Denegación de servicio distribuida (DDoS)
En seguridad de red, un ataque de denegación de servicio distribuida (DDoS) satura a su objetivo con tráfico procedente de muchos orígenes a la vez, de forma que los usuarios legítimos no pueden llegar al servicio. Lo definitorio es el reparto entre muchas máquinas: es lo que hace difícil bloquearlo por dirección y absorberlo sin capacidad dedicada.
Cómo funciona
Un ataque DDoS deniega el servicio agotando un recurso, y se reparte en tres familias. Los ataques volumétricos saturan el ancho de banda del objetivo, a menudo por amplificación: una petición pequeña a un servicio de un tercero (un servidor DNS o NTP mal configurado, por ejemplo) devuelve una respuesta mucho mayor dirigida a la víctima. Los ataques de protocolo agotan el estado de seguimiento de conexiones de cortafuegos, balanceadores o la pila de red del servidor. Los ataques de capa de aplicación mandan peticiones que parecen válidas pero que son caras de servir, y drenan CPU o capacidad de base de datos con muchísimo menos tráfico. Lo «distribuido» es lo que derrota a las defensas simples: el tráfico llega desde muchas máquinas, con frecuencia una red de equipos comprometidos, así que bloquear un origen no sirve de nada.
Qué sale mal
El fallo suele ser un plan que da por hecho que el ataque va a tener forma de inundación. Las inundaciones volumétricas son las más ruidosas, pero también suelen ser las más fáciles de absorber con limpieza de tráfico aguas arriba. Las que hacen daño en la práctica son las de capa de aplicación: un ritmo de peticiones modesto contra un endpoint caro y sin autenticar (una búsqueda, un informe, un inicio de sesión) puede tumbar un servicio mientras la gráfica de ancho de banda sigue plana, así que la monitorización no salta.
Desde el lado del atacante, la victoria más barata es encontrar el único endpoint que hace trabajo pesado en cada petición y no tiene rate limiting, y mandarle justo el tráfico necesario para mantenerlo saturado.
Dónde aparece esto en una auditoría
La resistencia a DDoS se valora como una cuestión de arquitectura y no como una prueba suelta: si hay capacidad o limpieza de tráfico aguas arriba, si una CDN absorbe el tráfico volumétrico, si los endpoints caros tienen rate limiting y son amigables con la caché, y si el proceso de incidentes incluye al proveedor que de verdad tendría que mitigar. En una revisión de aplicación señalamos los endpoints sin autenticar que hacen un trabajo desproporcionado, porque son los objetivos de capa de aplicación más baratos. Un WAF se recoge como control parcial: útil contra algunos patrones de capa de aplicación y prácticamente irrelevante frente a una inundación volumétrica.