Qué es DDoS y cómo proteger tus servicios
Autor: Redacción Domeny.ForSale Publicado
En pocas palabras: DDoS es un ataque que busca sobrecargar una web, un servidor u otro servicio de internet con tráfico procedente de múltiples fuentes para dificultar o impedir su uso. No implica necesariamente una intrusión ni un robo de datos: su objetivo principal es dejar el servicio inaccesible. La protección consiste en identificar y filtrar el tráfico malicioso, preferiblemente antes de que llegue a la infraestructura sobrecargada.
¿En qué consiste un ataque DDoS?
DDoS son las siglas de Distributed Denial of Service, es decir, denegación de servicio distribuida. Un servidor tiene límites de ancho de banda, capacidad de procesamiento y número de conexiones que puede atender simultáneamente. El atacante intenta agotar al menos uno de estos recursos, de modo que los usuarios legítimos reciben errores, tienen que esperar una respuesta o no pueden conectarse.
Puede compararse con una tienda cuya entrada y cuyas cajas quedan bloqueadas por una multitud de personas que no tienen intención de comprar nada. La tienda sigue existiendo, pero un cliente normal no puede hacer sus compras con facilidad. En internet, el bloqueo puede afectar tanto a una sola web como a un servidor de juegos, al correo electrónico o a la infraestructura de un operador.
La palabra «distribuida» indica que el ataque utiliza múltiples fuentes de tráfico. A menudo se emplea una botnet: una red de dispositivos controlados por delincuentes, como ordenadores, routers y cámaras. El ataque también puede utilizar servidores externos a los que se induce a enviar respuestas a la dirección de la víctima. Por tanto, no todos los dispositivos que participan en ese tráfico tienen que estar infectados.
DoS es el término general para los ataques que provocan una denegación de servicio; DDoS es su variante distribuida. Bloquear una sola dirección IP, es decir, la dirección de un dispositivo o de un punto de la red, no suele bastar para detener un ataque procedente de múltiples fuentes.
¿Qué puede sobrecargarse exactamente?
No todos los ataques DDoS consisten simplemente en enviar una enorme cantidad de datos. Se suelen distinguir tres tipos de ataques:
- Los ataques volumétricos saturan la conexión con grandes cantidades de tráfico. Ni siquiera un servidor potente servirá de ayuda si las conexiones legítimas no pueden llegar hasta él.
- Los ataques contra los mecanismos de red agotan los recursos necesarios para gestionar las conexiones, por ejemplo, en un servidor o en un dispositivo de seguridad de la red.
- Los ataques contra la aplicación sobrecargan funciones concretas de la web, como el buscador de productos o la generación de informes. Pueden parecer visitas normales y no requieren tanto ancho de banda.
Por ejemplo, una tienda online puede mostrar rápidamente imágenes ya preparadas, pero tardar mucho más en procesar una búsqueda compleja en el catálogo. El uso masivo de esa función puede sobrecargar la base de datos aunque la conexión no llegue a saturarse. Por eso, la protección debe elegirse en función del recurso que realmente se convierte en el cuello de botella.
¿Cómo distinguir un DDoS de una avería o de una gran afluencia de visitas?
Una web lenta no demuestra que haya un ataque. Una campaña publicitaria exitosa, un error de la aplicación, problemas con la base de datos o una avería del alojamiento pueden causar síntomas similares. La sospecha de un DDoS cobra fuerza cuando aparecen otras señales: un aumento inusual del número de conexiones, solicitudes repetitivas a una misma función o alertas del proveedor de protección.
Revisa la monitorización de disponibilidad, las estadísticas de tráfico y los logs, es decir, los registros de eventos y solicitudes que atiende el servidor. Compara el momento en que empeoró el funcionamiento con la publicación de un anuncio, un cambio de configuración y los avisos del operador. El número de páginas vistas que muestra una herramienta de analítica puede no reflejar todo el ataque, porque parte del tráfico malicioso no ejecuta el código de analítica de la web.
Un DDoS por sí solo no confirma una filtración de datos, pero tampoco la descarta. Si al mismo tiempo se producen inicios de sesión desconocidos o cambios en los archivos, considéralo señales independientes de una posible vulneración de la seguridad.
¿Cómo reducir el riesgo y elegir la protección?
La base es una protección que actúe antes de que el tráfico llegue al servidor, en la red del operador o en un servicio especializado de filtrado. Un cortafuegos local puede rechazar solicitudes, pero no recuperará el ancho de banda de una conexión ya saturada por el ataque.
Una CDN, es decir, una red de servidores que actúan como intermediarios en la entrega de contenido, puede reducir la carga de la web y ofrecer funciones de protección contra DDoS. Un WAF, o cortafuegos de aplicaciones web, ayuda a filtrar las solicitudes sospechosas dirigidas al sitio. Sin embargo, estas protecciones no son intercambiables ni garantizan la resistencia a los ataques: importan el alcance del servicio, su configuración y el tipo de ataque.
Antes de elegir un alojamiento o una protección adicional, consulta en la documentación actualizada del proveedor:
- si la protección cubre solo sitios WWW o también los demás servicios que utilizas;
- si se activa automáticamente y cómo se notifica un ataque en curso;
- qué límites, exclusiones y posibles cargos se aplican;
- si, durante un ataque, el operador puede cortar el tráfico hacia la dirección protegida para salvaguardar su red.
Si utilizas un servicio intermediario de protección, el acceso directo al servidor de origen debe restringirse siguiendo las recomendaciones de ese servicio. De lo contrario, el atacante puede eludir el filtro. Las copias de seguridad ayudan a recuperar los datos tras otros incidentes, pero por sí solas no detienen un DDoS.
¿Qué hacer cuando el servicio empieza a fallar?
Primero, ponte en contacto con el proveedor de alojamiento o de protección. Indica cuándo comenzó el problema, qué servicios están afectados, cuáles son los síntomas y qué mediciones tienes disponibles. Solicita que confirme la causa y active el filtrado adecuado.
En un ataque contra la aplicación, puede ser útil limitar temporalmente el número de solicitudes o desactivar una función que consuma muchos recursos. Sin embargo, estas medidas también pueden dificultar el uso del servicio a los clientes legítimos. Por ejemplo, limitar la búsqueda de productos puede aliviar la carga de la tienda, pero un filtro demasiado restrictivo bloqueará a parte de los compradores.
No consideres el reinicio del servidor ni la contratación de más capacidad como soluciones seguras. Conserva los logs, registra los cambios realizados e informa a los usuarios a través de un canal independiente. Si el servicio funciona correctamente en este momento, prepara ya un elemento concreto del plan: un contacto de emergencia del operador junto con el procedimiento para notificar un ataque.
Consulta también: ¿Qué significa www?
Lee también
