¿Qué es un ataque DDoS y cómo funciona?

Todo servicio en internet tiene un límite: ancho de banda, conexiones abiertas, CPU, memoria. Un ataque DDoS intenta superar ese límite a propósito. Si el servidor gasta todo respondiendo basura, no le queda capacidad para quien de verdad quiere usarlo.

Si alojas un sitio, una API o un bot con webhook, entender el mecanismo te ayuda a separar lo que es un ataque de lo que es solo un pico de visitas o un bug, y a saber dónde tiene que estar la defensa.

¿Qué significa DDoS?#

DDoS viene de Distributed Denial of Service, o denegación de servicio distribuida. "Denegación" porque se impide al usuario legítimo usar el servicio. "Distribuida" porque el tráfico no sale de un solo lugar: viene de muchas máquinas a la vez.

Eso lo diferencia del DoS simple. En un DoS, una única fuente hace el ataque y basta con bloquear su IP. En un DDoS, bloquear una IP casi no cambia nada, porque miles de otras siguen enviando. Según la CISA (la agencia de ciberseguridad de EE. UU.), la distribución hace que el ataque sea más grande y más difícil de rastrear.

¿Cómo funciona un ataque DDoS?#

El atacante rara vez usa sus propias máquinas. Controla una botnet: una red de dispositivos comprometidos, como computadoras, routers y cámaras, que obedecen a una orden central sin que su dueño lo sepa. La CISA señala que a veces las botnets se alquilan como servicio de "ataque por encargo", lo que baja la barrera de entrada.

El flujo es simple:

1. El atacante infecta dispositivos y monta la botnet.
2. Elige un objetivo (una IP o un dominio) y lanza la orden.
3. Cada dispositivo envía peticiones o paquetes al objetivo.
4. El objetivo agota un recurso (ancho de banda, conexiones o CPU) y empieza a rechazar o retrasar todas las peticiones, incluidas las legítimas.

Cada dispositivo, por sí solo, parece un cliente normal. El ataque solo aparece en la suma.

¿Cuáles son los tipos de ataque DDoS?#

La clasificación más usada separa los ataques por el recurso que agotan, que también corresponde a la capa de red atacada.

Volumétricos (capas 3 y 4)#

Intentan llenar el enlace de red hasta que no pase nada más. El truco clásico es la amplificación por reflexión: como UDP no valida la IP de origen, el atacante falsifica la dirección de la víctima y envía peticiones pequeñas a servidores públicos (DNS, NTP, Memcached). Esos servidores responden a la víctima con paquetes mucho más grandes. La CISA indica factores de amplificación de 28 a 54 para DNS, 556,9 para NTP y de 10.000 a 51.000 para Memcached. En la práctica, unos pocos megabits del atacante se convierten en una avalancha de gigabits.

De protocolo (capa 4)#

Aprovechan el funcionamiento de un protocolo para agotar la tabla de conexiones del servidor o de un equipo de red. El ejemplo más conocido es el SYN flood. Una conexión TCP empieza con un SYN; el servidor reserva memoria, responde con SYN-ACK y espera el ACK final. En el ataque, los SYN llegan en ráfaga, muchas veces con origen falso, y el ACK nunca llega. Las conexiones se quedan "medio abiertas" hasta llenar el límite que impone el sistema operativo (el backlog), y las conexiones reales empiezan a ser rechazadas (RFC 4987).

De aplicación (capa 7)#

Parecen tráfico legítimo. Un HTTP flood envía miles de peticiones válidas a rutas costosas, como búsqueda, login o una consulta pesada a la base de datos. Cada petición, vista por separado, es normal; el daño viene del volumen y del costo de procesar cada una. Es el tipo más difícil de distinguir de un pico real, porque obliga a mirar el comportamiento, no solo el volumen.

¿Cómo sé si estoy sufriendo un ataque DDoS?#

La CISA cita tres síntomas: red o sitio muy lentos, un sitio concreto no disponible o ningún sitio accesible. Pero esos síntomas también aparecen con un mantenimiento, un bug o una publicación que se hizo viral. Para separar las causas, mira:

• Origen del tráfico: muchas IP distintas golpeando las mismas rutas, sin relación con usuarios reales.
• Forma del pico: un salto brusco, sin campaña ni lanzamiento que lo explique.
• Recursos: CPU, conexiones abiertas o ancho de banda al límite sin un aumento proporcional de usuarios.
• Logs de acceso: peticiones idénticas, User-Agent repetido, una sola ruta y ninguna navegación "humana" (sin cargar CSS, imágenes ni scripts).

Según la CISA, la forma más segura de confirmarlo es monitorear el tráfico con un firewall o un sistema de detección de intrusiones.

¿Qué hacer cuando empieza el ataque?#

No existe un botón mágico, pero seguir este orden ayuda:

1. Confirma si es un ataque o un mantenimiento mirando métricas y logs.
2. Avisa a quien está delante del tráfico: tu proveedor de hosting o de red, que puede aplicar filtros, reglas de firewall o redirigir el tráfico a un servicio de mitigación.
3. Vigila el resto del sistema: el DDoS puede servir de cortina para otro ataque, como intentos de intrusión en paralelo.
4. Registra horarios y muestras del tráfico, útiles para el proveedor y para ajustar reglas después.

Las medidas preventivas (mitigación en el borde, WAF, límite de peticiones, caché) están en cómo proteger tu web contra DDoS. Un CDN y un proxy inverso delante de la aplicación ya absorben parte del problema. Si el sitio se cayó y todavía no sabes por qué, consulta sitio caído: cómo descubrir el motivo.

¿Un DDoS es lo mismo que una intrusión?#

No. Una intrusión busca acceso: robar datos, ejecutar código, tomar el control de una cuenta. El DDoS busca indisponibilidad y no necesita ningún fallo en tu código para funcionar. Por eso la defensa también es distinta: las contraseñas fuertes y la corrección de vulnerabilidades no impiden un DDoS, y la mitigación de tráfico no impide una intrusión. Son capas diferentes.

Cómo hacerlo en Square Cloud#

La defensa contra el DDoS volumétrico tiene que estar en el borde, donde hay capacidad de red para absorber el tráfico antes de que llegue a tu aplicación. En Square Cloud, todos los planes incluyen protección DDoS L3/L4/L7 y WAF, en una red con CDN Anycast de más de 200 puntos de presencia (basada en Cloudflare), HTTP/3 y hasta 10 Gbps por servidor. El tráfico es ilimitado, sin cobro por ancho de banda ni por petición (política de uso justo).

Tus aplicaciones se ejecutan en contenedores aislados, pero la protección en el borde no sustituye el cuidado en tu código: limitar peticiones, definir timeouts y usar caché siguen siendo tu responsabilidad.

Los detalles de la red, la mitigación y los límites están en red y protección DDoS.