Los ataques DDoS son intentos de saturar un servicio conectado a Internet para dificultar o impedir que los usuarios legítimos puedan utilizarlo.
Pueden afectar a páginas web, tiendas online, APIs, aplicaciones empresariales, servicios cloud y otros sistemas expuestos a Internet.
El impacto no depende únicamente del tamaño de la empresa. Una PYME puede sufrir una interrupción importante si su actividad depende de una web, plataforma o servicio online que deja de estar disponible.
En esta guía explicamos qué son los ataques DDoS, cómo funcionan, qué tipos existen, cómo reconocerlos y qué medidas pueden ayudar a proteger una infraestructura.
También puedes consultar nuestras señales de que una web ha sido hackeada para diferenciar una posible caída por disponibilidad de otros indicios de compromiso.
¿Qué es un ataque DDoS?
DDoS significa Distributed Denial of Service, o ataque distribuido de denegación de servicio.
El objetivo es generar una cantidad de tráfico o solicitudes suficiente para consumir determinados recursos del sistema o de la red.
Dependiendo del ataque, pueden verse afectados:
- ancho de banda;
- conexiones;
- servidores;
- firewalls;
- balanceadores;
- aplicaciones;
- APIs.
La consecuencia habitual es una degradación del servicio, errores o imposibilidad de acceso.
Un DDoS no tiene como objetivo principal robar información. Su característica principal es afectar a la disponibilidad.
¿Cuál es la diferencia entre DoS y DDoS?
Ambos ataques buscan dificultar la disponibilidad de un servicio, pero existe una diferencia fundamental.
DoS
Un ataque DoS procede normalmente de un único origen o de un conjunto limitado de fuentes.
DDoS
Un ataque DDoS distribuye el tráfico entre múltiples dispositivos u orígenes.
Esta distribución puede dificultar el filtrado y hacer que el volumen de tráfico sea considerablemente mayor.
Por eso, un ataque DDoS puede requerir mecanismos de mitigación situados antes de la infraestructura de origen.
¿Cómo funciona un ataque DDoS?
Aunque existen diferentes variantes, el proceso general puede resumirse así:
1. Identificación del objetivo
Se localiza un servicio accesible desde Internet.
2. Preparación
El atacante dispone de diferentes recursos desde los que generar tráfico o solicitudes.
3. Lanzamiento
El tráfico se dirige hacia el servicio objetivo.
4. Saturación
Se consumen recursos de red, infraestructura o aplicación.
5. Degradación
Los usuarios legítimos experimentan lentitud, errores o imposibilidad de acceso.
Algunos ataques utilizan redes de dispositivos comprometidos para distribuir el tráfico entre diferentes orígenes.
¿Cuáles son los principales tipos de ataques DDoS?
Los ataques DDoS pueden clasificarse de diferentes maneras. Una clasificación habitual distingue entre ataques volumétricos, de protocolo y de aplicación.
Ataques volumétricos
Intentan consumir la capacidad disponible de la conexión o infraestructura de red mediante grandes cantidades de tráfico.
Pueden utilizar diferentes protocolos y mecanismos de amplificación.
Ataques de protocolo
Buscan consumir recursos relacionados con la comunicación de red y transporte.
Pueden afectar a firewalls, balanceadores, servidores u otros componentes.
Un ejemplo conocido es el SYN flood, que genera numerosas solicitudes de establecimiento de conexiones TCP.
Ataques de capa de aplicación
También conocidos como ataques de capa 7, se dirigen directamente contra aplicaciones y servicios web.
Pueden generar solicitudes aparentemente legítimas hacia:
- búsquedas;
- formularios;
- APIs;
- páginas dinámicas;
- procesos de autenticación;
- consultas que requieren procesamiento.
Esto puede dificultar la diferenciación entre tráfico malicioso y tráfico legítimo.
¿Qué son los ataques DDoS volumétricos?
Los ataques volumétricos buscan generar suficiente tráfico para saturar la capacidad disponible.
El problema puede producirse incluso antes de que las solicitudes alcancen el servidor de origen.
Por eso, aumentar únicamente los recursos del servidor no siempre es suficiente.
La protección puede requerir:
- CDN;
- proveedores especializados de mitigación;
- filtrado de tráfico;
- capacidad de red adicional;
- arquitectura distribuida.
¿Qué son los ataques DDoS de protocolo?
Los ataques de protocolo se centran en mecanismos de comunicación de red.
Su objetivo puede ser consumir recursos de:
- routers;
- firewalls;
- balanceadores;
- servidores;
- tablas de conexiones.
Algunas medidas de protección incluyen una configuración adecuada de firewalls, filtrado, eliminación de servicios innecesarios y monitorización.
El hardening de sistemas puede ayudar a reducir determinadas exposiciones de infraestructura, aunque no sustituye por sí solo una estrategia específica de mitigación DDoS.
