banda publicada por CISA en Estados Unidos (Alert TA14-017A, revisada en diciembre de 2019) indica de 28 a 54 veces para DNS, 556,9 veces para NTP y de 10.000 a 51.000 veces para memcached. Cuanto mayor es el factor de amplificación de un protocolo, más ancho de banda puede generar el atacante con menos orígenes.

Ataques de protocolo (L3/L4)

Ataques que agotan los recursos de los servidores y de los equipos de red. El método típico es la inundación SYN (abusar del saludo en tres pasos de TCP para consumir recursos con conexiones medio abiertas). Al desbordar las tablas de conexiones de un firewall o de un balanceador de carga, el tráfico legítimo tampoco se puede procesar.

Ataques de capa de aplicación (L7)

Ataques que abusan de protocolos de la capa de aplicación, como las peticiones HTTP. Entre los métodos están Slowloris (retrasar deliberadamente las conexiones HTTP para agotar las ranuras de conexión del servidor) y el envío de gran cantidad de consultas de búsqueda que suponen una carga elevada para la base de datos. Consumen recursos del servidor de forma eficiente incluso con poco volumen de tráfico, por lo que no basta con las medidas contra los ataques volumétricos.

Medidas de defensa y arquitectura

La defensa frente a los ataques DDoS es, en esencia, una defensa en profundidad que superpone medidas en varios niveles.

Aprovechar una CDN: distribuir el contenido en servidores de borde repartidos por el mundo absorbe el tráfico del ataque. Si la infraestructura distribuida del proveedor puede encajar volúmenes que la propia línea nunca podría asumir es el punto clave al elegirla
Desplegar un WAF: detecta y bloquea los patrones de ataque de la capa de aplicación. Se combinan reglas como la limitación de tasa, la reputación de IP y la detección de bots
Escalado automático: en entornos de nube, los servidores escalan horizontalmente de forma automática a medida que aumenta el tráfico del ataque y así se mantiene el servicio
Enrutamiento Anycast: anunciar la misma dirección IP desde varias ubicaciones reparte geográficamente el tráfico del ataque
Limitación de tasa y modelado del tráfico: limita el número de peticiones procedentes de una misma dirección IP y detecta y bloquea los patrones de tráfico anómalos

En AWS se adopta a menudo la combinación de CloudFront, AWS Shield y WAF. Shield Standard mitiga automáticamente los ataques L3/L4 típicos sin coste adicional. Shield Advanced es una suscripción de pago que añade protección para recursos objetivo como CloudFront, ELB, Global Accelerator, Route 53 y EC2. Sin embargo, incluso con la suscripción a Shield Advanced, contactar con el Shield Response Team requiere disponer aparte de AWS Support de nivel Business o Enterprise (condiciones de prestación en agosto de 2026). Si el presupuesto no incluye también el acuerdo por el que alguien acude a ayudar cuando ocurre un incidente, el soporte que se creía contratado no aparecerá.

Respuesta ante incidentes

Responder con rapidez cuando llega un ataque DDoS está directamente ligado a reducir el daño al mínimo. Es importante incluir un escenario de DDoS en el plan de respuesta a incidentes.

Detección y primera respuesta: las alertas de monitorización detectan aumentos anómalos del tráfico, tiempos de respuesta degradados y tasas de error en ascenso. Hay que identificar el tipo de ataque (volumétrico / de protocolo / L7)
Aplicar la mitigación: activar el servicio de mitigación de DDoS de la CDN o del proveedor de nube. Añadir reglas de WAF acordes con el patrón del ataque. Si es necesario, solicitar al ISP un filtrado aguas arriba
Comunicación y registros: informar de la situación a las partes implicadas y publicar un aviso para los usuarios. Conservar los registros del ataque (direcciones IP de origen, volumen de tráfico, patrones de ataque)
Análisis posterior: analizar el conjunto del ataque e identificar las mejoras en las defensas. Revisar la resistencia de toda la infraestructura, incluido si el contenido estático se puede trasladar al almacenamiento de objetos y al lado de la CDN, junto con los ajustes de seguridad del almacenamiento en la nube

Los ataques DDoS se utilizan a veces como distracción para otro ataque. Existe la táctica de intentar la intrusión por otra vía mientras el equipo está ocupado atendiendo el DDoS, por lo que es importante no relajar el resto de la monitorización de seguridad mientras el DDoS está en curso.

Conceptos erróneos comunes

Los sitios pequeños no son objetivo de ataques DDoS: Los ataques DDoS se llevan a cabo por motivos muy diversos: extorsión para obtener dinero, perjudicar a un competidor o motivaciones políticas. Encargar un ataque a un servicio que se presenta como booter o stresser es también un patrón conocido, y el ataque puede lanzarse con independencia del tamaño del objetivo. Desde el punto de vista de quien defiende, no ser capaz de imaginar un motivo para ser atacado no es base alguna para sentirse seguro.
Aumentar el ancho de banda puede prevenir los ataques DDoS: Aumentar el ancho de banda tiene cierto efecto contra ataques volumétricos, pero los ataques a la capa de aplicación agotan los recursos del servidor con poco tráfico, por lo que el ancho de banda solo no es suficiente. Se necesitan medidas multicapa como WAF y limitación de velocidad.

Comparación por tipo de ataque DDoS

Ataque volumétrico

Busca saturar el ancho de banda. Volumen de tráfico muy alto (cientos de Gbps - varios Tbps). La absorción a nivel de CDN o ISP es efectiva. La amplificación DNS es un ejemplo representativo.

Ataque a la capa de aplicación

Busca agotar la capacidad de procesamiento del servidor. Altamente efectivo incluso con poco tráfico. Requiere defensa con WAF y limitación de velocidad. Slowloris y HTTP flood son ejemplos representativos.

Ataque DDoS