Qué es un Ataque DDoS y cómo proteger infraestructuras de misión crítica
Arquitectura de Red, Vectores de Ataque en Capas OSI y Mitigación Anycast
Un Ataque de Denegación de Servicio Distribuido (DDoS - Distributed Denial of Service) es una agresión cibernética coordinada cuyo objetivo es saturar los recursos computacionales, el ancho de banda de red o la capacidad de procesamiento de un servidor hasta dejarlo inaccesible para usuarios legítimos. A diferencia de un ataque DoS tradicional originado en una sola máquina, los ataques DDoS son ejecutados por botnets: redes masivas de miles o millones de dispositivos comprometidos (servidores, routers y cámaras IoT) dispersos geográficamente.
En la ingeniería de redes moderna, los ataques DDoS se clasifican según la Capa del Modelo OSI que intentan colapsar:
1.
Ataques Volumétricos (Capa 3 - Red y Capa 4 - Transporte): Inundan los enlaces físicos de telecomunicaciones con gigabits o terabits de paquetes basura (Amplificación DNS/NTP, Inundaciones UDP, ICMP Flood).
2.
Ataques de Agotamiento de Estado (Capa 4 - Transporte): Consumen las tablas de seguimiento de conexiones de firewalls, balanceadores de carga y kernels de sistemas operativos (SYN Flood, ACK Flood, RST Flood).
3.
Ataques de Capa de Aplicación (Capa 7 - Aplicación): Simulan tráfico humano legítimo realizando peticiones HTTP/HTTPS computacionalmente costosas (búsquedas complejas en base de datos, descargas pesadas o ataques lentos como Slowloris).
En la Tecnología Real (Explicación Sencilla)
Escenario de Producción Real: Durante una campaña de ventas de alto tráfico, la pasarela de pagos de un comercio electrónico queda inoperativa. El servidor web principal no responde a peticiones HTTPS y la consola del kernel Linux arroja el error crítico: ``
[ 1420.312 ] TCP: request_sock_TCP: Possible SYN flooding on port 443. Sending cookies. [ 1420.485 ] nf_conntrack: table full, dropping packet. ` **Diagnóstico:** Un atacante ha lanzado un ataque **SYN Flood** a 40 Gbps con IPs de origen falsificadas (IP Spoofing). Cada paquete TCP SYN crea una conexión semi-abierta (SYN-RECEIVED) en el kernel, llenando la memoria RAM y la tabla de conexiones activas (conntrack), impidiendo que los clientes reales completen el apretón de manos TCP. **Solución Técnica Aplicada:** 1. **Activación de SYN Cookies a nivel de Kernel**: Se habilita net.ipv4.tcp_syncookies = 1` para no reservar memoria de conexión hasta recibir el ACK legítimo del cliente. 2. Desvío a Red Anycast / Scrubbing Center: Se actualiza el enrutamiento BGP para anunciar el prefijo IP a través de una red Anycast global. El tráfico malicioso de 40 Gbps se distribuye entre 250 centros de datos en todo el mundo, donde sistemas automatizados descartan los paquetes no conformes antes de alcanzar el servidor de origen.WIKIHOW STEP
Comparativa Técnica de Vectores de Ataque DDoS
| Vector de Ataque | Capa OSI | Mecanismo de Impacto | Métrica Crítica | Técnica de Mitigación Primaria |
|---|---|---|---|---|
| Amplificación DNS / NTP | Capa 3 / 4 (UDP) | Paquetes pequeños con IP falsa que generan respuestas 50x más grandes. | Gbps / Tbps (Ancho de banda) | Descarte de tráfico en centros de limpieza Anycast y filtrado BCP 38. |
| SYN Flood | Capa 4 (TCP) | Envío masivo de tramas SYN sin responder con el último ACK. | PPS (Paquetes por segundo) | SYN Cookies, ajuste de backlog TCP y proxies de terminación TCP. |
| HTTP POST / GET Flood | Capa 7 (HTTP) | Miles de peticiones legítimas a endpoints costosos del backend. | RPS (Peticiones por segundo) | WAF con inspección de comportamiento, Rate Limiting y JS Challenges. |
| Slowloris | Capa 7 (HTTP) | Envío extremadamente lento de cabeceras HTTP para agotar sockets de hilo. | Sockets de conexión abiertos | Timeouts estrictos de cabecera en Nginx/HAProxy (client_header_timeout). |
WIKIHOW STEPConfiguración de Hardening de Red en Linux (
Configuración de Hardening de Red en Linux (sysctl.conf)
arostik@ubuntu:~ (bash)
# /etc/sysctl.d/99-ddos-protection.conf# Mitigación de SYN Flood y ataques de red a nivel de Kernel # 1. Habilitar TCP SYN Cookies (no almacenar estado en memoria para SYN pendientes)net.ipv4.tcp_syncookies = 1 # 2. Incrementar la cola de conexiones semi-abiertas (Backlog)net.ipv4.tcp_max_syn_backlog = 8192 # 3. Reducir el número de reintentos para paquetes SYN+ACK (libera recursos rápido)net.ipv4.tcp_synack_retries = 2 # 4. Descartar paquetes ICMP Broadcast (Smurf Attack prevention)net.ipv4.icmp_echo_ignore_broadcasts = 1 # 5. Habilitar protección contra IP Spoofing (Reverse Path Filtering estricto)net.ipv4.conf.all.rp_filter = 1net.ipv4.conf.default.rp_filter = 1 # 6. Aplicar cambios inmediatamente# $ sudo sysctl --systemNota Técnica
El Límite del Hardware Físico: Ningún firewall físico en un centro de datos local puede mitigar por sí solo un ataque volumétrico de 100 Gbps si el proveedor de Internet (ISP) solo provee un enlace troncal de 10 Gbps. En ataques volumétricos masivos, la mitigación debe ocurrir en la nube o en el borde Anycast antes de que los paquetes alcancen el cable físico del servidor.
WIKIHOW STEP
Glosario Técnico de Mitigación DDoS
1.
Anycast: Técnica de enrutamiento BGP donde múltiples servidores distribuidos en todo el mundo comparten la misma dirección IP pública, atrayendo automáticamente el tráfico al nodo más cercano geográficamente para pulverizar el volumen del ataque.
2.
SYN Cookie: Algoritmo criptográfico donde el número de secuencia inicial TCP (ISN) codifica los datos de la conexión, evitando asignar memoria de estado en el servidor hasta que el cliente envía el paquete ACK final.
3.
Scrubbing Center: Centro de datos de ultra-alta capacidad equipado con hardware especializado para inspeccionar tráfico a escala de terabits, filtrando paquetes maliciosos y enviando tráfico limpio al origen vía túneles GRE.
4.
Rate Limiting: Regla de limitación de tasa que restringe el número de peticiones permitidas por segundo o minuto por cada dirección IP o token de sesión.
Mini Cuestionario Interactivo3 preguntas
Selecciona una opción para autoevaluarte al instante. La respuesta se califica de inmediato.
Aciertos: 0 / 3
1
¿Por qué un ataque de amplificación DNS utiliza el protocolo UDP en lugar de TCP?
2
¿Qué problema resuelve la habilitación de SYN Cookies en el kernel de un servidor?
3
¿Cuál es la principal ventaja de utilizar enrutamiento Anycast frente a ataques DDoS volumétricos?
Diagnóstico y Práctica en Arostik
Mide el ancho de banda y latencia de tu conexión con nuestro Test de Velocidad, verifica el estado de tus puertos con la Terminal de Redes e inspecciona tus encabezados de protección con el análisis de Cabeceras HTTP.