¿Qué son los ataques DDoS de capa 7?
Los ataques de capa 7 se dirigen contra aplicaciones y servicios web.
Una única solicitud puede parecer legítima.
El problema aparece cuando miles de solicitudes coordinadas obligan a la aplicación a realizar operaciones costosas.
Pueden dirigirse a:
- APIs;
- búsquedas;
- formularios;
- páginas dinámicas;
- consultas;
- procesos de inicio de sesión.
Para reducir el impacto pueden utilizarse WAF, limitación de solicitudes y otras medidas de protección específicas.
¿Cuáles son las señales de un ataque DDoS?
Una web lenta o caída no significa automáticamente que esté sufriendo un DDoS.
También puede existir:
- una incidencia del proveedor;
- un error de configuración;
- un problema de red;
- una aplicación sobrecargada;
- un aumento legítimo del tráfico.
Sin embargo, algunos indicios pueden justificar una investigación:
- aumento brusco de solicitudes;
- consumo anormal de CPU o memoria;
- incremento inusual del ancho de banda;
- errores 502, 503 o 504;
- gran cantidad de conexiones simultáneas;
- tráfico con patrones anómalos;
- una URL o recurso concreto recibiendo un volumen inusual.
La combinación de varios indicadores permite comprender mejor qué está ocurriendo.
¿Un DDoS significa que una web ha sido hackeada?
No necesariamente.
Un DDoS afecta principalmente a la disponibilidad y no implica automáticamente que exista acceso no autorizado al sistema.
Sin embargo, si además aparecen:
- usuarios administrativos desconocidos;
- archivos modificados;
- accesos no autorizados;
- cambios en configuraciones;
- actividad extraña;
puede existir otro incidente de seguridad.
En ese caso conviene ampliar la investigación y consultar las señales de una web hackeada.
¿Cómo proteger una web frente a ataques DDoS?
No existe una única medida válida para todos los entornos.
La protección suele combinar varias capas.
CDN
Una CDN distribuye el tráfico entre diferentes puntos de presencia y puede ayudar a absorber determinados volúmenes.
WAF
Un firewall de aplicaciones web permite aplicar reglas para analizar y filtrar determinadas solicitudes.
Rate limiting
La limitación de solicitudes permite controlar cuántas peticiones puede procesar un determinado origen o recurso durante un periodo.
Balanceo de carga
Distribuir el tráfico entre diferentes servidores puede reducir la dependencia de un único sistema.
Monitorización
La supervisión continua permite detectar cambios anómalos y activar medidas de respuesta.
Redundancia
Una arquitectura redundante puede reducir el impacto de la caída de un componente individual.
¿Qué hacer durante un ataque DDoS?
Cuando un ataque está en curso, la prioridad es mantener la disponibilidad y limitar el tráfico malicioso.
Dependiendo de la infraestructura, pueden aplicarse medidas como:
- revisar las alertas del proveedor;
- activar mecanismos de mitigación disponibles;
- ajustar temporalmente determinadas reglas de filtrado;
- reforzar la protección del WAF;
- aplicar limitaciones de solicitudes;
- revisar el estado de los servidores de origen;
- contactar con el proveedor de conectividad;
- monitorizar la evolución del tráfico.
Las decisiones concretas deben adaptarse a la arquitectura del sistema.
¿Qué es el blackholing?
El blackholing es una técnica mediante la cual se descarta determinado tráfico dirigido hacia un destino.
Puede ayudar a proteger otros recursos de la infraestructura cuando el tráfico resulta imposible de gestionar de otra forma.
La desventaja es importante: el tráfico legítimo dirigido al destino afectado también puede quedar bloqueado.
Por eso, se considera una medida extrema y debe valorarse cuidadosamente.
¿Cómo prevenir ataques DDoS?
La prevención no consiste únicamente en disponer de más capacidad de servidor.
También es importante:
- conocer los activos expuestos;
- utilizar monitorización;
- configurar correctamente la infraestructura;
- limitar solicitudes;
- proteger APIs;
- utilizar CDN cuando sea apropiado;
- mantener mecanismos de mitigación disponibles;
- establecer un plan de respuesta.
La arquitectura y el nivel de protección deben adaptarse al riesgo y a la importancia de cada servicio.
¿Qué impacto puede tener un DDoS en una empresa?
La interrupción de un servicio puede producir consecuencias más allá del departamento técnico.
Entre ellas pueden aparecer:
- pérdida de ventas;
- interrupción de servicios;
- aumento de consultas de soporte;
- incumplimiento de determinados acuerdos;
- pérdida de confianza;
- costes de recuperación;
- impacto reputacional.
En una PYME que depende de su tienda online o plataforma digital, unas horas de indisponibilidad pueden tener una repercusión especialmente importante.
