¿Qué es la protección contra denegación de servicio (DoS)?

¿Qué es la protección contra denegación de servicio (DoS)?

La protección DoS es el conjunto de controles que mantienen un servicio accesible mientras alguien intenta agotar su ancho de banda, sus conexiones o su capacidad de cómputo. Combina filtrado en el borde de la red, límites de peticiones, caché, configuraciones reforzadas y un plan de respuesta. El objetivo no es impedir el intento, algo imposible, sino seguir atendiendo a los usuarios legítimos mientras ocurre.

Cómo funciona un ataque DoS

Un ataque de denegación de servicio inunda un objetivo con tráfico o peticiones para que los usuarios legítimos no puedan entrar. La agencia estadounidense CISA lo describe como una situación en la que los usuarios legítimos no pueden acceder a sistemas de información, dispositivos u otros recursos de red. Si procede de una sola fuente es un ataque DoS; si muchas máquinas, a menudo una botnet de dispositivos secuestrados, atacan a la vez, es un ataque de denegación de servicio distribuido (DDoS). La forma distribuida es más potente y más difícil de rastrear hasta su origen.

Los tres puntos donde golpea un ataque

• Ancho de banda. Las inundaciones volumétricas, como una inundación UDP, llenan el enlace y no deja pasar nada más.
• Estado de las conexiones. Una inundación SYN abre conexiones TCP a medias hasta que el servidor no tiene sitio para las reales. El RFC 4987 enumera las contramedidas, entre ellas las SYN cookies, y lo que cuesta cada una.
• Trabajo de la aplicación. Peticiones que parecen normales pero son costosas, como búsquedas o inicios de sesión, pueden agotar la CPU o la base de datos con poco ancho de banda. Consulta los ataques DDoS en la capa de aplicación.

Cómo se organiza la protección DoS en capas

• Red perimetral o servicio de limpieza de tráfico. Una CDN o un servicio de protección DoS detecta el tráfico anómalo y lo filtra antes de que llegue a tu servidor de origen. Es la primera recomendación de la CISA.
• Cortafuegos y límites de peticiones. Descarta el tráfico que nunca esperas y limita las peticiones por cliente, con límites más estrictos en los endpoints costosos. Fija las cifras a partir del uso medido, porque muchos usuarios pueden compartir una misma IP.
• Caché. Cada respuesta servida desde el borde es trabajo que el origen no hace.
• Menor superficie de ataque. Mantén privada la dirección del origen, cierra los puertos que no uses y aplica los parches.
• Capacidad de reserva y alertas. El autoescalado gana tiempo, pero también escala la factura. Combínalo con alertas y límites de gasto.
• Un plan de respuesta. Define quién confirma un ataque, quién llama al proveedor o al ISP y quién informa a los clientes. La CISA advierte además de que un ataque puede servir de distracción mientras ocurre otra cosa en tu red.

Para la guía completa, lee cómo detener los ataques DDoS.

Ejemplo: un endpoint de login bajo presión

La página de inicio de sesión de un SaaS empieza a dar timeouts. El ancho de banda es normal, pero la base de datos está al límite y los logs muestran miles de intentos de login por minuto desde muchas direcciones. La solución es por capas: un límite de peticiones en la ruta de login, un desafío para los clientes que lo superen, páginas estáticas en caché que casi no cuestan nada y una alerta sobre la tasa de peticiones por ruta, para detectar el siguiente pico en minutos y no cuando se quejen los clientes.

Errores frecuentes

• Proteger solo el origen. Un servidor o un enlace se puede saturar, así que el borde va primero.
• Sin referencia del tráfico normal. Sin las tasas habituales de peticiones no distingues un ataque de una promoción o de una publicación viral. El RFC 4732 señala que las avalanchas legítimas de tráfico pueden parecerse a un ataque.
• Límites que bloquean a usuarios reales. Bloqueos o listas negras agresivos pueden causar la caída por sí mismos.
• Buscar ayuda en pleno ataque. Contratar un proveedor durante un incidente es lento. Ten contratos, acceso al DNS y contactos listos.
• Tratarlo solo como un problema de red. Las peticiones que parecen de usuarios normales atraviesan sin problema los filtros de red.

Protección DoS, pruebas de carga y monitorización

LoadFocus no es un producto de protección DoS ni de seguridad, y no simula ataques. Lo que sí puede hacer es mostrar cuánto tráfico legítimo aguanta tu propio sistema antes de ralentizarse o fallar. Las pruebas de carga envían peticiones HTTP a tu propio sitio o API desde regiones en la nube, para que veas dónde sube la latencia, si tus límites responden con 429 como esperas y si el autoescalado reacciona a tiempo. Empieza por load testing vs stress testing y causas del rate limiting en APIs (en inglés).

Prueba solo sistemas que sean tuyos o para los que tengas permiso por escrito, y avisa a tu CDN o proveedor cloud antes de cualquier ejecución de gran volumen. Después, la monitorización de APIs con alertas de errores y tiempo de respuesta suele ser la primera señal externa de que algo va mal; las comprobaciones gratuitas se ejecutan cada 5 minutos.

Preguntas frecuentes sobre la protección DoS

¿Qué diferencia hay entre protección DoS y DDoS?

Las defensas se solapan. Un DoS de una sola fuente suele frenarse con una regla de cortafuegos o un límite de peticiones; un DDoS procede de miles de fuentes y necesita una red perimetral o un servicio de limpieza con más capacidad que el ataque.

¿Se pueden evitar por completo los ataques DoS?

No. Según la CISA, no hay forma de evitar del todo ser un objetivo. Se reduce el impacto y se acelera la recuperación.

¿Cómo sé si sufro un ataque DoS?

Las señales típicas son un sitio lento o inaccesible, un salto de peticiones o errores y tráfico de orígenes inusuales. También pueden deberse a un fallo técnico o a un pico legítimo, así que revisa los logs de tráfico y consulta a tu equipo de red o a tu ISP.

¿Una CDN protege frente a ataques DoS?

Absorbe en el borde buena parte del tráfico volumétrico y de contenido en caché. Las inundaciones en la capa de aplicación necesitan además reglas de cortafuegos y límites ajustados a tu tráfico.

¿Pueden las pruebas de carga sustituir la protección DoS?

No. Una prueba de carga muestra cómo se comporta tu sistema con mucho tráfico legítimo. No detiene ataques ni sustituye la protección en el borde.