Protección contra DDoS: cómo funcionan los ataques y cómo contrarrestarlos
El DDoS ya no es un problema solo para las grandes empresas: alquilar una botnet durante unas horas cuesta ahora menos que una hora del tiempo de un administrador. Tiendas online, medios de comunicación, servidores de juegos y pequeños sitios corporativos: todos acaban bajo fuego. Veamos cómo funcionan estos ataques, por qué el hosting corriente no puede hacerles frente y qué es lo que realmente ayuda.
El principio de la protección es sencillo: el tráfico no va directamente a tu servidor, sino que pasa por una red de filtrado. Las peticiones basura se cortan en la aproximación y solo el tráfico legítimo llega a la aplicación.
Qué es un ataque DDoS
DDoS (Distributed Denial of Service) es un ataque distribuido de denegación de servicio. Un gran número de dispositivos infectados (una botnet) envían peticiones a tu recurso al mismo tiempo con el fin de agotar sus recursos: el ancho de banda del canal, la capacidad del equipamiento de red, la CPU o el pool de conexiones de la aplicación. El objetivo no es robar datos, sino dejar el servicio inaccesible para los usuarios reales. La diferencia clave respecto a un pico de tráfico normal es que las fuentes están repartidas entre miles de direcciones, así que simplemente "bloquear una IP" no funcionará.
Ataques volumétricos (L3/L4)
El tipo más directo: el canal se llena de tráfico basura hasta que el tráfico útil ya no puede pasar. Esto incluye las inundaciones UDP, las inundaciones SYN y la amplificación, cuando un atacante envía una petición pequeña a servicios públicos abiertos (DNS, NTP, memcached) con tu dirección falsificada como dirección de retorno, y esos servicios responden a la víctima con paquetes decenas de veces más grandes. Tales ataques se miden en gigabits por segundo, y la única forma de resistirlos es el filtrado en una red con suficiente ancho de banda de reserva: del lado de tu servidor el canal ya está saturado.
Ataques a la aplicación (L7)
Mucho más insidiosos: hay poco tráfico, parece peticiones HTTP corrientes, pero cada una resulta cara para el servidor. Los bots machacan el buscador del sitio, las páginas de filtros del catálogo, los formularios o los métodos pesados de la API, cualquier cosa que genere consultas complejas a la base de datos. El canal permanece libre mientras la aplicación ya está caída. Es imposible distinguir un bot así de un visitante real solo por la IP: se necesita un análisis del comportamiento, del ritmo de las peticiones y de las cabeceras, además de una comprobación de si el cliente puede ejecutar lógica de navegador.
Cómo funciona el filtrado: centros de limpieza
La protección se basa en enrutar el tráfico del sitio a través de una red de filtrado distribuida (sus nodos se llaman centros de limpieza). Las peticiones las reciben los nodos perimetrales, que:
- absorben los ataques volumétricos gracias al ancho de banda total de la red: el ataque se "reparte" entre muchos nodos;
- descartan los paquetes claramente malformados y las firmas de ataques conocidos;
- analizan el comportamiento del cliente y cortan los bots a nivel de aplicación;
- almacenan en caché el contenido estático, reduciendo la carga sobre el origen incluso en tiempos normales.
Solo el flujo depurado llega a tu servidor. Así es exactamente como funciona la combinación de CDN + AntiDDOS: la red actúa como amortiguador entre internet y tu infraestructura.
Por qué importa ocultar tu IP real
Cualquier filtrado es inútil si el atacante conoce la dirección de tu servidor y la golpea directamente, esquivando la protección. Por eso, una vez activado el proxy, la IP original deja de aparecer en el DNS: desde fuera solo se ven las direcciones de la red de filtrado. Ten en cuenta que la dirección real todavía puede "filtrarse" a través de antiguos registros A del historial de DNS, de subdominios como mail o ftp, de las cabeceras del correo electrónico y de los certificados SSL. Antes de activar la protección, conviene cambiar la IP del servidor y bloquear el tráfico entrante procedente de cualquier lugar salvo de la red de filtrado.
Qué preparar de antemano
Activar la protección en mitad de un ataque es una mala idea: los cambios en el DNS no se propagan al instante y pierdes dinero cada minuto. Un mínimo sensato que hacer con antelación:
- reduce con antelación el TTL de tus registros DNS para que el cambio lleve minutos;
- mantén la zona con un operador que pueda activar el proxy con un solo clic;
- mueve el contenido estático a una CDN: esto elimina la carga base y acelera el sitio en los momentos tranquilos;
- conoce tu perfil de tráfico normal: sin él no podrás distinguir un ataque de una campaña publicitaria exitosa.
| Tipo de ataque | Cómo se manifiesta | Qué ayuda |
|---|---|---|
| Inundación UDP / SYN | Canal saturado, servidor inaccesible | Filtrado a nivel de red, ancho de banda de reserva |
| Amplificación | Tráfico decenas de veces por encima de lo normal | Centros de limpieza, filtrado basado en firmas |
| Inundación HTTP (L7) | Canal libre, aplicación caída | Anti-bot, análisis del comportamiento |
| Ataque a la IP directa | La protección está activada, pero el sitio no está disponible | Ocultar la IP, acceso solo desde la red de filtrado |
No existe un "interruptor" universal para apagar el DDoS: los ataques volumétricos se absorben con la capacidad de la red, los de la capa de aplicación con el análisis del comportamiento, y los golpes directos al servidor ocultando su dirección. Una protección que funciona significa las tres capas a la vez. Puedes activarlas en Alviy CDN y protección de sitios web, y comparar los planes en la página de precios.