Puedes ampliar información sobre ciberseguridad para PYMES en España.
¿Cómo saber si tu infraestructura está preparada?
Puedes empezar con algunas preguntas:
- ¿Qué protección DDoS ofrece actualmente tu proveedor?
- ¿Dispones de CDN?
- ¿Tienes un WAF?
- ¿Existe limitación de solicitudes?
- ¿Cómo detectas un aumento anormal del tráfico?
- ¿Hay redundancia?
- ¿Conoces el procedimiento de respuesta?
- ¿Tienes identificados los contactos técnicos necesarios?
Estas preguntas permiten detectar carencias antes de que exista una interrupción real.
¿Qué revisar después de un ataque DDoS?
Cuando el servicio vuelva a la normalidad, conviene analizar el incidente.
Revisar registros
Comprueba logs de red, firewall, CDN, WAF y servidores.
Identificar el tipo de ataque
Determina si fue volumétrico, de protocolo, de aplicación o una combinación.
Revisar otros indicios
Comprueba si existieron actividades adicionales que puedan indicar otro tipo de compromiso.
Ajustar la protección
Modifica reglas y configuraciones según lo aprendido durante el incidente.
Revisar el proveedor
Comprueba si las capacidades actuales de mitigación son adecuadas.
Actualizar el plan
Documenta qué funcionó, qué problemas aparecieron y qué acciones deberían realizarse más rápidamente en el futuro.
¿Una PYME puede protegerse frente a un DDoS?
Sí.
El nivel de protección debe adaptarse al tamaño y a la dependencia que tenga la empresa de sus servicios online.
Una PYME puede comenzar identificando sus servicios críticos y comprobando qué mecanismos de protección ofrece su proveedor.
A partir de ahí puede incorporar, cuando sea necesario:
- CDN;
- WAF;
- limitación de solicitudes;
- monitorización;
- redundancia;
- procedimientos de respuesta.
Lo importante es evitar depender de una única capa de protección.
¿Es necesario contratar una protección DDoS especializada?
Depende del servicio y de su nivel de exposición.
Puede ser especialmente importante cuando:
- el servicio es crítico para el negocio;
- una interrupción genera pérdidas importantes;
- existe una alta exposición a Internet;
- el proveedor actual ofrece capacidades limitadas;
- ya se han producido incidentes.
Antes de contratar una solución, conviene analizar qué protección proporciona actualmente tu infraestructura y qué riesgos necesitas cubrir.
Preguntas frecuentes sobre ataques DDoS
¿Qué es un ataque DDoS?
Es un ataque distribuido de denegación de servicio cuyo objetivo es dificultar o impedir la disponibilidad de un servicio.
¿Cuál es la diferencia entre DoS y DDoS?
Un DoS suele utilizar un origen limitado, mientras que un DDoS distribuye el tráfico entre múltiples fuentes.
¿Un DDoS roba datos?
No necesariamente. Su objetivo principal es afectar a la disponibilidad del servicio, aunque pueden producirse otros incidentes simultáneamente.
¿Una web caída significa que está sufriendo un DDoS?
No. Una caída también puede deberse a errores técnicos, problemas de red, hosting o tráfico legítimo.
¿Qué tipos de DDoS existen?
Entre los principales se encuentran los ataques volumétricos, de protocolo y de capa de aplicación.
¿Qué protección puede utilizarse?
CDN, WAF, limitación de solicitudes, monitorización, redundancia y servicios de mitigación pueden formar parte de una estrategia de protección.
¿Puede un DDoS afectar a una PYME?
Sí. Especialmente cuando la empresa depende de una web, tienda online, API o servicio digital para operar.
¿Qué hago durante un ataque?
Revisa las alertas del proveedor, activa las medidas de mitigación disponibles, monitoriza el tráfico y sigue el procedimiento de respuesta definido.
¿Un DDoS significa que me han hackeado?
No necesariamente. Un DDoS puede limitarse a afectar la disponibilidad sin que exista acceso no autorizado.
¿Cómo puedo prepararme?
Identifica los servicios críticos, conoce las capacidades de tu proveedor, configura medidas de protección y establece un plan de respuesta.
Conclusión
Los ataques DDoS buscan afectar la disponibilidad de servicios mediante tráfico o solicitudes distribuidas.
Pueden ser volumétricos, centrarse en recursos de red o dirigirse directamente contra aplicaciones.
La mejor estrategia consiste en conocer la infraestructura, identificar los servicios críticos y combinar medidas como CDN, WAF, limitación de solicitudes, monitorización y redundancia cuando sean necesarias.
También es importante diferenciar una interrupción por DDoS de una posible intrusión. Si junto a la caída aparecen accesos desconocidos, modificaciones no autorizadas u otros indicios, conviene realizar una investigación de seguridad más amplia.